사용 설정할 서비스 선택

이 문서에는 Security Command Center가 클라우드 환경에서 보안 문제를 감지하는 데 사용하는 감지 서비스(보안 소스라고도 함) 목록이 포함되어 있습니다.

이러한 서비스는 문제를 감지하면 보안 문제를 식별하고 우선 순위를 지정하여 문제를 해결하는 데 필요한 정보를 제공하는 기록인 발견 사항을 생성합니다.

Google Cloud 콘솔에서 발견 사항을 보고 발견 사항 유형, 리소스 유형, 특정 애셋 필터링과 같은 다양한 방법으로 필터링할 수 있습니다. 각 보안 소스는 발견 사항을 조직화하는 데 도움이 되는 필터를 더 많이 제공할 수 있습니다.

Security Command Center의 IAM 역할은 조직, 폴더, 프로젝트 수준에서 부여할 수 있습니다. 발견 항목, 애셋, 보안 소스를 보거나 수정하거나 만들거나 업데이트할 수 있는 기능은 액세스 권한이 부여된 수준에 따라 다릅니다. Security Command Center 역할에 대해 자세히 알아보려면 액세스 제어를 참조하세요.

취약점 감지 서비스

취약점 감지 서비스에는 클라우드 환경에서 소프트웨어 취약점, 구성 오류, 보안 상황 위반을 감지하는 기본 제공 및 통합 서비스가 포함됩니다. 이러한 유형의 보안 문제를 총체적으로 취약점이라고 합니다.

AI 보호

AI 보호는 위협을 감지하고 AI 애셋 인벤토리에 대한 위험을 완화할 수 있도록 지원하여, AI 워크로드의 보안 상황을 관리하는 데 도움을 줍니다.

AI 보호는 다음과 같은 감지 기능을 제공합니다.

• AI 애셋 인벤토리 평가: 모델, 데이터 소스, 엔드포인트, AI 에이전트와 같은 AI 시스템 및 애셋을 파악할 수 있습니다.
• 취약점 식별: Agent Runtime으로 배포된 에이전트형 워크로드에서 소프트웨어 취약점 (CVE)을 감지합니다.
• 위험 식별: 공격 경로 시뮬레이션 및 보안 그래프 규칙을 사용하여 에이전트 위험과 환경에 미치는 잠재적 영향을 식별합니다.
• 과도한 권한이 있는 에이전트 감지: 과도한 권한이 부여된 AI 에이전트를 식별합니다.
• 위협 감지 및 관리: Event Threat Detection 및 Agent Platform Threat Detection과 같은 다른 Security Command Center 서비스의 통합 규칙을 통해 AI 시스템 및 자산을 타겟팅하는 잠재적 위협을 감지하고 대응합니다.
• Model Armor 보호 감지: Model Armor가 모델을 보호하는지 감지합니다.

자세한 내용은 AI 보호 개요를 참고하세요.

Artifact Registry 취약점 평가

Artifact Registry 취약점 평가는 배포된 컨테이너 이미지의 취약점을 알리는 감지 서비스입니다.

이 감지 서비스는 다음 조건에서 컨테이너 이미지의 취약점 발견 사항을 생성합니다.

• 컨테이너 이미지가 Artifact Registry에 저장됩니다.

• 컨테이너 이미지가 다음 애셋 중 하나에 배포됩니다.

  • Google Kubernetes Engine 클러스터
  • Cloud Run 서비스
  • Cloud Run 작업
  • App Engine

자세한 내용은 Artifact Registry 취약점 평가 개요를 참고하세요.

Agent Platform 취약점 평가

Agent Platform 취약점 평가는 다음을 식별합니다.

• Agent Platform으로 배포한 에이전트형 워크로드의 취약점
• Gemini Enterprise 에이전트 플랫폼 컨테이너 이미지에 일반 텍스트 보안 비밀(예: 사용자 인증 정보, 키, 액세스 토큰, 인증서)이 포함되어 있습니다.

취약점 감지

Agent Platform 취약점 평가는 Agent Platform으로 배포한 에이전트 워크로드의 소프트웨어 취약점 (CVE)을 식별합니다.

이 스캐너는 배포 또는 업데이트 중에 운영 인스턴스 내의 맞춤 코드와 종속 항목을 자동으로 평가합니다.

Agent Platform 취약점 평가 사용 설정

AI 보호를 새로 활성화하면 Agent Platform 취약점 평가가 자동으로 사용 설정됩니다.

기존 고객은 AI 보호 설정 페이지에서 스캐너를 사용 설정할 수 있습니다. 자세한 내용은 Agent Platform 취약점 평가 구성을 참고하세요.

Agent Platform 취약점 평가 감지기

검사 프로그램	요약
Software vulnerability API의 카테고리 이름: SOFTWARE_VULNERABILITY 수업: VULNERABILITY 심각도: CRITICAL 또는 HIGH	발견 항목 설명: 에이전트 플랫폼으로 배포된 에이전트 워크로드에서 소프트웨어 취약점 (CVE)이 감지되었습니다. 이 스캐너는 운영 인스턴스 내의 맞춤 코드와 종속 항목을 자동으로 평가합니다. 가격 책정 등급: 프리미엄 또는 엔터프라이즈 이 발견 사항 수정 build: 발견 항목 세부정보를 검토하여 영향을 받는 패키지와 버전을 확인합니다. 이 발견 사항을 해결하려면 보안 버전의 패키지를 사용하도록 에이전트의 요구사항 또는 맞춤 컨테이너 정의를 업데이트한 후 Agent Platform 인스턴스를 다시 배포하세요.
Secrets in Agent Platform API의 카테고리 이름: SECRETS_IN_AGENT_ENGINE 수업: SECRET 심각도: CRITICAL	발견 사항 설명: <TYPE> 유형의 일반 텍스트 사용자 인증 정보가 <PATH> 경로의 이미지 레이어에서 발견되었습니다. 가격 책정 등급: 프리미엄 또는 엔터프라이즈 이 발견 사항 수정 build: 발견 사항을 조사하여 보안 비밀에 관한 세부정보를 확인한 다음 노출된 사용자 인증 정보를 취소하거나 순환합니다. 이미지를 빌드하는 데 사용되는 Dockerfile, 소스 코드 또는 구성 파일에서 일반 텍스트 비밀번호를 삭제합니다. Secret Manager와 같은 보안 비밀 관리 솔루션을 구현하여 런타임에 보안 비밀을 안전하게 저장하고 액세스합니다. 수정된 이미지로 Agent Platform 인스턴스를 다시 빌드하고 다시 배포합니다.

콘솔에서 Agent Platform 취약점 평가 발견 사항 보기

1. Google Cloud 콘솔에서 Security Command Center의 발견 사항 페이지로 이동합니다.

   발견 사항으로 이동

2. Google Cloud 프로젝트 또는 조직을 선택합니다.
3. 빠른 필터 섹션의 소스 표시 이름 하위 섹션에서 Agent Platform용 취약점 평가를 선택합니다. 이 소스의 발견 사항만 표시되도록 발견 사항 쿼리 결과가 업데이트됩니다.
4. 특정 발견 사항의 세부정보를 보려면 카테고리 열에서 발견 사항 이름을 클릭합니다. 발견 사항의 세부정보 패널이 열리고 요약 탭이 표시됩니다.
5. 요약 탭에서 감지된 항목, 영향을 받은 리소스, 발견 사항을 해결하기 위해 취할 수 있는 단계(있는 경우)에 관한 정보를 포함하여 발견 사항의 세부정보를 검토합니다.
6. 선택사항: 발견 사항의 전체 JSON 정의를 보려면 JSON 탭을 클릭합니다.

아티팩트 보호

아티팩트 보호(미리보기)는 빌드 프로세스 중에 취약한 패키지가 배포되지 않도록 지원하는 서비스입니다. CI/CD 플랫폼, 레지스트리, 런타임의 세 가지 정책 범위를 지원합니다. CI/CD 통합을 사용하면 CI/CD 플랫폼에 대한 커넥터를 구성할 수 있습니다. 이러한 커넥터를 사용하여 CI/CD 파이프라인의 취약점을 식별하도록 아티팩트 보호 정책을 구성할 수 있습니다.

규정 준수 관리자 발견 항목

규정 준수 관리자는 Google Cloud 환경에 배포하는 감지 및 예방 클라우드 컨트롤에 대한 발견 항목을 만듭니다. 이러한 발견 항목은 Security Command Center의 발견 항목 페이지에서 확인할 수 있습니다.

규정 준수 관리자는 서비스 등급별로 다른 기능을 제공합니다. 자세한 내용은 규정 준수 관리자 개요를 참고하세요.

콘솔에서 규정 준수 관리자 발견 사항 보기

1. Google Cloud 콘솔에서 Security Command Center의 발견 사항 페이지로 이동합니다.

   발견 사항으로 이동

2. Google Cloud 프로젝트 또는 조직을 선택합니다.
3. 빠른 필터 섹션의 소스 표시 이름 하위 섹션에서 규정 준수 평가 서비스를 선택합니다. 이 소스의 발견 사항만 표시되도록 발견 사항 쿼리 결과가 업데이트됩니다.
4. 특정 발견 사항의 세부정보를 보려면 카테고리 열에서 발견 사항 이름을 클릭합니다. 발견 사항의 세부정보 패널이 열리고 요약 탭이 표시됩니다.
5. 요약 탭에서 감지된 항목, 영향을 받은 리소스, 발견 사항을 해결하기 위해 취할 수 있는 단계(있는 경우)에 관한 정보를 포함하여 발견 사항의 세부정보를 검토합니다.
6. 선택사항: 발견 사항의 전체 JSON 정의를 보려면 JSON 탭을 클릭합니다.

데이터 보안 상황 관리

데이터 보안 상황 관리 (DSPM)는 환경에 적용하는 데이터 보안 프레임워크 및 클라우드 컨트롤의 잠재적 위반에 대한 결과를 생성합니다. 이러한 발견 항목은 Security Command Center의 데이터 보안 및 규정 준수 페이지, 위험 개요 페이지 (데이터 탭 아래) 또는 발견 항목 페이지에서 확인할 수 있습니다. DSPM은 서비스 등급마다 다른 기능을 제공합니다. 자세한 내용은 데이터 보안 상황 관리 (DSPM) 개요를 참고하세요.

콘솔에서 DSPM 발견 항목 보기

1. Google Cloud 콘솔에서 Security Command Center의 발견 사항 페이지로 이동합니다.

   발견 사항으로 이동

2. Google Cloud 조직을 선택합니다.

3. 다음 쿼리를 사용하여 DSPM의 발견 사항을 확인합니다.

   state="ACTIVE" AND NOT mute="MUTED" AND resource.name="//aiplatform.googleapis.com/projects/478190632149/locations/us-central1/models/1244151282898305024" AND category="DATA_SECURITY_POSTURE_ACCESS_VIOLATION" OR category="DATA_SECURITY_POSTURE_FLOW_VIOLATION" OR category="DATA_SECURITY_POSTURE_DELETION_VIOLATION" OR category="DATA_SECURITY_POSTURE_PROTECTION_KEY_GOVERNANCE" OR category="BIGQUERY_TABLE_CMEK_DISABLED" OR category="VERTEX_AI_MODEL_CMEK_DISABLED" OR category="VERTEX_AI_METADATA_STORE_CMEK_DISABLED" OR category="VERTEX_AI_DATASET_CMEK_DISABLED" OR category="VERTEX_AI_FEATURE_STORE_TABLE_CMEK_DISABLED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_MISCONFIGURED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_DELETED" OR category="DATA_SECURITY_POSTURE_CMEK_VIOLATION" OR category="SENSITIVE_DATA_PUBLIC_SQL_INSTANCE" OR category="SENSITIVE_DATA_PUBLIC_DATASET" OR category="SENSITIVE_DATA_BIGQUERY_TABLE_CMEK_DISABLED" OR category="SENSITIVE_DATA_DATASET_CMEK_DISABLED" OR category="SENSITIVE_DATA_SQL_CMEK_DISABLED" OR category="PUBLIC_DATASET" OR category="PUBLIC_SQL_INSTANCE" OR category="SQL_PUBLIC_IP" OR category="ACCESS_TRANSPARENCY_DISABLED" OR category="ORG_POLICY_LOCATION_RESTRICTION" OR category="BUCKET_POLICY_ONLY_DISABLED" OR category="DATA_EXFILTRATION_BIG_QUERY" OR category="DATA_EXFILTRATION_BIG_QUERY_EXTRACTION" OR category="DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE"
   

4. 특정 발견 항목의 세부정보를 보려면 카테고리 열에서 발견 항목 이름을 클릭합니다. 발견 항목의 세부정보 패널이 열리고 요약 탭이 표시됩니다.

5. 요약 탭에서 감지된 항목, 영향을 받은 리소스, 발견 사항을 해결하기 위해 취할 수 있는 단계(있는 경우)에 관한 정보를 포함하여 발견 사항의 세부정보를 검토합니다.

6. 선택사항: 발견 항목의 전체 JSON 정의를 보려면 JSON 탭을 클릭합니다.

외부 노출

Security Command Center 외부 노출은 자동 검색 및 위험 검증을 통해 외부 공격 표면을 관리하고 줄이는 데 도움이 되는 Google Cloud 서비스입니다.

자동 스캐너는 몇 분 안에 인터넷에 노출된 애셋을 타겟팅할 수 있으므로, 외부 노출은 공격자가 이를 발견하고 악용하기 전에 실수로 노출된 애셋과 섀도우 리소스를 선제적으로 찾아냅니다.

이 서비스는 외부 관점에서 환경을 분석하여 인터넷에서 실제로 도달할 수 있는 항목을 확인하고 실제로 악용될 수 있는 노출을 식별합니다.

외부 노출은 Google Cloud환경에서 외부를 향하는 IP 주소, 호스트 이름, 도메인 이름, URL을 지속적으로 검색합니다. 이 기능은 네트워크 스캔을 사용하여 공개 인터넷에서 연결할 수 있는 리소스와 애플리케이션을 확인합니다.

확인된 노출마다 외부 노출은 다음을 실행합니다.

• 노출된 리소스까지 외부 부하 분산기, Google Cloud Armor 정책, 방화벽 규칙, Private Service Connect, Cloud Interconnect, 백엔드 서비스의 Google Cloud 네트워크 경로를 추적하고 표시합니다.

  이 리소스는 노출된 서비스 또는 애플리케이션을 포함하는 Compute Engine 인스턴스 또는 Google Kubernetes Engine (GKE) 포드일 수 있습니다.

  Google 네트워킹 패브릭과의 긴밀한 통합을 통해 실행 가능한 컨텍스트를 제공하므로 특정 방화벽 규칙을 잠그거나 Google Cloud Armor를 구성하는 등 예방적 완화 조치를 즉시 적용할 수 있습니다.

• 지문 분석을 실행하여 노출된 각 애셋에서 실행되는 특정 웹 애플리케이션 또는 서버 소프트웨어를 식별하려고 시도합니다.

• 노출된 서비스 또는 소프트웨어를 식별할 수 있는 경우 영향을 미치는 것으로 알려진 취약점을 식별합니다.

• 고급 수동 및 능동 감지기를 사용하여 취약점, 잘못된 구성, 기본 또는 약한 사용자 인증 정보 사용을 검증하여 실제 익스플로잇 가능성을 테스트합니다.

콘솔에서 외부 노출 발견 사항 검토

1. Google Cloud 콘솔에서 Security Command Center의 발견 사항 페이지로 이동합니다.

   발견 사항으로 이동

2. Google Cloud 프로젝트 또는 조직을 선택합니다.
3. 빠른 필터 섹션의 소스 표시 이름 하위 섹션에서 외부 노출을 선택합니다. 이 소스의 발견 사항만 표시되도록 발견 사항 쿼리 결과가 업데이트됩니다.
4. 특정 발견 사항의 세부정보를 보려면 카테고리 열에서 발견 사항 이름을 클릭합니다. 발견 사항의 세부정보 패널이 열리고 요약 탭이 표시됩니다.
5. 요약 탭에서 감지된 항목, 영향을 받은 리소스, 발견 사항을 해결하기 위해 취할 수 있는 단계(있는 경우)에 관한 정보를 포함하여 발견 사항의 세부정보를 검토합니다.
6. 선택사항: 발견 사항의 전체 JSON 정의를 보려면 JSON 탭을 클릭합니다.

GKE 보안 상황 대시보드

Google Kubernetes Engine (GKE) 보안 상황 대시보드는Google Cloud 콘솔에서 GKE 클러스터의 잠재적 보안 문제에 대해 규범적이고 활용 가능한 발견 사항을 제공하는 페이지입니다.

GKE 보안 상황 대시보드는 Security Command Center와 통합되어 다음과 같은 이점을 제공합니다.

• 통합 가시성: Security Command Center 콘솔에서 GKE 클러스터의 보안 발견 항목을 다른 Security Command Center 서비스의 발견 항목과 함께 확인합니다.
• 공격 노출 점수: 공격 노출 점수를 통해 환경에 미칠 수 있는 잠재적 영향을 확인하여 발견 항목의 우선순위를 지정합니다.
• 규정 준수 보고: 결과를 기반으로 규정 준수 보고서를 생성합니다.

이러한 발견 항목을 확인하려면 다음 GKE 보안 상황 대시보드 기능을 사용 설정하세요.

GKE 보안 상황 대시보드 창	Security Command Center 발견 사항 클래스
워크로드 구성 감사1	MISCONFIGURATION
상위 위협2	THREAT
컨테이너 OS 취약점 스캔1	VULNERABILITY
언어 패키지 취약점 스캔1	VULNERABILITY
실행 가능한 보안 게시판1 (미리보기)	VULNERABILITY
주요 소프트웨어 취약점2	VULNERABILITY

발견 사항은 보안 문제에 관한 정보를 표시하고 워크로드 또는 클러스터에서 문제 해결을 위한 권장사항을 제공합니다.

콘솔에서 GKE 보안 상황 대시보드 발견 사항 보기

1. Google Cloud 콘솔에서 Security Command Center의 발견 사항 페이지로 이동합니다.

   발견 사항으로 이동

2. Google Cloud 프로젝트 또는 조직을 선택합니다.
3. 빠른 필터 섹션의 소스 표시 이름 하위 섹션에서 GKE 보안 상황을 선택합니다. 이 소스의 발견 사항만 표시되도록 발견 사항 쿼리 결과가 업데이트됩니다.
4. 특정 발견 사항의 세부정보를 보려면 카테고리 열에서 발견 사항 이름을 클릭합니다. 발견 사항의 세부정보 패널이 열리고 요약 탭이 표시됩니다.
5. 요약 탭에서 감지된 항목, 영향을 받은 리소스, 발견 사항을 해결하기 위해 취할 수 있는 단계(있는 경우)에 관한 정보를 포함하여 발견 사항의 세부정보를 검토합니다.
6. 선택사항: 발견 사항의 전체 JSON 정의를 보려면 JSON 탭을 클릭합니다.

IAM 추천자

IAM 추천자는 주 구성원에게 필요하지 않은 IAM 권한이 포함된 경우 주 구성원에서 IAM 역할을 삭제하거나 대체하여 보안을 개선하기 위해 수행할 수 있는 권장사항을 생성합니다.

IAM 추천자는 Security Command Center를 활성화할 때 자동으로 사용 설정됩니다.

IAM 추천자 발견 사항 사용 설정 또는 사용 중지

Security Command Center에서 IAM 추천자 발견 사항을 사용 설정하거나 사용 중지하려면 다음 단계를 수행합니다.

1. Google Cloud 콘솔에서 Security Command Center 설정 페이지의 통합 서비스 탭으로 이동합니다.

   통합 서비스로 이동

2. IAM 추천자 항목으로 이동합니다.

3. 항목 오른쪽에서 사용 설정 또는 사용 중지를 선택합니다.

IAM 추천자의 발견 사항은 취약점으로 분류됩니다.

IAM 추천자 발견 사항을 해결하려면 다음 섹션을 펼쳐 IAM 추천자 발견 사항 표를 확인합니다. 각 발견 사항의 해결 단계는 테이블 항목에 포함되어 있습니다.

IAM 추천자 감지기

감지기	요약
IAM role has excessive permissions API의 카테고리 이름: IAM_ROLE_HAS_EXCESSIVE_PERMISSIONS	발견 사항 설명: IAM 추천자가 사용자 계정에 과도한 권한을 부여하는 하나 이상의 IAM 역할이 있는 서비스 계정을 감지했습니다. 가격 책정 등급: 프리미엄 지원되는 애셋: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization 이 발견 사항 수정 build: IAM 추천자를 사용하여 다음 단계에 따라 이 발견 사항에 권장되는 수정사항을 적용합니다. Google Cloud 콘솔의 발견 사항 세부정보의 다음 단계 섹션에서 IAM 페이지의 URL을 복사하여 브라우저 주소 표시줄에 붙여넣고 Enter 키를 누릅니다. IAM 페이지가 로드됩니다. 오른쪽의 IAM 페이지 상단 근처에서 표에서 권장사항 보기를 클릭합니다. 표에 권장사항이 표시됩니다. 보안 통계 열에서 초과 권한과 관련된 권장사항을 클릭합니다. 추천 세부정보 패널이 열립니다. 사고를 해결하기 위해 취할 수 있는 조치에 대한 추천을 검토합니다. 적용을 클릭합니다. 문제가 해결되면 IAM 추천자는 10일 이내에 발견 사항 상태를 INACTIVE로 업데이트합니다.
Service agent role replaced with basic role API의 카테고리 이름: SERVICE_AGENT_ROLE_REPLACED_WITH_BASIC_ROLE	발견 사항 설명: IAM 추천자가 서비스 에이전트에 부여된 원래 기본 IAM 역할이 기본 IAM 역할(소유자, 편집자 또는 뷰어) 중 하나로 대체되었음을 감지했습니다. 기본 역할은 과도하게 권한이 부여된 기존 역할이며 서비스 에이전트에 부여되어서는 안 됩니다. 가격 책정 등급: 프리미엄 지원되는 애셋: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization 이 발견 사항 수정 build: IAM 추천자를 사용하여 다음 단계에 따라 이 발견 사항에 권장되는 수정사항을 적용합니다. Google Cloud 콘솔의 발견 사항 세부정보의 다음 단계 섹션에서 IAM 페이지의 URL을 복사하여 브라우저 주소 표시줄에 붙여넣고 Enter 키를 누릅니다. IAM 페이지가 로드됩니다. 오른쪽의 IAM 페이지 상단 근처에서 표에서 권장사항 보기를 클릭합니다. 표에 권장사항이 표시됩니다. 보안 통계 열에서 초과 권한과 관련된 권한을 클릭합니다. 추천 세부정보 패널이 열립니다. 초과 권한을 검토합니다. 적용을 클릭합니다. 문제가 해결되면 IAM 추천자는 10일 이내에 발견 사항 상태를 INACTIVE로 업데이트합니다.
Service agent granted basic role API의 카테고리 이름: SERVICE_AGENT_GRANTED_BASIC_ROLE	발견 사항 설명: IAM 추천자가 서비스 에이전트에 기본 IAM 역할(소유자, 편집자, 뷰어) 중 하나가 부여된 IAM을 감지했습니다. 기본 역할은 과도하게 권한이 부여된 기존 역할이며 서비스 에이전트에 부여되어서는 안 됩니다. 가격 책정 등급: 프리미엄 지원되는 애셋: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization 이 발견 사항 수정 build: IAM 추천자를 사용하여 다음 단계에 따라 이 발견 사항에 권장되는 수정사항을 적용합니다. Google Cloud 콘솔의 발견 사항 세부정보의 다음 단계 섹션에서 IAM 페이지의 URL을 복사하여 브라우저 주소 표시줄에 붙여넣고 Enter 키를 누릅니다. IAM 페이지가 로드됩니다. 오른쪽의 IAM 페이지 상단 근처에서 표에서 권장사항 보기를 클릭합니다. 표에 권장사항이 표시됩니다. 보안 통계 열에서 초과 권한과 관련된 권한을 클릭합니다. 추천 세부정보 패널이 열립니다. 초과 권한을 검토합니다. 적용을 클릭합니다. 문제가 해결되면 IAM 추천자는 10일 이내에 발견 사항 상태를 INACTIVE로 업데이트합니다.
Unused IAM role API의 카테고리 이름: UNUSED_IAM_ROLE	발견 사항 설명: IAM 추천자가 지난 90일 동안 사용되지 않은 IAM 역할이 있는 사용자 계정을 감지했습니다. 가격 책정 등급: 프리미엄 지원되는 애셋: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization 이 발견 사항 수정 build: IAM 추천자를 사용하여 다음 단계에 따라 이 발견 사항에 권장되는 수정사항을 적용합니다. Google Cloud 콘솔의 발견 사항 세부정보의 다음 단계 섹션에서 IAM 페이지의 URL을 복사하여 브라우저 주소 표시줄에 붙여넣고 Enter 키를 누릅니다. IAM 페이지가 로드됩니다. 오른쪽의 IAM 페이지 상단 근처에서 표에서 권장사항 보기를 클릭합니다. 표에 권장사항이 표시됩니다. 보안 통계 열에서 초과 권한과 관련된 권한을 클릭합니다. 추천 세부정보 패널이 열립니다. 초과 권한을 검토합니다. 적용을 클릭합니다. 문제가 해결되면 IAM 추천자는 10일 이내에 발견 사항 상태를 INACTIVE로 업데이트합니다.

콘솔에서 IAM 추천자 발견 사항 보기

1. Google Cloud 콘솔에서 Security Command Center의 발견 사항 페이지로 이동합니다.

   발견 사항으로 이동

2. Google Cloud 프로젝트 또는 조직을 선택합니다.
3. 빠른 필터 섹션의 소스 표시 이름 하위 섹션에서 IAM 추천자를 선택합니다. 이 소스의 발견 사항만 표시되도록 발견 사항 쿼리 결과가 업데이트됩니다.
4. 특정 발견 사항의 세부정보를 보려면 카테고리 열에서 발견 사항 이름을 클릭합니다. 발견 사항의 세부정보 패널이 열리고 요약 탭이 표시됩니다.
5. 요약 탭에서 감지된 항목, 영향을 받은 리소스, 발견 사항을 해결하기 위해 취할 수 있는 단계(있는 경우)에 관한 정보를 포함하여 발견 사항의 세부정보를 검토합니다.
6. 선택사항: 발견 사항의 전체 JSON 정의를 보려면 JSON 탭을 클릭합니다.

Security Command Center Premium에서는 IAM 추천자 쿼리 사전 설정을 선택하여 기존 취약점 페이지에서 IAM 추천자 발견 사항을 볼 수도 있습니다.

Mandiant Attack Surface Management

Mandiant는 일선 위협 인텔리전스 부문의 세계적인 선두업체입니다. Mandiant Attack Surface Management는 외부 공격 표면의 취약점과 잘못된 구성을 식별하여 최신 사이버 공격에 대응할 수 있도록 지원합니다.

Security Command Center Enterprise 등급을 활성화하면 Mandiant Attack Surface Management가 자동으로 사용 설정되며 발견 사항이 Google Cloud 콘솔에서 제공됩니다.

독립형 Mandiant Attack Surface Management 제품이 Security Command Center 내의 Mandiant Attack Surface Management 통합과 어떻게 다른지에 대한 자세한 내용은 Mandiant 문서 포털의 ASM 및 Security Command Center를 참조하세요. 이 링크에는 Mandiant 인증이 필요합니다.

콘솔에서 Mandiant Attack Surface Management 발견 사항 검토

1. Google Cloud 콘솔에서 Security Command Center의 발견 사항 페이지로 이동합니다.

   발견 사항으로 이동

2. Google Cloud 프로젝트 또는 조직을 선택합니다.
3. 빠른 필터 섹션의 소스 표시 이름 하위 섹션에서 Mandiant Attack Surface Management를 선택합니다. 이 소스의 발견 사항만 표시되도록 발견 사항 쿼리 결과가 업데이트됩니다.
4. 특정 발견 사항의 세부정보를 보려면 카테고리 열에서 발견 사항 이름을 클릭합니다. 발견 사항의 세부정보 패널이 열리고 요약 탭이 표시됩니다.
5. 요약 탭에서 감지된 항목, 영향을 받은 리소스, 발견 사항을 해결하기 위해 취할 수 있는 단계(있는 경우)에 관한 정보를 포함하여 발견 사항의 세부정보를 검토합니다.
6. 선택사항: 발견 사항의 전체 JSON 정의를 보려면 JSON 탭을 클릭합니다.

Security Command Center와 Mandiant Attack Surface Management는 발견 사항을 '해결됨' 상태로 표시하지 않습니다. 문제를 해결한 경우, 사용자가 직접 해당 항목을 수동으로 '해결됨'으로 표시할 수 있습니다. 이후 Mandiant Attack Surface Management의 다음 스캔에서 해당 문제가 다시 식별되지 않으면 항목이 '해결됨' 상태로 유지됩니다.

Model Armor 발견 항목

Model Armor는 LLM 프롬프트 및 응답을 선별하여 AI 애플리케이션의 보안 및 안전성을 강화하는 완전 관리형 Google Cloud 서비스입니다.

발견 항목	요약
Floor settings violation API의 카테고리 이름: FLOOR_SETTINGS_VIOLATION	발견 사항 설명: Model Armor 템플릿이 리소스 계층 구조에서 정의된 최소 기준 설정을 충족하지 못할 경우 발생하는 위반입니다. 발견 항목 클래스: 구성 오류 가격 책정 등급: 프리미엄 이 발견 사항 수정build: 이 발견 사항을 사용하려면 리소스 계층 구조에 정의된 최소 기준 설정과 일치하도록 Model Armor 템플릿을 업데이트해야 합니다.

Notebook Security Scanner

Notebook Security Scanner는 Security Command Center의 기본 제공 패키지 취약점 감지 서비스입니다. Notebook Security Scanner를 사용 설정하면 24시간마다 Colab Enterprise 노트북(ipynb 파일 이름 확장자가 있는 파일)을 자동으로 스캔하여 Python 패키지의 취약점을 감지하고 이러한 발견 사항을 Security Command Center 발견 사항 페이지에 게시합니다.

us-central1, us-east4, us-west1, europe-west4 리전에서 생성된 Colab Enterprise 노트북에 Notebook Security Scanner를 사용할 수 있습니다.

Notebook Security Scanner를 시작하려면 Notebook Security Scanner 사용 설정 및 사용을 참조하세요.

정책 컨트롤러

정책 컨트롤러를 사용 설정하면 Kubernetes 클러스터에 프로그래밍 가능한 정책을 적용하고 시행할 수 있습니다. 정책은 가드레일 역할을 하며 클러스터와 Fleet의 권장사항, 보안, 규정 준수 관리에 도움이 됩니다.

정책 컨트롤러를 설치하고 정책 컨트롤러 번들을 사용 설정하면 정책 컨트롤러가 Security Command Center에 클러스터 위반을 Misconfiguration 클래스 발견 항목으로 자동으로 작성합니다. Security Command Center 발견 사항에 표시되는 발견 사항 설명과 후속 단계는 해당 정책 컨트롤러 번들의 제약 조건 설명 및 해결 단계와 동일합니다.

정책 컨트롤러 발견 사항은 다음 정책 컨트롤러 번들에서 가져옵니다.

• CIS Kubernetes 벤치마크 v.1.5.1은 강력한 보안 상황을 지원하도록 Kubernetes를 구성하기 위한 추천 모음입니다. cis-k8s-v1.5.1용 GitHub 저장소에서 이 번들에 대한 정보도 확인할 수 있습니다.
• PCI-DSS v3.2.1은 결제 카드 산업 데이터 보안 표준 (PCI-DSS) v3.2.1의 일부 요소에 대해 클러스터 리소스의 규정 준수를 평가하는 번들입니다. pci-dss-v3용 GitHub 저장소에서 이 번들에 대한 정보도 확인할 수 있습니다.

정책 컨트롤러 발견 사항을 찾고 해결하려면 정책 컨트롤러 발견 사항 해결을 참조하세요.

위험 엔진

Security Command Center 위험 엔진은 클라우드 배포의 위험 노출을 평가하고 취약점 발견 사항 및 고가치 리소스에 공격 노출 점수를 할당하며 잠재적 공격자가 고가치 리소스에 도달할 수 있는 경로를 다이어그램으로 보여줍니다.

Security Command Center 엔터프라이즈 또는 프리미엄 등급에서 Risk Engine은 특정 패턴에서 함께 발생할 경우 완강한 공격자가 이를 이용해 하나 이상의 고가치 리소스에 도달하여 손상시킬 수 있는 경로를 생성하는 보안 문제 그룹을 감지합니다.

위험 엔진이 이러한 조합 중 하나를 감지하면