En esta página, se muestra cómo usar las funciones de análisis administradas de Web Security Scanner y revisar los resultados en la Google Cloud consola de. También se muestran ejemplos de los resultados de Web Security Scanner.
Web Security Scanner es un servicio integrado para Security Command Center que identifica vulnerabilidades de seguridad comunes en tus aplicaciones web de App Engine, Google Kubernetes Engine (GKE) y Compute Engine. Para ver los resultados de Web Security Scanner, debe estar habilitado en la configuración de Servicios del Security Command Center.
Obtén más información sobre cómo funciona Web Security Scanner.
Revisa los resultados
La función de análisis administrado de Web Security Scanner configura automáticamente y programa los análisis para cada uno de tus proyectos dentro del alcance. Los análisis de Web Security Scanner pueden llevar hasta 24 horas para iniciarse después de que se habilita el servicio y se ejecutan de manera semanal después del primer análisis. Los resultados se pueden ver en Security Command Center.
Los análisis administrados son independientes de los análisis personalizados de Web Security Scanner. Los análisis personalizados son más detallados que los análisis administrados predeterminados y proporcionan información detallada sobre los resultados de las vulnerabilidades de las aplicaciones. Para obtener información sobre los análisis personalizados, consulta la Guía de análisis personalizado de Web Security Scanner.
Revisa los resultados en la consola
Los roles de IAM para Security Command Center se pueden otorgar a nivel de organización, carpeta o proyecto. Tu capacidad para ver, editar, crear o actualizar hallazgos, recursos y fuentes de seguridad depende del nivel al que se te otorga acceso. Para obtener más información sobre los roles de Security Command Center, consulta Control de acceso.
Para revisar los resultados de Web Security Scanner en Security Command Center, sigue estos pasos:
-
En la Google Cloud consola de, ve a la página Resultados de Security Command Center.
- Selecciona tu Google Cloud proyecto u organización.
- En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Web Security Scanner. Los resultados de la consulta de resultados se actualizan para mostrar solo los resultados de esta fuente.
- Para ver los detalles de un hallazgo específico, haz clic en el nombre del hallazgo en la columna Categoría. Se abre el panel de detalles para el resultado y se muestra la pestaña Resumen.
- En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si está disponible, los pasos que puedes seguir para corregir el hallazgo.
- Opcional: Para ver la definición completa de JSON del hallazgo, haz clic en la pestaña JSON.
Visualiza todos los resultados asociados con una URL específica
Un análisis puede producir resultados de varias URL base. Para mostrar todos los resultados asociados a una URL determinada en un análisis, sigue estos pasos:
- Abre el hallazgo y visualiza su definición de JSON.
- Copia la URL que aparece junto a
externalUri. - Cierra el panel de detalles del resultado.
En el Editor de consultas, ingresa la consulta siguiente:
externalUri:"AFFECTED_URI"Reemplaza AFFECTED_URI por la URL que copiaste antes.
Security Command Center muestra todos los resultados asociados con la URL.
Resultados de ejemplo
Estos son algunos ejemplos de resultados de análisis administrados de Web Security Scanner:
| Vulnerabilidad | Descripción |
|---|---|
| Contenido mixto | Una página entregada mediante HTTPS también entrega recursos mediante HTTP. Un atacante de intermediario podría alterar el recurso HTTP y obtener acceso completo al sitio web que carga el recurso o supervisar las acciones de los usuarios. |
| Contraseña en texto simple |
Una aplicación muestra contenido sensible con un tipo de contenido no válido o sin un encabezado X-Content-Type-Options: nosniff.
|
| Biblioteca desactualizada |
Se sabe que la versión de una biblioteca incluida contiene un problema de seguridad. El análisis verifica la versión de la biblioteca en uso con una lista conocida de bibliotecas vulnerables. Los falsos positivos son posibles si falla la detección de la versión o si se le aplicó un parche a la biblioteca de forma manual. Web Security Scanner identifica algunas versiones vulnerables de las siguientes bibliotecas populares:
Esta lista se actualiza de forma periódica con bibliotecas nuevas y vulnerabilidades actualizadas según corresponda. |
Obtén más información para usar Security Command Center en la consola de. Google Cloud
Filtra los resultados en la Google Cloud consola de
Una organización grande podría tener muchos resultados de vulnerabilidad en su implementación para revisar, clasificar y hacer un seguimiento. Si usas los filtros disponibles en las páginas Vulnerabilidades y Resultados de Security Command Center en la Google Cloud consola, puedes enfocarte en las vulnerabilidades de mayor gravedad en toda la organización y revisar las vulnerabilidades por tipo de recurso, proyecto y mucho más.
Para obtener más información sobre cómo filtrar los resultados de vulnerabilidades, consulta Filtra los resultados de vulnerabilidades en Security Command Center.
Silenciar resultados
Para controlar el volumen de resultados en Security Command Center, puedes silenciar de forma manual o programática resultados individuales o crear reglas de silenciamiento que silencian de forma automática los resultados actuales y futuros según los filtros que definas.
Los resultados silenciados se ocultan y silencian, pero se siguen registrando con fines de auditoría y cumplimiento. Puedes ver los resultados silenciados o dejar de silenciarlos en cualquier momento. Para obtener más información, consulta Silencia resultados en Security Command Center.
Opciones de configuración de análisis
Si Web Security Scanner recibe credenciales de acceso, realizará todas las acciones con ese nivel de acceso. Para reducir el riesgo a tus recursos de producción y detectar vulnerabilidades antes de que alcancen la producción, se recomienda que ejecutes análisis en entornos de desarrollo, prueba, etapa de pruebas o control de calidad.
Analizar los recursos de producción es útil porque incluso los cambios pequeños en los recursos entre las pruebas y la producción pueden generar vulnerabilidades. Sin embargo, es posible que desees usar el acceso limitado durante los análisis de producción. Consulta las Prácticas recomendadas para obtener más información.
Para revisar las opciones de configuración del análisis administrado y comenzar a analizar de forma manual, usa la Google Cloud consola.
Para ver la configuración de análisis administrado de un proyecto, sigue estos pasos:
- Ve a la página Web Security Scanner en la Google Cloud consola de.
Ir a la página de Web Security Scanner - Selecciona un proyecto Aparecerá una página con una lista de los análisis administrados y personalizados.
- En Opciones de configuración de análisis, haz clic en
managed_scan. La página que aparece muestra los resultados del análisis administrado más reciente, incluidos el estado del análisis, las URL rastreadas y las vulnerabilidades encontradas. Usa la lista desplegable para ver los resultados de análisis anteriores.
Web Security Scanner administra y mantiene los análisis administrados, por lo que no puedes modificar las opciones de configuración de análisis. Los análisis administrados solo se pueden editar o borrar en Security Command Center, como se explica en Inhabilita análisis administrados.
Rangos de direcciones IP estáticas para análisis administrados
Cuando Web Security Scanner está habilitado en Security Command Center, los análisis administrados comienzan de forma automática mediante direcciones IP estáticas en los siguientes rangos:
8.34.210.32/2734.66.18.0/2634.66.114.64/2634.68.34.64/27
Análisis a pedido
Los análisis administrados se ejecutan de forma automática en un programa establecido. Sin embargo, puedes usar la página de Web Security Scanner para ejecutar análisis administrados a pedido:
- Ve a la página Web Security Scanner en la Google Cloud consola de.
Ir a la página de Web Security Scanner - Selecciona un proyecto Aparecerá una página con una lista de los análisis administrados y personalizados.
- En Opciones de configuración de análisis, haz clic en
managed_scan. - En la página siguiente, haz clic en Ejecutar en la parte superior de la página; o
- Haz clic en Volver a ejecutar el análisis en la pestaña Resultados.
El análisis comienza y los resultados se actualizan en Security Command Center cuando se completa. Los análisis administrados a pedido son útiles cuando deseas capturar los resultados para proyectos nuevos o actualizados entre los análisis programados. Los análisis a pedido no afectan el tiempo de los análisis semanales programados.
Puedes encontrar más información sobre el análisis en la página de registros del proyecto.
Inhabilita los análisis administrados
Para inhabilitar los análisis administrados de una organización, una carpeta o un proyecto, inhabilita el servicio de Web Security Scanner en Security Command Center. Para obtener instrucciones, consulta Habilita o inhabilita un servicio integrado.
Puedes continuar usando Web Security Scanner como un producto independiente para realizar análisis personalizados. Ten en cuenta lo siguiente:
- Debes configurar y administrar análisis personalizados para cada proyecto que desees analizar.
- Las opciones de configuración de los análisis administrados se archivan. Los resultados de los análisis administrados existentes permanecen visibles en la Google Cloud consola.
- Los análisis administrados solo están disponibles en Security Command Center, por lo que las opciones de configuración de análisis administrados y los resultados de los análisis administrados existentes se quitan de la página independiente de Web Security Scanner.
Si vuelves a habilitar Web Security Scanner en Security Command Center, las opciones de configuración y los resultados de los análisis administrados vuelven a aparecer en la página de Web Security Scanner. Por lo general, si los análisis nuevos encuentran las mismas vulnerabilidades, los resultados existentes se actualizan. Si tu aplicación o sitio web cambió sustancialmente desde el último análisis, es posible que se creen resultados nuevos.
¿Qué sigue?
- Obtén más información sobre cómo corregir los resultados de Web Security Scanner.