Security Center:Análisis de rutas de ataque

Descripción de la función

Con la función de análisis de rutas de ataque, usted comprende con claridad las conexiones y los riesgos potenciales entre distintos servicios en la nube. También identifica permisos de acceso directo innecesarios y descubre puntos débiles que podrían aprovecharse, como configuraciones de permisos demasiado amplias o transmisiones de datos sin cifrar. Security Center genera automáticamente sugerencias de seguridad para guiarlo en el ajuste de la configuración de permisos de los recursos. De esta manera, reduce las amenazas potenciales y mejora la seguridad general del sistema. Esta función le permite detectar y corregir vulnerabilidades de seguridad antes de que los atacantes las aprovechen, lo que protege sus datos y aplicaciones críticas frente a posibles ataques.

Habilitar el análisis de rutas de ataque

Después de activar el servicio de Cloud Security Posture Management en modalidad de suscripción o pay-as-you-go, puede usar la función de análisis de rutas de ataque. Esta función no consume la cuota de Cloud Security Posture Management. Para obtener más información sobre cómo activar el servicio Cloud Security Posture Management, consulte CSPM overview.

Descripción de las estadísticas

Los resultados del análisis de rutas de ataque se actualizan automáticamente cada día. La página CSPM en la consola de Security Center muestra las rutas de ataque y la información detallada sobre los recursos en riesgo en la pestaña Attack Path.

Gestionar la configuración de escaneo de rutas de ataque

Tareas de escaneo de rutas de ataque

Security Center ejecuta automáticamente una tarea de escaneo una vez al día según los tipos de recursos y las rutas de ataque compatibles.

• Si no hay recursos confidenciales configurados, los resultados del escaneo de las reglas de ruta de ataque correspondientes estarán vacíos.

• Si se configuró una lista blanca, Security Center no escanea las reglas de ruta de ataque entre los recursos de entrada y de destino incluidos en ella, ni genera alertas para dichas reglas.

Consultar los detalles de las rutas de ataque

1. En la página CSPM, consulte la lista de rutas de ataque que activan reglas en la pestaña Attack Path. La lista contiene la siguiente información.

   La parte superior de la página muestra las estadísticas sobre el número de rutas de ataque que requieren atención urgente y el número de recursos en riesgo. Filtre las rutas de ataque por urgencia, tipo de ruta o nombre de ruta de ataque. La columna Actions de la lista ofrece las operaciones Details y Add to Whitelist.

   Elemento de alerta	Descripción
   Urgency	Nivel de riesgo de la ruta de ataque: Urgent (rojo), Suspicious (naranja) o Notice (gris).
   Attack path name	Nombre de la ruta de ataque activada.
   Path type	Tipo de la ruta de ataque activada: par de AccessKey anómalo, recurso confidencial, escalada de privilegios por rol o escalada de privilegios por usuario.
   Intruded asset and target asset	Información sobre el recurso de entrada y el recurso de destino de la ruta de ataque actual.
   Last occurrence time	Última vez que se presentó la ruta de ataque actual.

2. Haga clic en Details en la columna Actions de una ruta de ataque para consultar su información básica, los datos de la ruta, la solución de corrección y el gráfico correspondiente.

   • Basic Information: incluye la urgencia, el tipo de ruta, la hora de la primera detección y la hora de la última detección.

   • Compromised Assets and Asset Types o Targeted Asset and Asset Type: muestra los identificadores de instancia y los tipos de recurso de los elementos comprometidos y de destino. Haga clic en un identificador de instancia para ir a la página de detalles del recurso correspondiente en Asset Center y consultar los detalles del recurso en riesgo.

   • Attack Path Information: muestra la lógica de detección de la ruta de ataque.

   • Solution: proporciona sugerencias y guías operativas para corregir la ruta de ataque.

   • Attack Path Graph: muestra las relaciones entre los recursos involucrados en la ruta de ataque.

     • Una línea roja entre dos nodos indica un riesgo. Haga clic en la línea roja para consultar las sugerencias de corrección correspondientes.

       El lado izquierdo de la página de detalles de la solución muestra las sugerencias. Por ejemplo, el sistema podría recomendarle revisar y revocar los roles de instancia de RAM innecesarios en el host, asegurarse de que solo estén asociados los roles requeridos por su negocio y evitar vincular permisos administrativos como AdministratorAccess, AliyunRAMFullAccess y AliyunECSFullAccess. Si un rol de instancia se asoció sin autorización, desvincúlelo de inmediato y lleve a cabo una revisión adicional. Ruta de operación: vaya a la consola de ECS, seleccione la región donde reside el host, diríjase a Instance Details > Other Information > RAM Role y luego haga clic en Grant/Revoke RAM Role. El lado derecho muestra el gráfico de la ruta de ataque correspondiente, que presenta la topología desde el host comprometido, pasando por un usuario con privilegios elevados, hasta la operación de asociación de políticas (ram:AttachPolicyTo...).

     • Haga clic en un nodo para consultar su información básica y los riesgos de vulnerabilidad asociados.

       La información básica incluye campos como Instance Name, Instance ID, Region e Instance Type. Los riesgos de vulnerabilidad asociados se muestran en una tabla que presenta los nombres de las vulnerabilidades (como CVE-2024-21626) y la entrada de operación Details. El gráfico de la ruta de ataque de la derecha muestra la cadena de ataque completa en una topología, desde un contenedor o nodo de Kubernetes, pasando por la explotación de vulnerabilidades y el acceso a API, hasta la escalada de privilegios en RAM.

     • Haga clic en el ícono de ayuda en la esquina superior derecha del gráfico de la ruta de ataque para consultar los íconos de los nodos y sus significados.

       La leyenda de nodos contiene los siguientes tipos de recursos: rol de RAM, grupo de usuarios de RAM, política, AK, API, instancia de ECS, contenedor ECI, bucket de OSS, alerta, vulnerabilidad, servicio de red, dirección IP y cuenta principal o cuenta de RAM.

     • Haga clic en el ícono de configuración en la esquina superior derecha del gráfico de la ruta de ataque para configurar su diseño.

       El diseño incluye el estilo de línea (línea recta o polilínea), la distancia entre nodos (ajustable mediante un control deslizante) y la dirección del diseño (RIGHT, LEFT, DOWN o UP).

     • Haga clic en el ícono de descarga en la esquina superior derecha del gráfico de la ruta de ataque para exportarlo. Comparta este gráfico con los administradores de seguridad para mejorar la eficiencia del análisis al rastrear ataques hacia los recursos de destino.

Agregar rutas de ataque a una lista blanca

Si confirma que las rutas de ataque detectadas por las tareas de escaneo pueden ignorarse, utilice la función de lista blanca.

1. En la pestaña Attack Path de la página CSPM, haga clic en Add to Whitelist en la columna Actions de una ruta de ataque.

2. En el cuadro de diálogo que aparece, introduzca un valor para Whitelist Name y seleccione la regla que se aplicará a la lista blanca.

   • All Assets: este modo se aplica a las reglas de ruta de ataque. Los recursos que se agreguen después de crear la regla de lista blanca no generarán alertas.

   • Current Asset: este modo se aplica únicamente a los recursos comprometidos y de destino incluidos en la ruta de ataque actual.

3. Haga clic en OK.

Consulte la información de la lista blanca agregada en la pestaña By Attack Path, dentro de la pestaña Application Whitelist del panel Policy Management.

Documentos relacionados

• Si necesita corregir las vulnerabilidades detectadas en los recursos, consulte los siguientes documentos.

  • Manage vulnerabilities

  • Fix vulnerabilities

• Si necesita atender las alertas urgentes detectadas en los recursos, consulte Evaluate and handle security alerts.