Prisma Cloud : alerte de faux positif pour la politique, règle, mesures « Instance de VM GCP accessible via Internet avec un accès illimité (0.0.0.0/0) »
Symptom
Des alertes critiques et élevées se produisent en raison d'une défaillance du prisme dans la détection des machines virtuelles exposées à Internet. Élevé :
Instance de VM GCP accessible sur Internet avec un accès illimité (0.0.0.0/0).
Cela est dû à une source NAT (NAT source - SNAT) de Google concernant les règles de vérification de l'état dans le pare-feu VPC ici . Les utilisateurs ont des instances de VM exposées à Internet avec un équilibreur de charge et ces instances sont protégées par Cloud Armor.
Environment
- CSPM de Prisma Cloud
- Politique
Cause
Cloud Armor n'est pas pris en charge en tant que règles de politique, règle, mesures à ce jour.
Resolution
Corrigé dans la version PCS 24.3.1, le client peut exclure des actifs en fonction des balises.
* Cloner l'instance de machine virtuelle GCP de la politique, règle, mesures VM sur Internet avec un accès illimité (0.0.0.0/0) et exclure l'actif en fonction de la étiquette de destination à l'aide de NOT IN ()
config from network where source.network = '0.0.0.0/0' and address.match.criteria = 'full_match' and dest.resource.type = 'Instance' and dest.cloud.type = 'GCP' and dest.resource.state = 'Active' and dest.tag NOT IN (key1=value1, key2=value2, etc)
Additional Information
Consultez notre documentation ici sur la politique, règle, mesures de Prisma Cloud.