Relatório do modelo de ameaças do BigQuery

Última atualização: 16 de abril de 2026

Este documento identifica possíveis vetores de ataque e estratégias de mitigação para confidencialidade, integridade e disponibilidade de dados no BigQuery. O escopo deste relatório é limitado à sua perspectiva, com foco em riscos que podem ser gerenciados no seu ambiente do BigQuery.

Esses modelos de ameaças são uma avaliação probabilística baseada em vetores de ataque conhecidos, suposições arquitetônicas e o escopo especificado do sistema no momento da publicação. Esses modelos não são exaustivos e servem como base para as avaliações de segurança e risco dos clientes do Google Cloud e para orientar as decisões de redução de risco.

As seguintes ameaças foram identificadas para este serviço:

• Destruição de dados usando adulteração de esquema
• Escalonamento de privilégios usando adulteração da política de permissão do IAM
• Abuso de confusão de representantes usando serviços downstream acionados pelo BigQuery
• Exfiltração de dados usando saída de rede irrestrita
• Desvio de integridade de dados usando tabelas de referência ou de pesquisa contaminadas
• Adulteração de dados usando jobs de carregamento maliciosos
• Permissões excessivas do IAM que levam à divulgação de informações
• Exfiltração usando uma transferência para um projeto na nuvem ou conta controlada pelo invasor
• Divulgação de informações usando visualizações autorizadas mal configuradas ou lógica de segurança no nível da linha
• Divulgação de informações usando exposição de conjuntos de dados públicos ou entre projetos
• Uso indevido interno do acesso autorizado ao BigQuery (consultas legítimas usadas para coleta maliciosa)
• Permanência usando vinculações invisíveis do IAM do BigQuery em conjuntos de dados, visualizações autorizadas ou consultas programadas
• Spoofing usando credenciais de conta de serviço comprometidas ou token OAuth usado para acesso ao BigQuery
• Negação de serviço com base em custos usando consultas caras

Detalhes da ameaça

As seções a seguir fornecem informações sobre cada ameaça, suas manifestações e as mitigações recomendadas.

Destruição de dados usando adulteração de esquema

Um invasor com permissões para modificar o esquema de uma tabela pode causar perda de dados ou tornar a tabela inutilizável para aplicativos downstream. Essa forma de violação tem como alvo os metadados e a estrutura dos dados, o que pode ser tão destrutivo quanto modificar os dados em si.

Categoria STRIDE	Adulteração
Tática do MITRE ATT&CK	Impacto
Manifestações	Atualização maliciosa de esquema:um principal com a permissão bigquery.tables.update pode chamar o método da API tables.patch em uma tabela do BigQuery para alterar o esquema dela. Mudar os tipos de dados das colunas pode corromper os dados ou causar perda de informações, o que pode interromper as consultas de aplicativos clientes ou ferramentas de business intelligence, resultando em uma perda de confiança nos relatórios downstream.
Mitigações	Limite estritamente a permissão bigquery.tables.update, que faz parte de papéis como roles/bigquery.dataOwner. Conceda essa permissão apenas a um pequeno número de administradores ou contas de serviço automatizadas de CI/CD responsáveis por migrações de esquema gerenciadas. Ative os backups tabela do BigQuery ou use snapshots de tabelas para se recuperar de mudanças acidentais ou maliciosas no esquema. Monitore os registros de auditoria do Cloud para chamadas de API tables.patch e gere alertas sobre mudanças feitas fora de uma janela de manutenção planejada.

Escalonamento de privilégios usando adulteração de políticas de permissão do IAM

Um invasor que compromete um principal com permissões para modificar as políticas de permissão do IAM do BigQuery pode aumentar os privilégios para obter controle total sobre os recursos de dados. Com essa ameaça, o invasor pode conceder acesso para ler, modificar ou excluir dados sensíveis, ignorando os controles de acesso atuais.

Categoria STRIDE	Elevação de privilégios
Tática do MITRE ATT&CK	Escalonamento de privilégios
Manifestações	Modificação da política do conjunto de dados:um principal com a permissão bigquery.datasets.update pode chamar o método da API datasets.patch em um conjunto de dados do BigQuery para adicionar a própria identidade a uma função de proprietário, concedendo controle total sobre todos os recursos desse conjunto de dados. Identidade temporária de conta de serviço:uma identidade com a permissão iam.serviceAccounts.actAs em uma conta de serviço pode anexar a conta a outros recursos, como uma instância do Compute Engine, para executar código com a identidade da conta de serviço anexada. Como alternativa, uma identidade com a permissão iam.serviceAccounts.getAccessToken pode gerar tokens de acesso para essa conta de serviço. Se a conta de serviço de destino tiver permissões elevadas nos recursos do BigQuery, o invasor vai herdar esses privilégios.
Mitigações	Limite estritamente as permissões que permitem a modificação da política de permissão do IAM (por exemplo, bigquery.datasets.update, que faz parte de papéis como roles/bigquery.dataOwner). Atribua esses papéis apenas a um número mínimo de administradores confiáveis. Da mesma forma, controle rigorosamente os papéis do IAM com permissão para agir como ou simular contas de serviço e limite esses papéis a principais específicos que precisam deles. Monitore os registros de auditoria do Cloud para chamadas de API SetIamPolicy e datasets.patch e detecte mudanças não autorizadas na política.

Abuso de confusão de deputados usando serviços downstream acionados pelo BigQuery

Um invasor com permissões limitadas do BigQuery cria um job ou uma consulta que aciona um serviço downstream (por exemplo, uma função do Cloud, um job do Dataflow ou um DAG do Cloud Composer), que é executado com privilégios mais altos. O serviço downstream, ao pensar que está realizando uma ação legítima em nome do BigQuery, é enganado para realizar uma ação em um recurso diferente ou com dados diferentes do pretendido pelos designers do sistema.

Categoria STRIDE	Elevação de privilégios
Tática do MITRE ATT&CK	Escalonamento de privilégios
Manifestações	Acionador de função maliciosa:uma mudança no BigQuery aciona uma função do Cloud com permissões amplas, e o invasor manipula os dados do BigQuery para controlar as ações da função. Exploração de pipeline do Dataflow:um resultado de consulta do BigQuery é usado como entrada para um job do Dataflow, e o invasor grava os resultados da consulta para fazer com que o job do Dataflow ingira dados contaminados.
Mitigações	Aplique o princípio de privilégio mínimo às contas de serviço usadas por serviços downstream acionados pelo BigQuery. Verifique se esses serviços validam e limpam todas as entradas ou parâmetros recebidos de jobs do BigQuery. Use o VPC Service Controls para restringir os caminhos de rede e as interações de serviço. Projete serviços downstream para não confiar inerentemente nas entradas do BigQuery sem verificação.

Exfiltração de dados usando saída de rede irrestrita

Se os controles de segurança no nível da rede não estiverem implementados, uma entidade interna comprometida poderá acessar o BigQuery e exfiltrar dados sensíveis para um local arbitrário na Internet. Mesmo com controles de IAM fortes, a ausência de um perímetro de rede permite que um invasor que tenha obtido credenciais válidas contorne as defesas baseadas em localização e transfira dados para fora do ambiente confiável.

Categoria STRIDE	Divulgação de informações
Tática do MITRE ATT&CK	Exfiltração
Manifestações	Acesso à API de redes não confiáveis:um invasor usa credenciais comprometidas para se conectar à API pública do BigQuery ou à API BigQuery Storage Read de uma máquina externa, ignorando os controles de rede configurados para hosts locais ou dispositivos do usuário. Exportação para um serviço externo do Google Cloud:uma conta de serviço comprometida com permissões do bigquery.jobs.create e do Cloud Storage executa uma consulta que exporta resultados para um bucket do Cloud Storage público fora do controle da organização.
Mitigações	Implemente controles de saída de rede para reduzir a exfiltração de dados para serviços externos arbitrários. Implemente um perímetro do VPC Service Controls no projeto que contém os recursos do BigQuery. Esse perímetro ajuda a restringir a exfiltração de dados aos serviços do Google Cloud fora dele. Configure níveis de acesso para o perímetro de modo a permitir apenas solicitações de API originadas de intervalos de IP confiáveis ou redes VPC específicas, impedindo que os dados sejam acessados ou movidos para fora do limite de segurança definido.

Desvio de integridade de dados usando tabelas de referência ou de pesquisa contaminadas

Um invasor com acesso de gravação a tabelas de referência ou de consulta (por exemplo, tabelas de dimensão) modifica sutilmente o conteúdo delas. Consultas que fazem junção com essas tabelas corrompidas produzem resultados incorretos e enganosos, comprometendo a integridade das análises e das decisões de negócios posteriores, possivelmente sem erros óbvios.

Categoria STRIDE	Adulteração
Tática do MITRE ATT&CK	Impacto
Manifestações	Manipulação da tabela de dimensões:mudança de valores ou atributos principais em uma tabela de dimensões de produtos. Corrupção de consulta:alteração dos dados de mapeamento em uma tabela de consulta.
Mitigações	Limite rigorosamente o acesso de gravação (bigquery.tables.updateData) a tabelas de referência ou de pesquisa apenas a processos confiáveis de ingestão de dados. Implementar verificações de qualidade de dados e pipelines de validação. Use snapshots ou controle de versão de tabelas para rastrear mudanças e ativar reversões. Monitore os registros de auditoria para detectar mudanças nessas tabelas críticas.

Adulteração de dados usando jobs de carregamento maliciosos

Um invasor com permissões suficientes pode corromper ou substituir intencionalmente dados críticos em uma tabela do BigQuery executando um job de carregamento malicioso. Essa ameaça compromete a integridade dos dados, o que pode levar a análises de negócios incorretas, falhas de aplicativos e perda da confiança do cliente.

Categoria STRIDE	Adulteração
Tática do MITRE ATT&CK	Impacto
Manifestações	Substituição de tabela:um principal com bigquery.jobs.create e bigquery.tables.updateData inicia um job de carregamento com a disposição de gravação definida como WRITE_TRUNCATE, apagando todos os dados atuais e substituindo-os por dados maliciosos de uma fonte externa. Anexação de dados maliciosos:um invasor usa um job de carregamento com WRITE_APPEND para injetar dados inúteis ou maliciosos em uma tabela existente, corrompendo a análise sem excluir os registros originais.
Mitigações	Aplique o princípio de privilégio mínimo. Controle rigorosamente as permissões, como bigquery.jobs.create e bigquery.tables.updateData (encontradas em papéis como roles/bigquery.dataEditor). Conceda essas permissões apenas a principais confiáveis e limite-as a conjuntos de dados ou tabelas específicos. Monitore os registros de auditoria do Cloud em busca de conclusões de jobs de carregamento, principalmente aqueles com uma disposição WRITE_TRUNCATE, e crie alertas para jobs originados de usuários inesperados ou que carregam dados de fontes não confiáveis.

Permissões excessivas do IAM que levam à divulgação de informações

Papéis do IAM com permissões excessivas podem permitir acesso indevido a dados sensíveis armazenados em tabelas do BigQuery. Um invasor que compromete um principal com permissões amplas de acesso aos dados pode exfiltrar grandes volumes de dados, causando uma violação de dados significativa. Essa ameaça se concretiza quando permissões como bigquery.tables.getData ou bigquery.jobs.create são concedidas em um escopo amplo (por exemplo, no nível do projeto) em vez de serem restritas a conjuntos de dados ou tabelas específicos necessários para uma função comercial.

Categoria STRIDE	Divulgação de informações
Tática do MITRE ATT&CK	Exfiltração
Manifestações	Leitura direta de dados:um principal com a permissão bigquery.tables.getData pode ler dados diretamente das tabelas usando o método da API tabledata.list ou a API BigQuery Storage Read de alta capacidade. Exfiltração baseada em consultas:um principal com a permissão bigquery.jobs.create pode executar um job de consulta usando jobs.insert ou jobs.query para ler dados de qualquer tabela a que tenha acesso e recuperar os resultados usando jobs.getQueryResults. Acessibilidade pública:uma política de permissão do IAM em um conjunto de dados ou tabela do BigQuery pode ser configurada para permitir o acesso público concedendo papéis a principais especiais, como allUsers ou allAuthenticatedUsers, expondo dados à Internet.
Mitigações	Implemente o princípio de privilégio mínimo em todas as políticas de permissão do IAM. Conceda permissões no nível mais granular necessário (por exemplo, tabelas ou conjuntos de dados específicos do BigQuery) em vez de no nível do projeto. Use papéis do IAM com privilégio mínimo que contenham apenas as permissões necessárias (por exemplo, bigquery.tables.getData, bigquery.jobs.create) para tarefas específicas. Audite regularmente as políticas de permissão do IAM para funções excessivamente permissivas, como roles/bigquery.dataViewer ou roles/bigquery.user, aplicadas em um nível alto na hierarquia de recursos.

Exfiltração usando uma transferência para um projeto na nuvem ou conta na nuvem controlada pelo invasor

Um invasor usa os recursos de movimentação de dados do BigQuery (por exemplo, jobs de exportação para o Cloud Storage, consultas entre projetos, serviço de transferência de dados do BigQuery) para mover dados sensíveis do projeto protegido para um projeto do Google Cloud ou outra conta na nuvem sob controle dele.

Categoria STRIDE	Divulgação de informações
Tática do MITRE ATT&CK	Exfiltração
Manifestações	Exportação para um bucket externo:usando um job de exportação para salvar dados da tabela em um bucket do Cloud Storage no projeto de um invasor. Destino de consulta entre projetos:executar uma consulta e definir a tabela de destino como um conjunto de dados em um projeto controlado por um invasor.
Mitigações	Implemente o VPC Service Controls para criar um perímetro ao redor do projeto, impedindo a saída de dados para projetos fora do perímetro. Controle rigorosamente as permissões, como bigquery.tables.export e bigquery.jobs.create. Use restrições da política da organização para restringir o compartilhamento e a criação de projetos. Monitore os Registros de auditoria do Cloud para jobs ou consultas de exportação com destinos fora dos limites esperados do projeto.

Divulgação de informações usando visualizações autorizadas mal configuradas ou lógica de segurança no nível da linha

Falhas na lógica SQL das visualizações autorizadas ou das políticas de segurança no nível da linha resultam em um acesso aos dados mais amplo do que o pretendido. Os usuários que consultam a visualização ou a tabela podem acessar inadvertidamente linhas ou colunas que não deveriam ver, ignorando a segregação pretendida.

Categoria STRIDE	Divulgação de informações
Tática do MITRE ATT&CK	Coleção
Manifestações	Lógica de visualização com falha:a consulta de uma visualização autorizada omite as cláusulas WHERE necessárias que estão presentes nas políticas de segurança no nível da linha na tabela de base. Bypass da segurança no nível da linha:uma política complexa de segurança no nível da linha contém um erro lógico que permite um acesso mais amplo do que o pretendido.
Mitigações	Implemente um processo rigoroso de revisão de código para a lógica SQL usada em visualizações autorizadas e políticas de segurança no nível da linha. Teste a lógica de segurança completamente. Limite as permissões (como bigquery.tables.create, bigquery.tables.update ou bigquery.rowAccessPolicies.create) para criar ou atualizar visualizações e políticas de segurança no nível da linha. Audite regularmente as visualizações e configurações de segurança em nível de linha atuais. Siga as práticas recomendadas para segurança no nível da linha.

Divulgação de informações usando exposição de conjuntos de dados públicos ou entre projetos

Os dados sensíveis são expostos porque os conjuntos de dados do BigQuery são inadvertidamente ou maliciosamente tornados públicos (por exemplo, usando allUsers ou allAuthenticatedUsers) ou compartilhados de forma muito ampla com outros projetos do Google Cloud fora do limite de confiança pretendido. Um invasor pode acessar ou copiar os dados diretamente sem autenticação ou usando qualquer Conta do Google autenticada.

Categoria STRIDE	Divulgação de informações
Tática do MITRE ATT&CK	Exfiltração
Manifestações	Conjunto de dados público:uma política de permissão do IAM em um conjunto de dados concede permissões de leitor a allUsers. Compartilhamento excessivo entre projetos:um conjunto de dados é compartilhado com uma organização externa ou uma conta de serviço em um projeto não confiável.
Mitigações	Implemente o princípio de privilégio mínimo para políticas de permissão do IAM de conjuntos de dados. Use políticas da organização, como constraints/iam.allowedPolicyMemberDomains, para restringir o compartilhamento a domínios específicos. Audite regularmente as políticas de permissão do IAM do conjunto de dados usando o Security Command Center para detectar permissões públicas ou muito amplas. Use o VPC Service Controls para criar perímetros em torno de projetos com dados sensíveis e evitar saídas não autorizadas.

Uso indevido interno do acesso autorizado ao BigQuery (consultas legítimas usadas para coleta maliciosa)

Um insider malicioso com acesso legítimo ao BigQuery usa as permissões autorizadas para executar consultas e coletar dados sensíveis para fins não autorizados (por exemplo, ganho pessoal ou espionagem). Embora o acesso seja autorizado, a intenção e o uso dos dados são maliciosos.

Categoria STRIDE	Divulgação de informações
Tática do MITRE ATT&CK	Coleção
Manifestações	Acúmulo de dados:consultar e baixar regularmente dados do cliente além dos requisitos do trabalho. Análise sensível:realização de análises para extrair segredos comerciais ou PII para exfiltração.
Mitigações	Ative e monitore os registros de auditoria de acesso aos dados para rastrear padrões de acesso aos dados. Use ferramentas como a Proteção de Dados Sensíveis para verificar se há informações sensíveis nos resultados da consulta. Implemente a análise do comportamento do usuário (UBA) para detectar padrões de consulta ou volumes de acesso aos dados anômalos. Aplique políticas claras de tratamento de dados e ofereça treinamento de conscientização sobre segurança. Use a segurança no nível da linha e da coluna para limitar a exposição de dados, mesmo para usuários autorizados.

Permanência usando vinculações do IAM do BigQuery ocultas em conjuntos de dados, visualizações autorizadas ou consultas programadas

Um invasor, depois de conseguir acesso inicial, estabelece uma presença de longo prazo criando mecanismos de acesso difíceis de detectar no BigQuery. Essa ameaça inclui adicionar vinculações do IAM a conjuntos de dados, criar visualizações autorizadas que consultam dados sensíveis ou configurar consultas programadas que são executadas em uma conta de serviço privilegiada para exfiltrar dados ou manter o acesso.

Categoria STRIDE	Elevação de privilégios
Tática do MITRE ATT&CK	Persistência
Manifestações	IAM de conjunto de dados oculto:conceder direitos de visualização de uma conta pessoal em um conjunto de dados específico e menos monitorado. Backdoor de visualização autorizada:criação de uma visualização autorizada para acessar uma tabela restrita e concessão de acesso a ela. Consulta programada maliciosa:configuração de uma consulta programada para copiar dados periodicamente para um local externo.
Mitigações	Audite regularmente todas as políticas de permissão do IAM, incluindo permissões no nível do conjunto de dados, usando ferramentas como o Security Command Center. Controle rigorosamente as permissões para criar ou atualizar conjuntos de dados (bigquery.datasets.update), rotinas (bigquery.routines.create/update) e transferências de dados (bigquery.transfers.update).

Spoofing usando credenciais de conta de serviço comprometidas ou token OAuth usado para acesso ao BigQuery

Um invasor obtém credenciais de conta de serviço (por exemplo, chaves JSON exportadas) e as usa para se autenticar no BigQuery como a conta de serviço comprometida, herdando todas as permissões dela. Essa ameaça permite que o invasor execute qualquer ação que a conta de serviço esteja autorizada a fazer, como ler dados, executar jobs ou modificar recursos.

Categoria STRIDE	Spoofing
Tática do MITRE ATT&CK	Acesso inicial
Manifestações	Chave de conta de serviço vazada:um arquivo de chave JSON é exposto em repositórios de código, armazenamento público ou metadados de instância. Aplicativo comprometido:um aplicativo que usa uma conta de serviço é comprometido, permitindo que o invasor extraia e use as credenciais dele. Token OAuth roubado:um invasor intercepta ou vaza um token OAuth de um aplicativo cliente ou sessão do navegador. Token com escopo excessivo:um aplicativo solicita e armazena tokens com escopos excessivos (por exemplo, acesso total ao BigQuery quando apenas a leitura é necessária).
Mitigações	Evite exportar chaves de conta de serviço. Em vez disso, use contas de serviço anexadas ou a federação de identidade da carga de trabalho sempre que possível. Se as chaves forem necessárias, faça a rotação delas regularmente e conceda à conta de serviço apenas as permissões mínimas necessárias. Monitore os registros de auditoria do Cloud e o Security Command Center para detectar atividades anômalas da conta de serviço ou exposição de chaves. Use a restrição da política da organização constraints/iam.disableServiceAccountKeyCreation para desativar a criação de chaves de conta de serviço. Armazene e transmita tokens OAuth com segurança. Siga as práticas recomendadas do OAuth 2.0. Solicite apenas os escopos necessários. Use tokens de curta duração e de atualização com segurança. Implemente mecanismos para detectar e revogar tokens comprometidos. Monitore padrões de uso de tokens anômalos. Conclua as medidas padrão de proteção de chaves conta de serviço. Configure a duração da sessão para os serviços do Google Cloud e aplique tokens de curta duração para reduzir o risco de vazamento.

Negação de serviço baseada em custos usando consultas caras

Um principal autenticado executa consultas projetadas para consumir recursos excessivos do BigQuery (como slots e bytes verificados). Essa ameaça pode causar estouros de custos enormes em projetos sob demanda ou falta de slots para outros usuários em projetos baseados em reservas, prejudicando as operações comerciais.

Categoria STRIDE	Negação de serviço
Tática do MITRE ATT&CK	Impacto
Manifestações	Consultas não otimizadas:execução de consultas com junções cruzadas em tabelas grandes sem filtros. Execução repetitiva:criação de scripts para execução frequente de consultas caras.
Mitigações	Use cotas personalizadas do BigQuery para definir limites de uso de consultas no nível do usuário e para envolvidos no projeto (por exemplo, bytes verificados por dia). Use o parâmetro maximumBytesBilled em jobs de consulta. Use as reservas do BigQuery para isolar cargas de trabalho e garantir a capacidade. Configure alertas de faturamento no Cloud Billing e monitore a utilização de slots no Cloud Monitoring para detectar e reagir a anomalias.