Panoramica di Event Threat Detection

Che cos'è Event Threat Detection?

Event Threat Detection è un servizio integrato per il livello Security Command Center Premium che monitora continuamente la tua organizzazione o i tuoi progetti e identifica le minacce all'interno dei tuoi sistemi quasi in tempo reale. Event Threat Detection viene aggiornato regolarmente con nuovi rilevatori per identificare le minacce emergenti su scala cloud.

Come funziona Event Threat Detection

Event Threat Detection monitora lo stream di Cloud Logging per la tua organizzazione o i tuoi progetti. Se attivi il livello Premium di Security Command Center a livello di organizzazione, Event Threat Detection utilizza i log per i tuoi progetti man mano che vengono creati e può monitorare i log di Google Workspace. Cloud Logging contiene voci di log delle chiamate API e di altre azioni che creano, leggono o modificano la configurazione o i metadati delle tue risorse. I log di Google Workspace monitorano gli accessi degli utenti al tuo dominio e forniscono un record delle azioni eseguite nella Console di amministrazione Google Workspace.

Le voci di log contengono informazioni sullo stato e sugli eventi che Event Threat Detection utilizza per rilevare rapidamente le minacce. Event Threat Detection applica la logica di rilevamento e i metodi proprietari di threat intelligence, come l'identificazione degli indicatori di compromissione (IoC), la profilazione in un intervallo di tempo scorrevole, il machine learning e il rilevamento di anomalie, per identificare le minacce quasi in tempo reale.

Quando Event Threat Detection rileva una minaccia, scrive un risultato in Security Command Center. Se attivi il livello Premium di Security Command Center a livello di organizzazione, Security Command Center può scrivere i risultati in un progetto Cloud Logging. Da Cloud Logging e dal logging di Google Workspace, puoi esportare i risultati in altri sistemi con Pub/Sub ed elaborarli con Cloud Run Functions.

Se attivi il livello Premium di Security Command Center a livello di organizzazione, puoi anche utilizzare Google Security Operations per analizzare alcuni risultati. Google SecOps è un servizio Google Cloud che ti consente di indagare sulle minacce e di passare da un'entità correlata all'altra in una cronologia unificata. Per istruzioni su come inviare i risultati a Google SecOps, consulta Esamina i risultati in Google SecOps.

La tua capacità di visualizzare e modificare i risultati e i log è determinata dai ruoli Identity and Access Management (IAM) che ti sono stati concessi. Per saperne di più sui ruoli IAM di Security Command Center, consulta Controllo dell'accesso.

Arricchimento dei dati sensibili

Event Threat Detection è integrato con Sensitive Data Protection per arricchire i risultati relativi alle risorse sensibili. Se hai attivato le analisi di rilevamento di Sensitive Data Protection e le hai configurate per inviare i risultati a Security Command Center, Event Threat Detection può utilizzare i metadati di sensibilità delle tue risorse BigQuery e Cloud Storage per modificare i risultati:

  • Modifiche alle categorie: se una risorsa viene identificata da Sensitive Data Protection come avente una sensibilità elevata o moderata, la categoria del risultato viene aggiornata a una categoria specifica che indica che la risorsa è sensibile. Ad esempio, se una chiave del account di servizio compromessa viene utilizzata per accedere a un bucket sensibile, la categoria del risultato cambia da Initial Access: Leaked Service Account Key Used a Initial Access: Leaked Service Account Key Affecting Sensitive Data.
  • Upgrade della gravità: se la gravità predefinita del risultato è inferiore ad Alta (ovvero Bassa o Media), la gravità viene aumentata di un livello (ad esempio, da Media ad Alta).

Per un elenco di regole che supportano l'arricchimento dei dati sensibili, consulta Regole predefinite di Event Threat Detection.

Regole di Event Threat Detection

Le regole definiscono il tipo di minacce rilevate da Event Threat Detection e i tipi di log che devono essere abilitati per il funzionamento dei rilevatori. Gli audit log per le attività di amministrazione vengono sempre scritti; non puoi configurarli o disabilitarli.

Event Threat Detection include le seguenti regole predefinite:

Nome visualizzato Nome API Tipi di origini log Descrizione Arricchimento dei dati sensibili
Active Scan: Log4j Vulnerable to RCE Non disponibile Log di Cloud DNS Gli scanner di vulnerabilità Log4j hanno avviato e identificato query DNS per domini non offuscati. Questa vulnerabilità può portare all'esecuzione di codice da remoto (RCE). Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Impatto: host Google Cloud Backup e RE eliminato BACKUP_HOSTS_DELETE_HOST Cloud Audit Logs:
Audit log delle attività di amministrazione del servizio di Backup e DR 		Un host è stato eliminato dalla console di gestione di Backup e RE. Le applicazioni associate all'host eliminato potrebbero non essere protette. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Impatto: scadenza dell'immagine di Google Cloud Backup e RE BACKUP_EXPIRE_IMAGE Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		Un utente ha richiesto l'eliminazione di un'immagine di backup dalla console di gestione di Backup e RE. L'eliminazione di un'immagine di backup non impedisce i backup futuri. Per impostazione predefinita, i risultati sono classificati con gravità Media. —
Impatto: piano di rimozione di Google Cloud Backup e RE BACKUP_REMOVE_PLAN Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		Un piano di backup con più policy per un'applicazione è stato eliminato da Backup e DR. L'eliminazione di un piano di backup può impedire i backup futuri. I risultati sono classificati come Media gravità per impostazione predefinita. —
Impatto: Google Cloud Backup e RE - Scadenza di tutte le immagini BACKUP_EXPIRE_IMAGES_ALL Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		Un utente ha richiesto l'eliminazione di tutte le immagini di backup per un'applicazione protetta dalla console di gestione di Backup e RE. L'eliminazione delle immagini di backup non impedisce i backup futuri. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Impatto: eliminazione del template di Google Cloud Backup e RE BACKUP_TEMPLATES_DELETE_TEMPLATE Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		Un template di backup predefinito, utilizzato per configurare i backup per più applicazioni, è stato eliminato dalla console di gestione di Backup e RE. La possibilità di configurare i backup in futuro potrebbe essere compromessa. Per impostazione predefinita, i risultati sono classificati con gravità Media. —
Impatto: politica di cancellazione di Google Cloud Backup e RE BACKUP_TEMPLATES_DELETE_POLICY Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		È stata eliminata dalla console di gestione di Backup e RE una policy di Backup e RE, che definisce come viene eseguito un backup e dove viene archiviato. I backup futuri che utilizzano la policy potrebbero non riuscire. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Impatto: eliminazione del profilo di Google Cloud Backup e RE BACKUP_PROFILES_DELETE_PROFILE Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		Un profilo di Backup e RE, che definisce quali pool di archiviazione devono essere utilizzati per archiviare i backup, è stato eliminato dalla console di gestione di Backup e RE. I backup futuri che utilizzano il profilo potrebbero non riuscire. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Impatto: rimozione dell'appliance di Google Cloud Backup e RE BACKUP_APPLIANCES_REMOVE_APPLIANCE Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		È stata eliminata un'appliance di backup dalla console di gestione di Backup e RE. Le applicazioni associate all'appliance di backup eliminata potrebbero non essere protette. Per impostazione predefinita, i risultati sono classificati con gravità Media. —
Impatto: eliminazione del pool di archiviazione di Google Cloud Backup e RE BACKUP_STORAGE_POOLS_DELETE Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		Un pool di archiviazione, che associa un bucket Cloud Storage a Backup e RE, è stato rimosso dalla console di gestione di Backup e RE. I backup futuri in questa destinazione di archiviazione non andranno a buon fine. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Impatto: riduzione della scadenza del backup di Google Cloud Backup e RE BACKUP_REDUCE_BACKUP_EXPIRATION Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		La data di scadenza di un backup protetto da Backup e RE è stata ridotta tramite la console di gestione di Backup e RE. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Impatto: frequenza di backup ridotta di Google Cloud Backup e RE BACKUP_REDUCE_BACKUP_FREQUENCY Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		La pianificazione del backup di Backup e RE è stata modificata per ridurre la frequenza di backup tramite la console di gestione di Backup e RE. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Impatto: vault di Google Cloud Backup e DR eliminato BACKUP_DELETE_VAULT Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		Un vault di backup è stato eliminato. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Impatto: backup di Google Cloud Backup e DR eliminato BACKUP_DELETE_VAULT_BACKUP Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		Un backup archiviato in un vault di backup è stato eliminato manualmente. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Impatto: associazione del piano di Backup e RE di Google Cloud eliminata BACKUP_DELETE_BACKUP_PLAN_ASSOCIATION Cloud Audit Logs:
Audit log delle attività di amministrazione di Backup e DR 		Un piano di backup di Backup e RE è stato rimosso da un workload. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Forza bruta SSH BRUTE_FORCE_SSH authlog Un attore ha ottenuto l'accesso SSH a un host tramite tecniche di forza bruta. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Cloud IDS: THREAT_IDENTIFIER CLOUD_IDS_THREAT_ACTIVITY Log di Cloud IDS

Eventi di minaccia rilevati da Cloud IDS.

Cloud IDS rileva gli attacchi di livello 7 analizzando i pacchetti sottoposti a mirroring e, quando viene rilevato un evento di minaccia, invia un risultato della classe di minaccia a Security Command Center. I nomi delle categorie dei risultati iniziano con "Cloud IDS" seguito dall'identificatore della minaccia di Cloud IDS.

L'integrazione di Cloud IDS con Event Threat Detection non include i rilevamenti delle vulnerabilità di Cloud IDS. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Per saperne di più sui rilevamenti di Cloud IDS, consulta Informazioni sul logging di Cloud IDS.

—
Escalation dei privilegi: membro esterno aggiunto al gruppo con privilegi EXTERNAL_MEMBER_ADDED_TO_PRIVILEGED_GROUP Log di Google Workspace:
Audit degli accessi
Autorizzazioni:
DATA_READ

Un membro esterno è stato aggiunto a un gruppo Google con privilegi (un gruppo a cui sono stati concessi ruoli o autorizzazioni sensibili). Un risultato viene generato solo se il gruppo non contiene già altri membri esterni della stessa organizzazione del membro appena aggiunto. Per saperne di più, consulta Modifiche non sicure di Google Gruppi.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come gravità Alta o Media, a seconda della sensibilità dei ruoli associati alla modifica del gruppo. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.

—
Escalation dei privilegi: gruppo con privilegi aperto al pubblico PRIVILEGED_GROUP_OPENED_TO_PUBLIC Google Workspace:
Admin Audit
Permissions:
DATA_READ

Un gruppo Google con privilegi (un gruppo a cui sono stati concessi ruoli o autorizzazioni sensibili) è stato modificato per essere accessibile al pubblico generico. Per saperne di più, consulta Modifiche non sicure di Google Gruppi.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come di gravità Alta o Media, a seconda della sensibilità dei ruoli associati alla modifica del gruppo. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.

—
Escalation dei privilegi: ruolo sensibile concesso al gruppo ibrido SENSITIVE_ROLE_TO_GROUP_WITH_EXTERNAL_MEMBER Cloud Audit Logs:
Audit log di attività di amministrazione IAM

Sono stati concessi ruoli sensibili a un gruppo Google con membri esterni. Per saperne di più, consulta Modifiche non sicure di Google Gruppi.

I risultati sono classificati come di gravità Alta o Media, a seconda della sensibilità dei ruoli associati alla modifica del gruppo. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.

—
Evasione della difesa: deployment di emergenza del workload creato (anteprima) BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_CREATE Cloud Audit Logs:
Log delle attività di amministrazione 		È stato eseguito il deployment dei workload utilizzando il flag di deployment di emergenza per eseguire l'override dei controlli di Autorizzazione binaria. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Evasione della difesa: deployment di emergenza del workload aggiornato (anteprima) BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_UPDATE Cloud Audit Logs:
Log delle attività di amministrazione 		I workload sono stati aggiornati utilizzando il flag di deployment di emergenza per eseguire l'override dei controlli di Autorizzazione binaria. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Rilevamento: prova di scansione delle porte dall'agente AI (anteprima) AGENT_ENGINE_PORT_SCANNING_EVIDENCE Log di Agent Engine:
Log di Agent Engine 		Un agente AI ha mostrato un comportamento di scansione delle porte orizzontale o verticale. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Rilevamento: chiamata API non autorizzata del service account dell'agente AI (anteprima) AGENT_ENGINE_UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL Cloud Audit Logs:
Audit log delle attività di amministrazione 		Un account di servizio ha effettuato una chiamata API non autorizzata a un progetto esterno tramite un agente AI. Questo comportamento può indicare che un utente non autorizzato sta tentando di ottenere dettagli sulle risorse, attivare o disattivare servizi o eseguire altre azioni non autorizzate tramite un agente AI. I risultati sono classificati come Bassa gravità per impostazione predefinita. Categoria: Discovery: AI Agent Unauthorized Service Account API Call Affecting Sensitive Data
Gravità: da bassa a media
Evasione della difesa: filtro IP del bucket GCS modificato GCS_BUCKET_IP_FILTERING_MODIFIED Cloud Audit Logs:
Log delle attività di amministrazione 		Un utente o un account di servizio ha modificato la configurazione del filtro IP per un bucket Cloud Storage. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Defense Evasion: modifica Controllo di servizio VPC DEFENSE_EVASION_MODIFY_VPC_SERVICE_CONTROL Cloud Audit Logs Audit log dei Controlli di servizio VPC

È stato modificato un perimetro dei Controlli di servizio VPC esistente, il che comporterebbe una riduzione della protezione offerta da quel perimetro.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

 —
Evasione della difesa: blocco di policy HTTP del progetto disabilitato PROJECT_HTTP_POLICY_BLOCK_DISABLED Cloud Audit Logs:
Log delle attività di amministrazione 		Un utente o un account di servizio ha attivato correttamente un'azione per disattivare storage.secureHttpTransport su un progetto. Questo vale anche quando l'azione viene eseguita a livello di organizzazione o di cartella, poiché le policy applicate a questo livello vengono ereditate dai progetti secondari per impostazione predefinita. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Discovery: auto-indagine sul service account dell'agente AI (anteprima) AGENT_ENGINE_IAM_ANOMALOUS_BEHAVIOR_SERVICE_ACCOUNT_GETS_OWN_IAM_POLICY Cloud Audit Logs:
Log di controllo dell'accesso ai dati IAM
Autorizzazioni:
DATA_READ

Un'identità associata a un agente AI è stata utilizzata per esaminare i ruoli e le autorizzazioni associati allo stesso account di servizio. I risultati sono classificati come gravità Bassa se la richiesta è stata autorizzata o gravità Alta se la richiesta non è stata autorizzata.

—
Scoperta: può ottenere il controllo di oggetti Kubernetes sensibili GKE_CONTROL_PLANE_CAN_GET_SENSITIVE_OBJECT Cloud Audit Logs:
Log di accesso ai dati di GKE

Un utente potenzialmente malintenzionato ha tentato di determinare su quali oggetti sensibili in GKE può eseguire query utilizzando il comando kubectl auth can-i get. In particolare, la regola rileva se l'utente ha verificato l'accesso all'API per i seguenti oggetti:

I risultati sono classificati come Bassa gravità per impostazione predefinita.

—
Discovery: auto-indagine sul service account SERVICE_ACCOUNT_SELF_INVESTIGATION Cloud Audit Logs:
Log di controllo dell'accesso ai dati IAM
Autorizzazioni:
DATA_READ

È stata utilizzata una credenziale del account di servizio IAM per esaminare i ruoli e le autorizzazioni associati allo stesso account di servizio.

Ruoli sensibili

I risultati sono classificati come di gravità Alta o Media, a seconda della sensibilità dei ruoli concessi. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.

—
Accesso alle credenziali: accesso anomalo dell'agente AI al servizio di metadati (anteprima) AGENT_ENGINE_ANOMALOUS_ACCESS_TO_METADATA_SERVICE Log di Agent Engine:
Log di Agent Engine 		Un agente AI ha recuperato un token del account di servizio da un server di metadati. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Evasione: accesso da proxy con anonimizzazione ANOMALOUS_ACCESS Cloud Audit Logs:
Log delle attività di amministrazione 		Modifiche al servizio Google Cloud provenienti da un indirizzo IP associato alla rete Tor. I risultati sono classificati come Media gravità per impostazione predefinita. —
Esfiltrazione: esfiltrazione dei dati di BigQuery DATA_EXFILTRATION_BIG_QUERY Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata
Autorizzazioni:
DATA_READ

Rileva i seguenti scenari:

  • Le risorse di proprietà dell'organizzazione protetta sono state salvate all'esterno dell'organizzazione, incluse le operazioni di copia o trasferimento.

    Questo scenario è indicato da una regola secondaria di exfil_to_external_table e gravità Alta.

  • Sono stati effettuati tentativi di accesso alle risorse BigQuery protette dai Controlli di servizio VPC.

    Questo scenario è indicato da una regola secondaria di vpc_perimeter_violation e gravità Bassa.

Categoria: Exfiltration: Sensitive BigQuery Data Exfiltration
Gravità: da bassa a media
Esfiltrazione: estrazione dei dati di BigQuery DATA_EXFILTRATION_BIG_QUERY_EXTRACTION Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata
Autorizzazioni:
DATA_READ

Rileva i seguenti scenari:

  • Una risorsa BigQuery di proprietà dell'organizzazione è stata salvata, tramite operazioni di estrazione, in un bucket Cloud Storage esterno all'organizzazione.
  • Una risorsa BigQuery di proprietà dell'organizzazione protetta è stata salvata, tramite operazioni di estrazione, in un bucket Cloud Storage accessibile pubblicamente di proprietà dell'organizzazione.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. I risultati sono classificati come Bassa gravità per impostazione predefinita.

 Categoria: Exfiltration: Sensitive BigQuery Data Extraction
Gravità: da bassa a media
Esfiltrazione: l'agente AI ha avviato una violazione del perimetro VPC di BigQuery (anteprima) AGENT_ENGINE_BIG_QUERY_EXFIL_VPC_PERIMETER_VIOLATION
 Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata Autorizzazioni:
DATA_READ

Rileva un tentativo da parte di un agente AI di accedere alle risorse BigQuery protette dai Controlli di servizio VPC. Per impostazione predefinita, i risultati sono classificati con gravità Bassa.

—
Esfiltrazione: l'agente AI ha avviato l'esfiltrazione dei dati di BigQuery nella tabella esterna (anteprima) AGENT_ENGINE_BIG_QUERY_EXFIL_TO_EXTERNAL_TABLE
 Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata Autorizzazioni:
DATA_READ

Rileva quando le risorse di proprietà dell'organizzazione protetta sono state salvate all'esterno dell'organizzazione da un agente AI, incluse le operazioni di copia o trasferimento. I risultati sono classificati come Alta gravità per impostazione predefinita.

Categoria: Exfiltration: AI Agent Initiated Sensitive BigQuery Data Exfiltration to External Table
Gravità: nessuna modifica (valore predefinito: Alta)
Esfiltrazione: l'agente AI ha avviato l'esfiltrazione dei dati di Cloud SQL in un bucket pubblico (anteprima) AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS
 Cloud Audit Logs: Log di accesso ai dati MySQL
Log di accesso ai dati PostgreSQL
Log di accesso ai dati SQL Server

Rileva quando i dati dell'istanza live sono stati esportati da un agente AI in un bucket Cloud Storage di proprietà dell'organizzazione e accessibile pubblicamente.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Per impostazione predefinita, i risultati sono classificati con gravità Alta.

—
Esfiltrazione: l'agente AI ha avviato l'esfiltrazione dei dati di Cloud SQL nel bucket esterno (anteprima) AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS Cloud Audit Logs: Log di accesso ai dati MySQL
Log di accesso ai dati PostgreSQL
Log di accesso ai dati SQL Server

Rileva quando i dati dell'istanza live sono stati esportati da un agente AI in un bucket Cloud Storage esterno all'organizzazione.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Per impostazione predefinita, i risultati sono classificati con gravità Alta.

—
Esfiltrazione: l'agente AI ha avviato l'estrazione dei dati di BigQuery (anteprima) AGENT_ENGINE_BIG_QUERY_EXFIL_TO_CLOUD_STORAGE Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata Autorizzazioni:
DATA_READ

Rileva i seguenti scenari di estrazione dei dati di BigQuery avviata da un agente AI:

  • Una risorsa BigQuery di proprietà dell'organizzazione protetta è stata salvata, tramite operazioni di estrazione, in un bucket Cloud Storage esterno all'organizzazione.
  • Una risorsa BigQuery di proprietà dell'organizzazione protetta è stata salvata, tramite operazioni di estrazione, in un bucket Cloud Storage accessibile pubblicamente di proprietà dell'organizzazione.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. I risultati sono classificati come Bassa gravità per impostazione predefinita.

 Categoria: Exfiltration: AI Agent Initiated Sensitive BigQuery Data Extraction
Gravità: da bassa a media
Esfiltrazione: dati di BigQuery su Google Drive DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata
Autorizzazioni:
DATA_READ 		Una risorsa BigQuery di proprietà dell'organizzazione protetta è stata salvata, tramite operazioni di estrazione, in una cartella di Google Drive. I risultati sono classificati come Bassa gravità per impostazione predefinita. Categoria: Exfiltration: Sensitive BigQuery Data to Google Drive
Gravità: da bassa a media
Esfiltrazione: spostamento in una risorsa BigQuery pubblica DATA_EXFILTRATION_BIG_QUERY_TO_PUBLIC_RESOURCE Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata
Autorizzazioni:
DATA_READ

Una risorsa BigQuery è stata salvata in una risorsa pubblica di proprietà della tua organizzazione. I risultati sono classificati come Media gravità per impostazione predefinita.

 —
Esfiltrazione: esfiltrazione dei dati di Cloud SQL CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS
CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS 		Cloud Audit Logs: Log di accesso ai dati MySQL
Log di accesso ai dati PostgreSQL
Log di accesso ai dati SQL Server

Rileva i seguenti scenari:

  • I dati dell'istanza attiva sono stati esportati in un bucket Cloud Storage esterno all'organizzazione.
  • I dati dell'istanza attiva sono stati esportati in un bucket Cloud Storage di proprietà dell'organizzazione e accessibile pubblicamente.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Per impostazione predefinita, i risultati sono classificati con gravità Alta.

—
Esfiltrazione: backup di ripristino di Cloud SQL su un'organizzazione esterna CLOUDSQL_EXFIL_RESTORE_BACKUP_TO_EXTERNAL_INSTANCE Cloud Audit Logs: Log delle attività di amministrazione di MySQL
Log delle attività di amministrazione di PostgreSQL
Log delle attività di amministrazione di SQL Server

Il backup di un'istanza Cloud SQL è stato ripristinato in un'istanza esterna all'organizzazione. Per impostazione predefinita, i risultati sono classificati con gravità Alta.

—
Esfiltrazione: concessione di privilegi eccessivi di Cloud SQL CLOUDSQL_EXFIL_USER_GRANTED_ALL_PERMISSIONS Cloud Audit Logs: Log di accesso ai dati PostgreSQL
Nota: per utilizzare questa regola, devi abilitare l'estensione pgAudit. 		A un utente o ruolo Cloud SQL per PostgreSQL sono stati concessi tutti i privilegi per un database o per tutte le tabelle, le procedure o le funzioni in uno schema. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Accesso iniziale: il super utente del database scrive nelle tabelle utente CLOUDSQL_SUPERUSER_WRITES_TO_USER_TABLES Cloud Audit Logs: Log di accesso ai dati di Cloud SQL per PostgreSQL
Log di accesso ai dati di Cloud SQL per MySQL
Nota: per utilizzare questa regola, devi abilitare l'estensione pgAudit per PostgreSQL o l'audit del database per MySQL. 		Un super utente Cloud SQL (postgres per i server PostgreSQL o root per gli utenti MySQL) ha scritto in tabelle non di sistema. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Escalation dei privilegi: concessione di privilegi eccessivi ad AlloyDB ALLOYDB_USER_GRANTED_ALL_PERMISSIONS Cloud Audit Logs: Log di accesso ai dati di AlloyDB per PostgreSQL
Nota: per utilizzare questa regola, devi abilitare l'estensione pgAudit. 		A un utente o ruolo AlloyDB per PostgreSQL sono stati concessi tutti i privilegi per un database o per tutte le tabelle, le procedure o le funzioni in uno schema. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Escalation dei privilegi: il super utente del database AlloyDB scrive nelle tabelle utente ALLOYDB_SUPERUSER_WRITES_TO_USER_TABLES Cloud Audit Logs: Log di accesso ai dati di AlloyDB per PostgreSQL
Nota: per utilizzare questa regola, devi abilitare l'estensione pgAudit. 		Un super utente AlloyDB per PostgreSQL (postgres) ha scritto in tabelle non di sistema. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Accesso iniziale: azioni negate per autorizzazioni eccessive di AI Agent Identity (anteprima) AGENT_ENGINE_EXCESSIVE_FAILED_ATTEMPT Cloud Audit Logs: log delle attività di amministrazione Un'identità associata a un agente AI ha attivato ripetutamente errori di autorizzazione negata tentando di apportare modifiche in più metodi e servizi. I risultati sono classificati come Media gravità per impostazione predefinita. —
Accesso iniziale: azione service account inattivo DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION Cloud Audit Logs: log delle attività di amministrazione Un service account gestito dall'utente inattivo ha attivato un'azione. In questo contesto, un account di servizio è considerato inattivo se non è stato utilizzato per più di 180 giorni. Per impostazione predefinita, i risultati sono classificati con gravità Alta. Categoria: Initial Access: Dormant Service Account Action taken Affecting Sensitive Data
Gravità: nessuna modifica (valore predefinito: Alta)
Escalation dei privilegi: ruolo sensibile concesso al service account inattivo DORMANT_SERVICE_ACCOUNT_ADDED_IN_IAM_ROLE Cloud Audit Logs: Audit log di Attività di amministrazione IAM

A un service account gestito dall'utente inattivo sono stati concessi uno o più ruoli IAM sensibili. In questo contesto, un service account è considerato inattivo se non è stato utilizzato per più di 180 giorni.

Ruoli sensibili

I risultati sono classificati come di gravità Alta o Media, a seconda della sensibilità dei ruoli concessi. I risultati sono classificati come Media gravità per impostazione predefinita. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.

—
Escalation dei privilegi: ruolo per furto d'identità concesso per service account inattivo DORMANT_SERVICE_ACCOUNT_IMPERSONATION_ROLE_GRANTED Cloud Audit Logs: Audit log di Attività di amministrazione IAM A un'entità sono state concesse autorizzazioni per simulare l'identità di un account di servizio inattivo gestito dall'utente. In questo contesto, un account di servizio è considerato inattivo se non è stato utilizzato per più di 180 giorni. Per impostazione predefinita, i risultati sono classificati con gravità Media. —
Accesso iniziale: creazione della chiave del service account inattivo DORMANT_SERVICE_ACCOUNT_KEY_CREATED Cloud Audit Logs: log delle attività di amministrazione È stata creata una chiave per un service account gestito dall'utente inattivo. In questo contesto, un account di servizio è considerato inattivo se non è stato utilizzato per più di 180 giorni. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Accesso iniziale: chiave service account divulgata utilizzata LEAKED_SA_KEY_USED Cloud Audit Logs: Log delle attività di amministrazione
Log di accesso ai dati 		È stata utilizzata una chiave del account di servizio divulgata per autenticare l'azione. In questo contesto, una chiave account di servizio divulgata è una chiave pubblicata su internet pubblicamente. Per impostazione predefinita, i risultati sono classificati con gravità Alta. Categoria: Initial Access: Leaked Service Account Key Affecting Sensitive Data
Gravità: nessuna modifica (valore predefinito: Alta)
Accesso iniziale: azioni negate per autorizzazioni eccessive EXCESSIVE_FAILED_ATTEMPT Cloud Audit Logs: log delle attività di amministrazione Un'entità ha attivato ripetutamente errori di autorizzazione negata tentando di apportare modifiche in più metodi e servizi. I risultati sono classificati come Media gravità per impostazione predefinita. —
Persistenza: autenticazione avanzata disattivata ENFORCE_STRONG_AUTHENTICATION Google Workspace:
Audit amministratore

La verifica in due passaggi è stata disattivata per l'organizzazione.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Media gravità per impostazione predefinita.

 —
Persistenza: verifica in due passaggi disattivata 2SV_DISABLE Log di Google Workspace:
Controllo degli accessi
Autorizzazioni:
DATA_READ

Un utente ha disattivato la verifica in due passaggi.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

 —
Accesso iniziale: account compromesso ACCOUNT_DISABLED_HIJACKED Log di Google Workspace:
Audit degli accessi
Autorizzazioni:
DATA_READ

L'account di un utente è stato sospeso a causa di attività sospetta.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Media gravità per impostazione predefinita.

 —
Accesso iniziale: perdita di password disattivata ACCOUNT_DISABLED_PASSWORD_LEAK Log di Google Workspace:
Audit degli accessi
Autorizzazioni:
DATA_READ

L'account di un utente è stato disattivato perché è stata rilevata una fuga di password.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

 —
Accesso iniziale: attacco appoggiato da organizzazione governativa GOV_ATTACK_WARNING Log di Google Workspace:
Controllo degli accessi
Autorizzazioni:
DATA_READ

Gli utenti malintenzionati sostenuti da un governo potrebbero aver tentato di compromettere un account utente o un computer.

Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati con gravità Alta.

 —
Accesso iniziale: tentativo di compromissione di Log4j Non disponibile Log di Cloud Load Balancing:
Bilanciatore del carico HTTP Cloud
Nota: per utilizzare questa regola, devi attivare il logging del bilanciatore del carico delle applicazioni esterno.

Sono state rilevate ricerche Java Naming and Directory Interface (JNDI) all'interno di intestazioni o parametri URL. Queste ricerche potrebbero indicare tentativi di sfruttamento di Log4Shell. Questi risultati hanno una gravità bassa, perché indicano solo un tentativo di rilevamento o exploit, non una vulnerabilità o una compromissione.

Questa regola è sempre attiva. I risultati sono classificati come Bassa gravità per impostazione predefinita.

 —
Accesso iniziale: accesso sospetto bloccato SUSPICIOUS_LOGIN Log di Google Workspace:
Audit degli accessi
Autorizzazioni:
DATA_READ

È stato rilevato e bloccato un accesso sospetto all'account di un utente.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

 —
Malware Log4j: dominio dannoso LOG4J_BAD_DOMAIN Log di Cloud DNS Il traffico di exploit Log4j è stato rilevato in base a una connessione o a una ricerca di un dominio noto utilizzato negli attacchi Log4j. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Malware Log4j: IP non valido LOG4J_BAD_IP Log di flusso VPC
Log delle regole firewall
Log di Cloud NAT		 Il traffico di exploit Log4j è stato rilevato in base a una connessione a un indirizzo IP noto utilizzato negli attacchi Log4j. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Malware: dominio dannoso MALWARE_BAD_DOMAIN Log di Cloud DNS È stato rilevato un malware in base a una connessione o a una ricerca di un dominio dannoso noto. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Malware: IP non valido MALWARE_BAD_IP Log di flusso VPC
Log delle regole firewall
Log di Cloud NAT 		È stato rilevato un malware in base a una connessione a un indirizzo IP dannoso noto. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Malware: dominio dannoso di cryptomining CRYPTOMINING_POOL_DOMAIN Log di Cloud DNS Il cryptomining è stato rilevato in base a una connessione o a una ricerca di un dominio di mining noto. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Malware: IP non valido di cryptomining CRYPTOMINING_POOL_IP Log di flusso VPC
Log delle regole firewall
Log di Cloud NAT 		Il cryptomining è stato rilevato in base a una connessione a un indirizzo IP di mining noto. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Persistenza: chiave SSH aggiunta dall'amministratore GCE GCE_ADMIN_ADD_SSH_KEY Cloud Audit Logs:
Audit log delle attività di amministrazione di Compute Engine 		Il valore della chiave SSH dei metadati dell'istanza Compute Engine è stato modificato su un'istanza stabilita (più vecchia di 1 settimana). I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Persistenza: script di avvio aggiunto dall'amministratore GCE GCE_ADMIN_ADD_STARTUP_SCRIPT Cloud Audit Logs:
Audit log delle attività di amministrazione di Compute Engine 		Il valore dello script di avvio dei metadati dell'istanza Compute Engine è stato modificato su un'istanza stabilita (più vecchia di 1 settimana). I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Persistenza: IAM Anomalous Grant IAM_ANOMALOUS_GRANT Cloud Audit Logs:
Audit log di Attività di amministrazione IAM

Questo risultato include regole secondarie che forniscono informazioni più specifiche su ogni istanza di questo risultato.

Il seguente elenco mostra tutte le possibili regole secondarie:

  • external_service_account_added_to_policy, external_member_added_to_policy: i privilegi sono stati concessi a utenti IAM e service account che non sono membri della tua organizzazione o, se Security Command Center è attivato solo a livello di progetto, del tuo progetto.

    Nota: se Security Command Center è attivato a livello di organizzazione in qualsiasi livello, questo rilevatore utilizza le policy IAM esistenti di un'organizzazione come contesto. Se l'attivazione di Security Command Center è solo a livello di progetto, il rilevatore utilizza solo le policy IAM del progetto come contesto.

    Se viene concessa un'autorizzazione IAM sensibile a un membro esterno e sono presenti meno di tre policy IAM simili, questo rilevatore genera un risultato.

    Ruoli sensibili

    I risultati sono classificati come di gravità Alta o Media, a seconda della sensibilità dei ruoli concessi. Per impostazione predefinita, i risultati sono classificati con gravità Alta. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.

  • external_member_invited_to_policy: un membro esterno è stato invitato come proprietario del progetto tramite l'API InsertProjectOwnershipInvite.
  • custom_role_given_sensitive_permissions: l'autorizzazione setIAMPolicy è stata aggiunta a un ruolo personalizzato.
  • service_account_granted_sensitive_role_to_member: ai membri sono stati concessi ruoli con privilegi tramite un account di servizio. Questa sottoregola viene attivata da un sottoinsieme di ruoli sensibili che includono solo ruoli IAM di base e determinati ruoli di archiviazione dei dati. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.
  • policy_modified_by_default_compute_service_account: è stato utilizzato un account di servizio Compute Engine predefinito per modificare le impostazioni IAM del progetto.
—
Persistenza: autorizzazione AI sensibile aggiunta al ruolo personalizzato (anteprima) SENSITIVE_AI_PERMISSION_ADDED_TO_CUSTOM_ROLE Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		È stata aggiunta un'autorizzazione AI sensibile a un ruolo personalizzato IAM. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili per l'AI. Per impostazione predefinita, i risultati sono classificati con gravità Media. —
Persistenza: ruolo sensibile concesso dall'agente AI (anteprima) SENSITIVE_ROLE_GRANTED_BY_AI_AGENT Cloud Audit Logs:
Audit log di attività di amministrazione IAM 		Un agente AI a cui è stato concesso un ruolo IAM sensibile. I risultati sono classificati come gravità Media per i ruoli con sensibilità media o gravità Alta per i ruoli con sensibilità elevata. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili per l'AI. —
Persistenza: ruolo sensibile concesso all'agente AI esterno (anteprima) EXTERNAL_AI_AGENT_GRANTED_SENSITIVE_ROLE Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		A un agente AI di un'organizzazione esterna è stato concesso un ruolo IAM sensibile. I risultati sono classificati come gravità Media per i ruoli con sensibilità media o gravità Alta per i ruoli con sensibilità elevata. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili per l'AI. —
Persistenza: account non gestito con ruolo sensibile (anteprima) UNMANAGED_ACCOUNT_ADDED_IN_IAM_ROLE Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		È stato concesso un ruolo sensibile a un account non gestito. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Persistenza: nuovo metodo API
 ANOMALOUS_BEHAVIOR_NEW_API_METHOD Cloud Audit Logs:
Log delle attività di amministrazione 		I service account IAM hanno utilizzato un accesso anomalo ai servizi Google Cloud . I risultati sono classificati come Bassa gravità per impostazione predefinita. Categoria: Persistence: New API Method Affecting Sensitive Data
Gravità: da bassa a media
Persistenza: nuova area geografica IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION Cloud Audit Logs:
Log delle attività di amministrazione

Accesso agli account utente e di servizio IAM Google Cloud da località anomale, in base alla geolocalizzazione degli indirizzi IP richiedenti.

Questo risultato non è disponibile per le attivazioni a livello di progetto e, per impostazione predefinita, è classificato con gravità Bassa.

 —
Persistenza: nuovo user agent IAM_ANOMALOUS_BEHAVIOR_USER_AGENT Cloud Audit Logs:
Log delle attività di amministrazione

Accesso ai service account IAM da Google Cloud user agent anomali o sospetti.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

 —
Persistenza: attivazione/disattivazione SSO TOGGLE_SSO_ENABLED Google Workspace:
Audit amministratore

L'impostazione Attiva SSO (Single Sign-On) nell'account amministratore è stata disattivata.

Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati con gravità Alta.

 —
Persistenza: impostazioni SSO modificate CHANGE_SSO_SETTINGS Google Workspace:
Audit amministratore

Le impostazioni SSO per l'account amministratore sono state modificate.

Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati con gravità Alta.

 —
Escalation dei privilegi: simulazione anomala dell'identità del service account per l'attività di amministrazione ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY Cloud Audit Logs:
Log delle attività di amministrazione 		È stato utilizzato un service account di cui è stata simulata l'identità potenzialmente anomalo per un'attività amministrativa. I risultati sono classificati come Media gravità per impostazione predefinita. Categoria: Privilege Escalation: Anomalous Impersonation of Service Account for Admin Activity Affecting Sensitive Data
Gravità: da media ad alta
Escalation dei privilegi: delega anomala del service account con più passaggi per l'attività di amministrazione ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY Cloud Audit Logs:
Log delle attività di amministrazione 		È stata rilevata una richiesta delegata anomala con più passaggi per un'attività amministrativa. I risultati sono classificati come Media gravità per impostazione predefinita. Categoria: Privilege Escalation: Anomalous Multistep Service Account Delegation for Admin Activity Affecting Sensitive Data
Gravità: da media ad alta
Escalation dei privilegi: delega anomala del service account con più passaggi per l'accesso ai dati ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS Cloud Audit Logs:
Log di accesso ai dati 		È stata rilevata una richiesta delegata anomala con più passaggi per un'attività di accesso ai dati. I risultati sono classificati come Media gravità per impostazione predefinita. Categoria: Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Affecting Sensitive Data
Gravità: da media ad alta
Escalation dei privilegi: simulatore anomalo dell'identità del service account per l'attività di amministrazione ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY Cloud Audit Logs:
Log delle attività di amministrazione 		Un chiamante o un simulatore potenzialmente anomalo in una catena di delega è stato utilizzato per un'attività amministrativa. I risultati sono classificati come Media gravità per impostazione predefinita. Categoria: Privilege Escalation: Anomalous Service Account Impersonator for Admin Activity Affecting Sensitive Data
Gravità: da media ad alta
Escalation dei privilegi: simulatore anomalo dell'identità di un service account per l'accesso ai dati ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS Cloud Audit Logs:
Log di accesso ai dati 		Per un'attività di accesso ai dati è stato utilizzato un chiamante o un simulatore potenzialmente anomalo in una catena di delega. I risultati sono classificati come Media gravità per impostazione predefinita. Categoria: Privilege Escalation: Anomalous Service Account Impersonator for Data Access Affecting Sensitive Data
Gravità: da media ad alta
Escalation dei privilegi: modifiche agli oggetti RBAC Kubernetes sensibili GKE_CONTROL_PLANE_EDIT_SENSITIVE_RBAC_OBJECT Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Per eseguire l'escalation del privilegio, un utente potenzialmente malintenzionato ha tentato di modificare un oggetto con controllo dell'accesso basato su ruoli (RBAC) ClusterRole, RoleBinding o ClusterRoleBinding del ruolo sensibile cluster-admin utilizzando una richiesta PUT o PATCH. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Escalation dei privilegi: crea una richiesta CSR Kubernetes per il certificato principale GKE_CONTROL_PLANE_CSR_FOR_MASTER_CERT Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Un utente potenzialmente malintenzionato ha creato una richiesta di firma del certificato (CSR) master di Kubernetes, che concede l'accesso con il ruolo cluster-admin. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Escalation dei privilegi: creazione di associazioni Kubernetes sensibili GKE_CONTROL_PLANE_CREATE_SENSITIVE_BINDING Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		Per eseguire l'escalation del privilegio, un utente potenzialmente malintenzionato ha tentato di creare un nuovo oggetto RoleBinding o ClusterRoleBinding per il ruolo cluster-admin. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Escalation dei privilegi: recupera informazioni su CSR Kubernetes con credenziali bootstrap compromesse GKE_CONTROL_PLANE_GET_CSR_WITH_COMPROMISED_BOOTSTRAP_CREDENTIALS Cloud Audit Logs:
Log di accesso ai dati di GKE 		Un utente potenzialmente malintenzionato ha eseguito una query per ottenere una richiesta di firma del certificato (CSR) con il comando kubectl utilizzando credenziali di bootstrap compromesse. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Escalation dei privilegi: avvia un container Kubernetes con privilegi GKE_CONTROL_PLANE_LAUNCH_PRIVILEGED_CONTAINER Cloud Audit Logs:
Log delle attività di amministrazione di GKE

Un utente potenzialmente malintenzionato ha creato un pod contenente container con privilegi o con funzionalità di escalation dei privilegi.

Il campo privileged di un container con privilegi è impostato su true. Il campo allowPrivilegeEscalation di un container con funzionalità di escalation dei privilegi è impostato su true. Per ulteriori informazioni, consulta il riferimento dell'API principale SecurityContext v1 nella documentazione di Kubernetes. I risultati sono classificati come Bassa gravità per impostazione predefinita.

—
Persistenza: chiave del service account creata SERVICE_ACCOUNT_KEY_CREATION Cloud Audit Logs:
Audit log di attività di amministrazione IAM 		È stata creata una chiave del account di servizio. Le chiavi dei service account sono credenziali di lunga durata che aumentano il rischio di accesso non autorizzato alle risorse Google Cloud. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Escalation dei privilegi: script di chiusura globale aggiunto GLOBAL_SHUTDOWN_SCRIPT_ADDED Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		Uno script di arresto globale è stato aggiunto a un progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Persistenza: script di avvio globale aggiunto GLOBAL_STARTUP_SCRIPT_ADDED Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		È stato aggiunto uno script di avvio globale a un progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Elusione delle difese: aggiunto TokenCreatorRole a livello di organizzazione ORG_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		Il ruolo IAM Creatore token service account è stato concesso a livello di organizzazione. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Evasione della difesa: ruolo TokenCreatorRole a livello di cartella aggiunto FOLDER_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		Il ruolo IAM Creatore token service account è stato concesso a livello di cartella. Per impostazione predefinita, i risultati sono classificati con gravità Bassa. —
Elusione delle difese: ruolo TokenCreatorRole a livello di progetto aggiunto PROJECT_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		Il ruolo IAM Creatore token service account è stato concesso a livello di progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Evasione della difesa: ruolo TokenCreator a livello di organizzazione concesso all'agente AI (anteprima) AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_ORG Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		A un agente AI è stato concesso il ruolo IAM Creatore token service account a livello di organizzazione. I risultati sono classificati come Alta gravità per impostazione predefinita. —
Evasione della difesa: ruolo TokenCreator a livello di cartella concesso all'agente AI (anteprima) AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_FOLDER Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		A un agente AI è stato concesso il ruolo IAM Creatore token service account a livello di cartella. I risultati sono classificati come Alta gravità per impostazione predefinita. —
Evasione della difesa: ruolo TokenCreator a livello di progetto concesso all'agente AI AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_PROJECT Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		A un agente AI è stato concesso il ruolo IAM Creatore token service account a livello di progetto. I risultati sono classificati come Alta gravità per impostazione predefinita. —
Movimento laterale: esecuzione patch del sistema operativo dal service account Temporaneamente non disponibile OS_PATCH_EXECUTION_FROM_SERVICE_ACCOUNT Cloud Audit Logs.
Audit log di VM Manager 		Un account di servizio ha utilizzato la funzionalità Patch di Compute Engine per aggiornare il sistema operativo di un'istanza Compute Engine attualmente in esecuzione. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Questa regola non è al momento disponibile. Per monitorare l'attività di VM Manager, utilizza gli audit log di VM Manager.

—
Movimento laterale: disco di avvio modificato collegato all'istanza (anteprima) MODIFY_BOOT_DISK_ATTACH_TO_INSTANCE Cloud Audit Logs:
Audit log di Compute Engine 		Un disco di avvio è stato scollegato da un'istanza Compute Engine e collegato a un'altra, il che potrebbe indicare un tentativo dannoso di compromettere il sistema utilizzando un disco di avvio modificato. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Accesso con credenziali: secret a cui è stato eseguito l'accesso nello spazio dei nomi Kubernetes SECRETS_ACCESSED_IN_KUBERNETES_NAMESPACE Cloud Audit Logs:
Log di accesso ai dati di GKE 		Un service account ha eseguito l'accesso a secret o token di service account nello spazio dei nomi Kubernetes attuale. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Sviluppo delle risorse: attività distro di sicurezza non valida OFFENSIVE_SECURITY_DISTRO_ACTIVITY Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		Una risorsa Google Cloud è stata manipolata correttamente tramite distribuzioni di penetration testing o sicurezza offensiva note. I risultati sono classificati come Bassa gravità per impostazione predefinita. Categoria: Resource Development: Offensive Security Distro Activity Affecting Sensitive Data
Gravità: da bassa a media
Escalation dei privilegi: generazione token dell'agente AI mediante signJwt (anteprima) AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT Cloud Audit Logs:
Audit log di accesso ai dati IAM

Un account di servizio associato a un agente AI ha utilizzato il metodo serviceAccounts.signJwt per generare un token di accesso per un altro account di servizio.

I risultati sono classificati come Bassa gravità per impostazione predefinita.

 —
Escalation dei privilegi: generazione di token dell'agente AI mediante delega implicita (anteprima) AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION Cloud Audit Logs:
Audit log di accesso ai dati IAM
 L'autorizzazione iam.serviceAccounts.implicitDelegation è stata utilizzata in modo improprio per generare token di accesso da un account di servizio con più privilegi tramite un agente AI. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Escalation dei privilegi: generazione di token OpenID tra progetti dell'agente AI (anteprima) AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID Cloud Audit Logs:
Audit log di accesso ai dati IAM

L'autorizzazione IAM iam.serviceAccounts.getOpenIdToken è stata utilizzata tra i progetti tramite un agente AI.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

 —
Escalation dei privilegi: generazione di token di accesso tra progetti dell'agente AI (anteprima) AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN Cloud Audit Logs:
Audit log di accesso ai dati IAM

L'autorizzazione IAM iam.serviceAccounts.getAccessToken è stata utilizzata tra i progetti tramite un agente AI.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

 —
Escalation dei privilegi: il nuovo service account è il proprietario o l'editor Temporaneamente non disponibile SERVICE_ACCOUNT_EDITOR_OWNER Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		È stato creato un nuovo account di servizio con i ruoli Editor o Proprietario per un progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Questa regola non è al momento disponibile. Per monitorare le modifiche IAM, audit log delle attività di amministrazione IAM.

—
Discovery: Information Gathering Tool Used INFORMATION_GATHERING_TOOL_USED Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		È stato rilevato l'utilizzo di ScoutSuite. ScoutSuite è uno strumento di controllo della sicurezza del cloud noto per essere utilizzato da attori delle minacce. I risultati sono classificati come Bassa gravità per impostazione predefinita. Categoria: Discovery: Information Gathering Tool Affecting Sensitive Data
Gravità: da bassa a media
Escalation dei privilegi: generazione di token sospetti Temporaneamente non disponibile SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION Cloud Audit Logs:
Audit log IAM 		L'autorizzazione iam.serviceAccounts.implicitDelegation è stata utilizzata in modo improprio per generare token di accesso da un account di servizio con privilegi più elevati. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Questa regola non è al momento disponibile. Per monitorare l'attività IAM, utilizza gli audit log IAM.

—
Escalation dei privilegi: generazione di token sospetti Temporaneamente non disponibile SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT Cloud Audit Logs:
Audit log IAM 		Un account di servizio ha utilizzato il metodo serviceAccounts.signJwt per generare un token di accesso per un altro account di servizio. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Questa regola non è al momento disponibile. Per monitorare l'attività IAM, utilizza gli audit log IAM.

—
Escalation dei privilegi: generazione di token sospetti Temporaneamente non disponibile SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID Cloud Audit Logs:
Audit log IAM

L'autorizzazione IAM iam.serviceAccounts.getOpenIdToken è stata utilizzata in più progetti.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Questa regola non è al momento disponibile. Per monitorare l'attività IAM, utilizza gli audit log IAM.

—
Escalation dei privilegi: generazione di token sospetti Temporaneamente non disponibile SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN Cloud Audit Logs:
Audit log IAM

L'autorizzazione IAM iam.serviceAccounts.getAccessToken è stata utilizzata in più progetti.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Questa regola non è al momento disponibile. Per monitorare l'attività IAM, utilizza gli audit log IAM.

—
Escalation dei privilegi: utilizzo sospetto delle autorizzazioni tra progetti SUSPICIOUS_CROSS_PROJECT_PERMISSION_DATAFUSION Cloud Audit Logs:
Audit log di Attività di amministrazione IAM

L'autorizzazione IAM datafusion.instances.create è stata utilizzata in più progetti.

Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

 —
Comando e controllo: DNS Tunneling Temporaneamente non disponibile DNS_TUNNELING_IODINE_HANDSHAKE Log di Cloud DNS È stato rilevato l'handshake dello strumento di tunneling DNS Iodine. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Questa regola non è al momento disponibile. Per monitorare l'attività DNS, utilizza i log di Cloud DNS.

—
Evasione della difesa: tentativo di accesso mascherato route VPC VPC_ROUTE_MASQUERADE Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		Le route VPC che si mascherano come route predefinite Google Cloud sono state create manualmente, consentendo il traffico in uscita verso indirizzi IP esterni. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Impatto: fatturazione disabilitata Temporaneamente non disponibile BILLING_DISABLED_SINGLE_PROJECT Cloud Audit Logs:
Audit log delle attività di amministrazione di fatturazione Cloud 		La fatturazione è stata disattivata per un progetto. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Questa regola non è al momento disponibile. Per monitorare le modifiche alla fatturazione, utilizza gli audit log Attività di amministrazione di fatturazione Cloud.

—
Impatto: fatturazione disabilitata Temporaneamente non disponibile BILLING_DISABLED_MULTIPLE_PROJECTS Cloud Audit Logs:
Audit log delle attività di amministrazione di fatturazione Cloud 		La fatturazione è stata disabilitata per più progetti di un'organizzazione in un breve periodo di tempo. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Questa regola non è al momento disponibile. Per monitorare le modifiche alla fatturazione, utilizza gli audit log delle attività di amministrazione di fatturazione Cloud.

—
Impatto: blocco ad alta priorità per firewall VPC VPC_FIREWALL_HIGH_PRIORITY_BLOCK Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		È stata aggiunta una regola firewall VPC che blocca tutto il traffico in uscita con priorità 0. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Impatto: eliminazione regola di massa per firewall VPCTemporaneamente non disponibile VPC_FIREWALL_MASS_RULE_DELETION Cloud Audit Logs:
Audit log di Attività di amministrazione IAM

Le regole firewall VPC sono state eliminate in massa da account non di servizio.

Questa regola non è al momento disponibile. Per monitorare gli aggiornamenti alle regole firewall, utilizza gli audit log di Cloud. I risultati sono classificati come Bassa gravità per impostazione predefinita.

—
Impatto: API di servizio disabilitata SERVICE_API_DISABLED Cloud Audit Logs:
Audit log di Attività di amministrazione IAM 		Un'API di servizio Google Cloud è stata disabilitata in un ambiente di produzione. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Impatto: scalabilità automatica gruppo di istanze gestite impostata al massimo Temporaneamente non disponibile MIG_AUTOSCALING_SET_TO_MAX Cloud Audit Logs:
Audit log delle attività di amministrazione di Compute Engine 		È stato configurato un gruppo di istanze gestite per la scalabilità automatica massima. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Questa regola non è al momento disponibile. Per monitorare le modifiche agli asset di Compute Engine, utilizza gli audit log delle attività di amministrazione di Compute Engine.

—
Discovery: chiamata API non autorizzata del service account Temporaneamente non disponibile UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL Cloud Audit Logs:
Audit log delle attività di amministrazione 		Un account di servizio ha effettuato una chiamata API tra progetti non autorizzata. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Questa regola non è al momento disponibile. Per monitorare l'utilizzo dei account di servizio, utilizza gli audit log Attività di amministrazione.

—
Evasione di difesa: accesso amministrativo al cluster concesso da sessioni anonime ANONYMOUS_SESSIONS_GRANTED_CLUSTER_ADMIN Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		È stato creato un oggetto di controllo dell'accesso basato su ruoli (RBAC) ClusterRoleBinding, che aggiunge il comportamento root-cluster-admin-binding agli utenti anonimi. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Persistenza: nuova area geografica per il servizio AI AI_IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION Cloud Audit Logs:
Log delle attività di amministrazione

Gli account utente e di servizio IAM hanno eseguito l'accesso ai servizi AI Google Cloud da località anomale, in base alla geolocalizzazione degli indirizzi IP richiedenti.

Questo risultato non è disponibile per le attivazioni a livello di progetto e, per impostazione predefinita, è classificato con gravità Bassa.

 —
Escalation dei privilegi: delega anomala del service account con più passaggi per l'attività di amministrazione AI AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY Cloud Audit Logs:
Log delle attività di amministrazione 		È stata rilevata una richiesta delegata anomala con più passaggi per un'attività amministrativa di un servizio AI. I risultati sono classificati come Media gravità per impostazione predefinita. —
Escalation dei privilegi: delega anomala del service account con più passaggi per l'accesso ai dati AI AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS Cloud Audit Logs:
Log di accesso ai dati 		È stata rilevata una richiesta delegata anomala con più passaggi per un'attività di accesso ai dati di un servizio AI. I risultati sono classificati come Media gravità per impostazione predefinita. —
Escalation dei privilegi: simulatore anomalo dell'identità del service account per l'attività di amministrazione AI AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY Cloud Audit Logs:
Log delle attività di amministrazione 		È stato utilizzato un chiamante o un simulatore di identità potenzialmente anomalo in una catena di delega per un'attività amministrativa di un servizio AI. I risultati sono classificati come Media gravità per impostazione predefinita. —
Escalation dei privilegi: simulatore anomalo dell'identità di un service account per l'accesso ai dati AI AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS Cloud Audit Logs:
Log di accesso ai dati 		È stato utilizzato un chiamante o un simulatore potenzialmente anomalo in una catena di delega per un'attività di accesso ai dati di un servizio AI. I risultati sono classificati come Media gravità per impostazione predefinita. —
Escalation dei privilegi: simulazione anomala dell'identità del service account per l'attività di amministrazione AI AI_ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY Cloud Audit Logs:
Log delle attività di amministrazione 		È stato utilizzato un service account di cui è stata simulata l'identità potenzialmente anomalo per un'attività amministrativa di un servizio AI. I risultati sono classificati come Media gravità per impostazione predefinita. —
Persistenza: nuovo metodo API AI
 AI_ANOMALOUS_BEHAVIOR_NEW_API_METHOD Cloud Audit Logs:
Log delle attività di amministrazione 		I service account IAM hanno utilizzato un accesso anomalo ai servizi AI di Google Cloud . I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Accesso iniziale: attività del service account inattivo nel servizio AI AI_DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION Cloud Audit Logs: log delle attività di amministrazione Un service account gestito dall'utente inattivo ha attivato un'azione nei servizi AI. In questo contesto, un account di servizio è considerato inattivo se non è stato utilizzato per più di 180 giorni. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Accesso iniziale: risorsa GKE anonima creata da internet (anteprima) GKE_RESOURCE_CREATED_ANONYMOUSLY_FROM_INTERNET Cloud Audit Logs:
Log delle attività di amministrazione di GKE. 		Una risorsa è stata creata da un utente internet effettivamente anonimo. I risultati sono classificati come Alta gravità per impostazione predefinita. —
Accesso iniziale: risorsa GKE modificata in modo anonimo da internet (anteprima) GKE_RESOURCE_MODIFIED_ANONYMOUSLY_FROM_INTERNET Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Una risorsa è stata manipolata da un utente di internet effettivamente anonimo. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Escalation dei privilegi: accesso al cluster GKE concesso a utenti anonimi GKE_ANONYMOUS_USERS_GRANTED_ACCESS Cloud Audit Logs:
Log delle attività di amministrazione di GKE

Qualcuno ha creato un'associazione RBAC che fa riferimento a uno dei seguenti utenti o gruppi:

  • system:anonymous
  • system:unauthenticated
  • system:authenticated

Questi utenti e gruppi sono effettivamente anonimi e devono essere evitati durante la creazione di associazioni di ruoli o di ruoli del cluster a qualsiasi ruolo RBAC. Esamina l'associazione per assicurarti che sia necessaria. Se l'associazione non è necessaria, rimuovila. I risultati sono classificati come Media gravità per impostazione predefinita.

—
Esecuzione: esecuzione o collegamento sospetti a un pod di sistema (anteprima) GKE_SUSPICIOUS_EXEC_ATTACH Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha utilizzato i comandi exec o attach per ottenere una shell o eseguire un comando su un container in esecuzione nello spazio dei nomi kube-system. Questi metodi vengono talvolta utilizzati per scopi di debug legittimi. Tuttavia, lo spazio dei nomi kube-system è destinato agli oggetti di sistema creati da Kubernetes e l'esecuzione imprevista di comandi o la creazione di shell deve essere esaminata. I risultati sono classificati come di gravità Media per impostazione predefinita. —
Escalation dei privilegi: workload creato con un montaggio del percorso host sensibile (anteprima) GKE_SENSITIVE_HOSTPATH Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha creato un workload che contiene un montaggio del volume hostPath su un percorso sensibile nel file system del nodo host. L'accesso a questi percorsi sul file system host può essere utilizzato per accedere a informazioni sensibili o con privilegi sul nodo e per i container escape. Se possibile, non consentire volumi hostPath nel tuo cluster. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Escalation dei privilegi: workload con shareProcessNamespace abilitato (anteprima) GKE_SHAREPROCESSNAMESPACE_POD Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha eseguito il deployment di un workload con l'opzione shareProcessNamespace impostata su true, consentendo a tutti i container di condividere lo stesso spazio dei nomi di processo Linux. Ciò potrebbe consentire a un container non attendibile o compromesso di fare l'escalation dei privilegi accedendo e controllando le variabili di ambiente, la memoria e altri dati sensibili dei processi in esecuzione in altri container. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Escalation dei privilegi: ClusterRole con verbi con privilegi (anteprima) GKE_CLUSTERROLE_PRIVILEGED_VERBS Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha creato un RBAC ClusterRole che contiene i verbi bind, escalate o impersonate. Un soggetto associato a un ruolo con questi verbi può impersonare altri utenti con privilegi più elevati, associarsi ad altri Roles o ClusterRoles che contengono autorizzazioni aggiuntive o modificare le proprie autorizzazioni ClusterRole. Ciò potrebbe comportare l'acquisizione di privilegi cluster-admin da parte di questi soggetti. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Escalation dei privilegi: ClusterRoleBinding a ruolo con privilegi GKE_CRB_CLUSTERROLE_AGGREGATION_CONTROLLER Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha creato un ClusterRoleBinding RBAC che fa riferimento al system:controller:clusterrole-aggregation-controller ClusterRole predefinito. Questo ClusterRole predefinito ha il verbo escalate, che consente ai soggetti di modificare i privilegi dei propri ruoli, consentendo l'escalation dei privilegi. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Evasione di difesa: richiesta di firma del certificato (CSR) eliminata manualmente GKE_MANUALLY_DELETED_CSR Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha eliminato manualmente una richiesta di firma del certificato (CSR). Le CSR vengono rimosse automaticamente da un controller di garbage collection, ma i malintenzionati potrebbero eliminarle manualmente per eludere il rilevamento. Se la CSR eliminata era per un certificato approvato ed emesso, l'utente potenzialmente malintenzionato ora dispone di un metodo di autenticazione aggiuntivo per accedere al cluster. Le autorizzazioni associate al certificato variano a seconda del soggetto incluso, ma possono essere con privilegi elevati. Kubernetes non supporta la revoca dei certificati. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Accesso con credenziali: tentativo di approvazione della richiesta di firma del certificato (CSR) di Kubernetes non riuscito GKE_APPROVE_CSR_FORBIDDEN Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha tentato di approvare manualmente una richiesta di firma del certificato (CSR), ma l'azione non è riuscita. La creazione di un certificato per l'autenticazione del cluster è un metodo comune utilizzato dagli utenti malintenzionati per creare un accesso permanente a un cluster compromesso. Le autorizzazioni associate al certificato variano a seconda del soggetto incluso, ma possono essere con privilegi elevati. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Accesso con credenziali: richiesta di firma del certificato (CSR) Kubernetes approvata manualmente (anteprima) GKE_CSR_APPROVED Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha approvato manualmente una richiesta di firma del certificato (CSR). La creazione di un certificato per l'autenticazione del cluster è un metodo comune utilizzato dagli utenti malintenzionati per creare un accesso permanente a un cluster compromesso. Le autorizzazioni associate al certificato variano a seconda del soggetto incluso, ma possono essere con privilegi elevati. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Esecuzione: pod Kubernetes creato con potenziali argomenti reverse shell GKE_REVERSE_SHELL_POD Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha creato un pod contenente comandi o argomenti comunemente associati a una reverse shell. Gli utenti malintenzionati utilizzano le reverse shell per espandere o mantenere l'accesso iniziale a un cluster ed eseguire comandi arbitrari. Per impostazione predefinita, i risultati sono classificati con gravità Media. —
Elusione delle difese: potenziale mascheramento di pod Kubernetes GKE_POD_MASQUERADING Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha eseguito il deployment di un pod con una convenzione di denominazione simile ai workload predefiniti che GKE crea per il normale funzionamento del cluster. Questa tecnica è chiamata masquerading. Per impostazione predefinita, i risultati sono classificati con gravità Media. —
Escalation dei privilegi: nomi dei container Kubernetes sospetti - Exploit ed escape (anteprima) GKE_SUSPICIOUS_EXPLOIT_POD Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha eseguito il deployment di un pod con una convenzione di denominazione simile agli strumenti comuni utilizzati per i container escape o per eseguire altri attacchi sul cluster. I risultati sono classificati come Media gravità per impostazione predefinita. —
Persistenza: service account creato nello spazio dei nomi sensibile GKE_SERVICE_ACCOUNT_CREATION_SENSITIVE_NAMESPACE Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha creato un account di servizio in uno spazio dei nomi sensibile. Gli spazi dei nomi kube-system e kube-public sono fondamentali per le operazioni dei cluster GKE e i service account non autorizzati potrebbero compromettere la stabilità e la sicurezza dei cluster. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Impatto: nomi dei container Kubernetes sospetti - Mining di criptovaluta Temporaneamente non disponibile GKE_SUSPICIOUS_CRYPTOMINING_POD Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha eseguito il deployment di un pod con una convenzione di denominazione simile a quella dei comuni miner di criptovalute. Questo potrebbe essere un tentativo da parte di un malintenzionato che ha ottenuto l'accesso iniziale al cluster di utilizzare le risorse del cluster per il mining di criptovaluta. Per impostazione predefinita, i risultati sono classificati con gravità Alta.

Questa regola non è al momento disponibile. Per monitorare l'attività di Kubernetes, utilizza gli audit log di GKE Admin.

—
Esecuzione: workload attivato nello spazio dei nomi sensibile GKE_SENSITIVE_NAMESPACE_WORKLOAD_TRIGGERED Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha eseguito il deployment di un workload (ad esempio un pod o un deployment) negli spazi dei nomi kube-system o kube-public. Questi spazi dei nomi sono fondamentali per le operazioni del cluster GKE e i workload non autorizzati potrebbero compromettere la stabilità o la sicurezza del cluster. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Esecuzione: GKE lancia un container con funzionalità eccessive (anteprima) GKE_EXCESSIVELY_CAPABLE_CONTAINER_CREATED Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha creato un container con una o più delle seguenti funzionalità in un cluster con un contesto di sicurezza elevato:
  • CAP_SYS_MODULE
  • CAP_SYS_RAWIO
  • CAP_SYS_PTRACE
  • CAP_SYS_BOOT
  • CAP_DAC_READ_SEARCH
  • CAP_NET_ADMIN
  • CAP_BPF
Queste funzionalità possono essere utilizzate per uscire dai container. Fai attenzione quando esegui il provisioning di queste funzionalità. I risultati sono classificati come Bassa gravità per impostazione predefinita. 		—
Persistenza: rilevata configurazione webhook GKE GKE_WEBHOOK_CONFIG_CREATED Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		È stata rilevata una configurazione webhook nel tuo cluster GKE. I webhook possono intercettare e modificare le richieste API di Kubernetes, consentendo potenzialmente agli utenti malintenzionati di persistere all'interno del cluster o di manipolare le risorse. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Evasione della difesa: pod statico creato GKE_STATIC_POD_CREATED Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha creato un pod statico nel tuo cluster GKE. I pod statici vengono eseguiti direttamente sul nodo e bypassano il server API Kubernetes, il che li rende più difficili da monitorare e controllare. Gli utenti malintenzionati possono utilizzare i pod statici per eludere il rilevamento o mantenere la persistenza. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Accesso iniziale: chiamata API riuscita effettuata da un IP del proxy TOR GKE_TOR_PROXY_IP_REQUEST Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		È stata effettuata una chiamata API riuscita al tuo cluster GKE da un indirizzo IP associato alla rete Tor. Tor offre l'anonimato, che gli aggressori spesso sfruttano per nascondere la propria identità. Per impostazione predefinita, i risultati sono classificati con gravità Alta. Categoria: Initial Access: Successful API call made from a TOR proxy IP Affecting Sensitive Data
Gravità: nessuna modifica (valore predefinito: Alta)
Accesso iniziale: servizio NodePort GKE creato GKE_NODEPORT_SERVICE_CREATED Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha creato un servizio NodePort. I servizi NodePort espongono i pod direttamente su un indirizzo IP e una porta statica di un nodo, rendendo i pod accessibili dall'esterno del cluster. Ciò può comportare un rischio significativo per la sicurezza, perché potrebbe consentire a un malintenzionato di sfruttare le vulnerabilità del servizio esposto per ottenere l'accesso al cluster o ai dati sensibili. I risultati sono classificati come di gravità Media per impostazione predefinita. —
Impatto: rilevata modifica di kube-dns GKE (anteprima) GKE_KUBE_DNS_MODIFICATION Cloud Audit Logs:
Log delle attività di amministrazione di GKE 		Qualcuno ha modificato la configurazione kube-dns nel tuo cluster GKE. kube-dns di GKE è un componente fondamentale del networking del cluster e una sua configurazione errata potrebbe causare una violazione della sicurezza. Per impostazione predefinita, i risultati sono classificati con gravità Media. —
Impatto: comandi di cryptomining CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS Cloud Audit Logs:
Audit log degli eventi di sistema IAM 		Durante l'esecuzione, a un job Cloud Run sono stati allegati comandi di cryptomining specifici. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Esecuzione: immagine Docker per il cryptomining CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES Cloud Audit Logs:
Audit log degli eventi di sistema IAM 		Immagini Docker non valide note specifiche sono state collegate a un servizio o job Cloud Run nuovo o esistente. Per impostazione predefinita, i risultati sono classificati con gravità Alta. —
Escalation dei privilegi: SetIAMPolicy del service account Compute Engine predefinito CLOUD_RUN_SERVICES_SET_IAM_POLICY Cloud Audit Logs:
Log delle attività di amministrazione 		Il account di servizio Compute Engine predefinito è stato utilizzato per impostare la policy IAM per un servizio Cloud Run. Questa è una potenziale azione post-exploit quando un token Compute Engine viene compromesso da un servizio serverless. I risultati sono classificati come Bassa gravità per impostazione predefinita. —
Accesso iniziale: accesso riuscito a Cloud DB dall'IP del proxy con anonimizzazione CLOUD_DB_LOGIN_SUCCEEDED_ANON_IP Cloud Audit Logs: Log di accesso ai dati di AlloyDB per PostgreSQL
Log di accesso ai dati di Cloud SQL per PostgreSQL
Log di accesso ai dati di Cloud SQL per MySQL
Nota: per utilizzare questa regola per AlloyDB e Postgres, devi attivare il logging IP in PostgreSQL. 		È stato rilevato un accesso riuscito alla tua istanza di database da un indirizzo IP di anonimizzazione noto. Questo potrebbe indicare che un utente malintenzionato sta ottenendo l'accesso iniziale alla tua istanza. I risultati sono classificati come Alta gravità per impostazione predefinita. —
Accesso con credenziali: accesso a Cloud DB non riuscito dall'IP del proxy con anonimizzazione CLOUD_DB_LOGIN_FAILED_ANON_IP Cloud Audit Logs: Log di accesso ai dati di AlloyDB per PostgreSQL
Log di accesso ai dati di Cloud SQL per PostgreSQL
Log di accesso ai dati di Cloud SQL per MySQL
Nota: per utilizzare questa regola per AlloyDB e Postgres, devi attivare il logging IP in PostgreSQL. 		È stato rilevato un accesso non riuscito alla tua istanza di database da un indirizzo IP con anonimizzazione noto. Ciò potrebbe indicare che un utente malintenzionato sta tentando di accedere senza autorizzazione alla tua istanza. Per impostazione predefinita, i risultati sono classificati con gravità Media. —
Per le regole ritirate e disattivate, consulta Ritiri.

Moduli personalizzati per Event Threat Detection

Oltre alle regole di rilevamento integrate, Event Threat Detection fornisce modelli di moduli che puoi utilizzare per creare regole di rilevamento personalizzate. Per saperne di più, consulta Panoramica dei moduli personalizzati per Event Threat Detection.

Per creare regole di rilevamento per le quali non sono disponibili modelli di moduli personalizzati, puoi esportare i dati di log in BigQuery, quindi eseguire query SQL uniche o ricorrenti che acquisiscono i tuoi modelli di modellazione delle minacce.

Modifiche non sicure ai gruppi Google

Questa sezione spiega come Event Threat Detection utilizza i log di Google Workspace, Cloud Audit Logs e le policy IAM per rilevare modifiche non sicure a Google Gruppi. Il rilevamento delle modifiche di Google Gruppi è supportato solo quando attivi Security Command Center a livello di organizzazione.

I clientiGoogle Cloud possono utilizzare i gruppi Google per gestire i ruoli e le autorizzazioni per i membri delle loro organizzazioni o applicare policy di accesso a raccolte di utenti. Anziché concedere i ruoli direttamente ai membri, gli amministratori possono concedere ruoli e autorizzazioni a Google Gruppi e poi aggiungere membri a gruppi specifici. I membri del gruppo ereditano tutti i ruoli e le autorizzazioni del gruppo, il che consente loro di accedere a risorse e servizi specifici.

Sebbene Google Gruppi sia un modo pratico per gestire controllo dell'accesso su larga scala, può comportare un rischio se utenti esterni alla tua organizzazione o al tuo dominio vengono aggiunti a gruppi con privilegi, ovvero gruppi a cui vengono concessi ruoli o autorizzazioni sensibili. I ruoli sensibili controllano l'accesso alle impostazioni di sicurezza e alle impostazioni della rete, ai log e alle informazioni che consentono l'identificazione personale (PII) e non sono consigliati per i membri esterni del gruppo.

Nelle grandi organizzazioni, gli amministratori potrebbero non essere consapevoli dell'aggiunta di membri esterni a gruppi con privilegi. Cloud Audit Logs registra le assegnazioni dei ruoli ai gruppi, ma questi eventi di log non contengono informazioni sui membri dei gruppi, il che può oscurare il potenziale impatto di alcune modifiche ai gruppi.

Se condividi i log di Google Workspace con Google Cloud, Event Threat Detection monitora i flussi di logging per rilevare nuovi membri aggiunti ai gruppi Google della tua organizzazione. Poiché i log si trovano a livello di organizzazione, Event Threat Detection può scansionare i log di Google Workspace solo quando attivi Security Command Center a livello di organizzazione. Event Threat Detection non può analizzare questi log quando attivi Security Command Center a livello di progetto.

Event Threat Detection identifica i membri esterni del gruppo e, utilizzando Cloud Audit Logs, esamina i ruoli IAM di ogni gruppo interessato per verificare se ai gruppi sono stati concessi ruoli sensibili. Queste informazioni vengono utilizzate per rilevare le seguenti modifiche non sicure per i gruppi Google con privilegi:

  • Membri esterni del gruppo aggiunti ai gruppi con privilegi
  • Ruoli o autorizzazioni sensibili concessi a gruppi con membri esterni
  • Gruppi con privilegi modificati per consentire a chiunque di partecipare

Event Threat Detection scrive i risultati in Security Command Center. I risultati contengono gli indirizzi email dei membri esterni appena aggiunti, dei membri interni del gruppo che avviano gli eventi, i nomi dei gruppi e i ruoli sensibili associati ai gruppi. Puoi utilizzare le informazioni per rimuovere i membri esterni dai gruppi o revocare i ruoli sensibili concessi ai gruppi.

Per ulteriori informazioni sui risultati di Event Threat Detection, consulta Regole di Event Threat Detection.

Ruoli e autorizzazioni IAM sensibili

Questa sezione spiega come Event Threat Detection definisce i ruoli IAM sensibili. Per i ruoli e le autorizzazioni sensibili per le minacce AI, consulta Ruoli e autorizzazioni IAM sensibili per l'AI.

I rilevamenti come IAM Anomalous Grant e Unsafe Google Group Changes generano risultati solo se le modifiche coinvolgono ruoli con sensibilità elevata o media. La sensibilità dei ruoli influisce sulla classificazione della gravità assegnata ai risultati.

  • I ruoli ad alta sensibilità controllano i servizi critici nelle organizzazioni, tra cui la fatturazione, le impostazioni del firewall e il logging. I risultati che corrispondono a questi ruoli sono classificati con gravità Alta.
  • I ruoli con sensibilità media dispongono di autorizzazioni di modifica che consentono alle entità di apportare modifiche alle risorse Google Cloud e di autorizzazioni di visualizzazione ed esecuzione sui datastore che spesso contengono dati sensibili. La gravità assegnata ai risultati dipende dalla risorsa:
    • Se i ruoli con sensibilità media vengono concessi a livello di organizzazione, i risultati vengono classificati con gravità Alta.
    • Se i ruoli con sensibilità media vengono concessi a livelli inferiori della gerarchia delle risorse (cartelle, progetti e bucket, tra gli altri), i risultati vengono classificati con gravità Media.

La concessione di questi ruoli sensibili è considerata pericolosa se il beneficiario è un membro esterno o un'identità anomala, ad esempio un'entità che è stata inattiva per molto tempo.

La concessione di ruoli sensibili a membri esterni crea una potenziale minaccia perché questi ruoli possono essere utilizzati in modo improprio per la compromissione dell'account e l'esfiltrazione di dati.

Le categorie di risultati che utilizzano questi ruoli sensibili includono:

  • Persistenza: IAM Anomalous Grant
    • Sottoregola: external_service_account_added_to_policy
    • Sottoregola: external_member_added_to_policy
  • Escalation dei privilegi: ruolo sensibile concesso al gruppo ibrido
  • Escalation dei privilegi: ruolo sensibile concesso al service account inattivo

Le categorie di risultati che utilizzano un sottoinsieme dei ruoli sensibili includono:

  • Persistenza: IAM Anomalous Grant
    • Sottoregola: service_account_granted_sensitive_role_to_member

La sottoregola service_account_granted_sensitive_role_to_member ha come target sia i membri esterni che quelli interni in generale e pertanto utilizza solo un sottoinsieme di ruoli sensibili, come spiegato in Regole di Event Threat Detection.

Categoria Ruolo Descrizione
Ruoli di base: contengono migliaia di autorizzazioni per tutti i servizi Google Cloud . roles/owner Ruoli di base
roles/editor
Ruoli di sicurezza: controllano l'accesso alle impostazioni di sicurezza roles/cloudkms.* Tutti i ruoli di Cloud Key Management Service
roles/cloudsecurityscanner.* Tutti i ruoli di Web Security Scanner
roles/dlp.* Tutti i ruoli di Sensitive Data Protection
roles/iam.* Tutti i ruoli IAM
roles/secretmanager.* Tutti i ruoli di Secret Manager
roles/securitycenter.* Tutti i ruoli di Security Command Center
Ruoli di Logging: controllano l'accesso ai log di un'organizzazione roles/errorreporting.* Tutti i ruoli di Error Reporting
roles/logging.* Tutti i ruoli di Cloud Logging
roles/stackdriver.* Tutti i ruoli di Cloud Monitoring
Ruoli per le informazioni personali: controllano l'accesso alle risorse che contengono informazioni che consentono l'identificazione personale, inclusi i dati bancari e di contatto roles/billing.* Tutti i ruoli di fatturazione Cloud
roles/healthcare.* Tutti i ruoli dell'API Cloud Healthcare
roles/essentialcontacts.* Tutti i ruoli di Contatti fondamentali
Ruoli di networking: controllano l'accesso alle impostazioni di rete di un'organizzazione roles/dns.* Tutti i ruoli Cloud DNS
roles/domains.* Tutti i ruoli di Cloud Domains
roles/networkconnectivity.* Tutti i ruoli di Network Connectivity Center
roles/networkmanagement.* Tutti i ruoli NCC
roles/privateca.* Tutti i ruoli di Certificate Authority Service
Ruoli di servizio: controllano l'accesso alle risorse di servizio in Google Cloud roles/cloudasset.* Tutti i ruoli di Cloud Asset Inventory
roles/servicedirectory.* Tutti i ruoli di Service Directory
roles/servicemanagement.* Tutti i ruoli di Service Management
roles/servicenetworking.* Tutti i ruoli Service Networking
roles/serviceusage.* Tutti i ruoli Service Usage
Ruoli di Compute Engine: controllano l'accesso alle macchine virtuali di Compute Engine, che eseguono job a lunga esecuzione e sono associate a regole firewall

roles/compute.admin

roles/compute.instanceAdmin

roles/compute.instanceAdmin.v1

roles/compute.loadBalancerAdmin

roles/compute.networkAdmin

roles/compute.orgFirewallPolicyAdmin

roles/compute.orgFirewallPolicyUser

roles/compute.orgSecurityPolicyAdmin

roles/compute.orgSecurityPolicyUser

roles/compute.orgSecurityResourceAdmin

roles/compute.osAdminLogin

roles/compute.publicIpAdmin

roles/compute.securityAdmin

roles/compute.storageAdmin

roles/compute.xpnAdmin

 Tutti i ruoli Amministratore ed Editor di Compute Engine
Categoria Ruolo Descrizione
Ruoli di modifica: ruoli IAM che includono le autorizzazioni per apportare modifiche alle risorse Google Cloud

Esempi:

roles/storage.objectAdmin

roles/file.editor

roles/source.writer

roles/container.developer

I nomi dei ruoli di solito terminano con titoli come Amministratore, Proprietario, Editor o Writer.

Espandi il nodo nell'ultima riga della tabella per visualizzare Tutti i ruoli con sensibilità media

Ruoli di archiviazione dei dati: ruoli IAM che includono autorizzazioni per visualizzare ed eseguire servizi di archiviazione dei dati

Esempi:

roles/cloudsql.viewer

roles/cloudsql.client

roles/bigquery.dataViewer

roles/bigquery.user

roles/spanner.databaseReader

roles/spanner.databaseUser

 Espandi il nodo nell'ultima riga della tabella per visualizzare Tutti i ruoli con sensibilità media.
Tutti i ruoli con sensibilità media

Access Approval

  • roles/accessapproval.approver
  • roles/accessapproval.configEditor

Gestore contesto accesso

  • roles/accesscontextmanager.gcpAccessAdmin
  • roles/accesscontextmanager.policyAdmin
  • roles/accesscontextmanager.policyEditor

Azioni

  • roles/actions.Admin

AI Platform

  • roles/ml.admin
  • roles/ml.developer
  • roles/ml.jobOwner
  • roles/ml.modelOwner
  • roles/ml.modelUser

API Gateway

  • roles/apigateway.admin

App Engine

  • roles/appengine.appAdmin
  • roles/appengine.appCreator
  • roles/appengine.serviceAdmin

Artifact Analysis

  • roles/containeranalysis.admin
  • roles/containeranalysis.notes.attacher
  • roles/containeranalysis.notes.editor
  • roles/containeranalysis.occurrences.editor

AutoML

  • roles/automl.admin
  • roles/automl.editor

BigQuery

  • roles/bigquery.admin
  • roles/bigquery.dataEditor
  • roles/bigquery.dataOwner
  • roles/bigquery.dataViewer
  • roles/bigquery.resourceAdmin
  • roles/bigquery.resourceEditor
  • roles/bigquery.resourceViewer
  • roles/bigquery.user

Bigtable

  • roles/bigtable.admin
  • roles/bigtable.reader
  • roles/bigtable.user

Autorizzazione binaria

  • roles/binaryauthorization.attestorsAdmin
  • roles/binaryauthorization.attestorsEditor
  • roles/binaryauthorization.policyAdmin
  • roles/binaryauthorization.policyEditor

Cloud Autoscaling

  • roles/autoscaling.metricsWriter
  • roles/autoscaling.sitesAdmin
  • roles/autoscaling.stateWriter

Cloud Build

  • roles/cloudbuild.builds.builder
  • roles/cloudbuild.builds.editor

Cloud Deployment Manager

  • roles/deploymentmanager.editor
  • roles/deploymentmanager.typeEditor

Cloud Endpoints

  • roles/endpoints.portalAdminBeta

Cloud Monitoring

  • roles/monitoring.admin
  • roles/monitoring.alertPolicyEditor
  • roles/monitoring.dashboardEditor
  • roles/monitoring.editor
  • roles/monitoring.metricWriter
  • roles/monitoring.notificationChannelEditor
  • roles/monitoring.servicesEditor
  • roles/monitoring.uptimeCheckConfigEditor

Cloud Run

  • roles/run.admin
  • roles/run.developer

Cloud Run Functions

  • roles/cloudfunctions.admin
  • roles/cloudfunctions.developer
  • roles/cloudfunctions.invoker

API Cloud Runtime Configuration

  • roles/runtimeconfig.admin

Cloud Scheduler

  • roles/cloudscheduler.admin

Cloud Source Repositories

  • roles/source.admin
  • roles/source.writer

Cloud SQL

  • roles/cloudsql.admin
  • roles/cloudsql.editor
  • roles/cloudsql.client
  • roles/cloudsql.instanceUser
  • roles/cloudsql.viewer

Cloud Storage

  • roles/storage.admin
  • roles/storage.hmacKeyAdmin
  • roles/storage.objectAdmin
  • roles/storage.objectCreator
  • roles/storage.objectViewer
  • roles/storage.legacyBucketOwner
  • roles/storage.legacyBucketWriter
  • roles/storage.legacyBucketReader
  • roles/storage.legacyObjectOwner
  • roles/storage.legacyObjectReader

Cloud Tasks

  • roles/cloudtasks.admin
  • roles/cloudtasks.enqueuer
  • roles/cloudtasks.queueAdmin
  • roles/cloudtasks.taskDeleter

Cloud TPU

  • tpu.admin

Cloud Trace

  • roles/cloudtrace.admin
  • roles/cloudtrace.agent

Compute Engine

  • roles/compute.imageUser
  • roles/compute.osLoginExternalUser
  • roles/osconfig.guestPolicyAdmin
  • roles/osconfig.guestPolicyEditor
  • roles/osconfig.osPolicyAssignmentAdmin
  • roles/osconfig.osPolicyAssignmentEditor
  • roles/osconfig.patchDeploymentAdmin

Trattamento dei dati di utilizzo dei clienti

  • roles/dataprocessing.admin

Dataflow

  • roles/dataflow.admin
  • roles/dataflow.developer

Managed Service for Apache Spark

  • roles/dataproc.admin
  • roles/dataproc.editor

Dataproc Metastore

  • roles/metastore.admin
  • roles/metastore.editor

Datastore

  • roles/datastore.importExportAdmin
  • roles/datastore.indexAdmin
  • roles/datastore.owner
  • roles/datastore.user

Eventarc

  • roles/eventarc.admin
  • roles/eventarc.developer
  • roles/eventarc.eventReceiver

Filestore

  • roles/file.editor

Firebase

  • roles/firebase.admin
  • roles/firebase.analyticsAdmin
  • roles/firebase.developAdmin
  • roles/firebase.growthAdmin
  • roles/firebase.qualityAdmin
  • roles/firebaseabt.admin
  • roles/firebaseappcheck.admin
  • roles/firebaseappdistro.admin
  • roles/firebaseauth.admin
  • roles/firebasecrash.symbolMappingsAdmin
  • roles/firebasecrashlytics.admin
  • roles/firebasedatabase.admin
  • roles/firebasedynamiclinks.admin
  • roles/firebasehosting.admin
  • roles/firebaseinappmessaging.admin
  • roles/firebaseml.admin
  • roles/firebasenotifications.admin
  • roles/firebaseperformance.admin
  • roles/firebasepredictions.admin
  • roles/firebaserules.admin
  • roles/firebasestorage.admin
  • roles/cloudconfig.admin
  • roles/cloudtestservice.testAdmin

Google Cloud VMware Engine

  • vmwareengine.vmwareengineAdmin

Google Kubernetes Engine

  • roles/container.admin
  • roles/container.clusterAdmin
  • roles/container.developer

Google Kubernetes Engine Hub

  • roles/gkehub.admin
  • roles/gkehub.gatewayAdmin
  • roles/gkehub.connect

Google Security Operations Service Management

  • roles/chroniclesm.admin

Google Workspace

  • roles/gsuiteaddons.developer

Identity-Aware Proxy

  • roles/iap.admin
  • roles/iap.settingsAdmin

Identity Platform

  • roles/identityplatform.admin

Identity Toolkit

  • roles/identitytoolkit.admin

Managed Service for Microsoft Active Directory

  • roles/managedidentities.admin
  • roles/managedidentities.domainAdmin
  • roles/managedidentities.viewer

Memorystore for Redis

  • roles/redis.admin
  • roles/redis.editor

OAuthConfig

  • roles/oauthconfig.editor

API On-Demand Scanning

  • roles/ondemandscanning.admin

Ops Config Monitoring

  • roles/opsconfigmonitoring.resourceMetadata.writer

Servizio Policy dell'organizzazione

  • roles/axt.admin
  • roles/orgpolicy.policyAdmin

Proximity Beacon

  • roles/proximitybeacon.attachmentEditor
  • roles/proximitybeacon.beaconEditor

Pub/Sub

  • roles/pubsub.admin
  • roles/pubsub.editor

Pub/Sub Lite

  • roles/pubsublite.admin
  • roles/pubsublite.editor
  • roles/pubsublite.publisher

reCAPTCHA

  • roles/recaptchaenterprise.admin
  • roles/recaptchaenterprise.agent

Consigli

  • roles/automlrecommendations.admin
  • roles/automlrecommendations.editor

Motore per suggerimenti

  • roles/recommender.billingAccountCudAdmin
  • roles/recommender.cloudAssetInsightsAdmin
  • roles/recommender.cloudsqlAdmin
  • roles/recommender.computeAdmin
  • roles/recommender.firewallAdmin
  • roles/recommender.iamAdmin
  • roles/recommender.productSuggestionAdmin
  • roles/recommender.projectCudAdmin

Resource Manager

  • roles/resourcemanager.folderAdmin
  • roles/resourcemanager.folderCreator
  • roles/resourcemanager.folderEditor
  • roles/resourcemanager.folderIamAdmin
  • roles/resourcemanager.folderMover
  • roles/resourcemanager.lienModifier
  • roles/resourcemanager.organizationAdmin
  • roles/resourcemanager.projectCreator
  • roles/resourcemanager.projectDeleter
  • roles/resourcemanager.projectIamAdmin
  • roles/resourcemanager.projectMover
  • roles/resourcemanager.tagAdmin

Impostazioni risorse

  • roles/resourcesettings.admin

API AI Commerce Search

  • roles/retail.admin
  • roles/retail.editor

Accesso VPC serverless

  • roles/vpcaccess.admin

Service Consumer Management

  • roles/serviceconsumermanagement.tenancyUnitsAdmin

Spanner

  • roles/spanner.admin
  • roles/spanner.backupAdmin
  • roles/spanner.backupWriter
  • roles/spanner.databaseAdmin
  • roles/spanner.restoreAdmin
  • roles/spanner.databaseReader
  • roles/spanner.databaseUser

Storage Transfer Service

  • roles/storagetransfer.admin
  • roles/storagetransfer.user

Gemini Enterprise Agent Platform

  • roles/aiplatform.admin
  • roles/aiplatform.featurestoreAdmin
  • roles/aiplatform.migrator
  • roles/aiplatform.user

Blocchi note gestiti dall'utente di Vertex AI Workbench

  • roles/notebooks.admin
  • roles/notebooks.legacyAdmin

Workflows

  • roles/workflows.admin
  • roles/workflows.editor

Ruoli e autorizzazioni IAM sensibili per l'AI

Per i risultati di Event Threat Detection relativi alle minacce AI, i ruoli sensibili sono definiti in modo diverso rispetto ai ruoli sensibili per le minacce non AI.

  • I ruoli ad alta sensibilità per i risultati dell'AI includono i seguenti ruoli di base, di base legacy e predefiniti:

    • roles/admin
    • roles/writer
    • roles/owner
    • roles/editor
    • roles/resourcemanager.organizationAdmin
    • roles/iam.securityAdmin

  • I ruoli con sensibilità media per i risultati relativi all'AI includono tutti i ruoli di amministratore, editor, proprietario e agente di servizio per qualsiasi servizio Google Cloud . Anche i seguenti ruoli sono considerati ruoli con sensibilità media:

    • roles/cloudkms.cryptoKeyDecrypter
    • roles/compute.osAdminLogin
    • roles/compute.osLogin
    • roles/iam.serviceAccountTokenCreator
    • roles/iam.serviceAccountUser
    • roles/logging.configWriter
    • roles/logging.privateLogViewer
    • roles/secretmanager.secretAccessor

  • I ruoli a bassa sensibilità per i risultati dell'AI includono:

    • roles/cloudfunctions.developer
    • roles/run.developer
    • roles/appengine.deployer
    • roles/iam.workloadIdentityUser
    • roles/iam.serviceAccountOpenIdTokenCreator
    • roles/artifactregistry.createOnPushWriter

Le autorizzazioni AI sensibili includono quelle che consentono di creare, aggiornare, eliminare o esportare modelli e dati di AI, gestire controllo dell'accesso ai servizi AI (ad esempio setIamPolicy) e utilizzare funzionalità di AI come la generazione di previsioni. Sono incluse anche le autorizzazioni per gestire credenziali sensibili, come le chiavi HMAC di Storage, che vengono spesso utilizzate in combinazione con i workload di AI.

Tipi di log e requisiti di attivazione

Questa sezione elenca i log utilizzati da Event Threat Detection, insieme alle minacce che Event Threat Detection cerca in ogni log e cosa devi fare, se necessario, per attivare ogni log.

Devi attivare un log per Event Threat Detection solo se sono soddisfatte tutte le seguenti condizioni:

  • Stai utilizzando il prodotto o il servizio che scrive nel log.
  • Devi proteggere il prodotto o il servizio dalle minacce che Event Threat Detection rileva nel log.
  • Il log è un log di controllo dell'accesso ai dati o un altro log disattivato per impostazione predefinita.

Alcune minacce possono essere rilevate in più log. Se Event Threat Detection è in grado di rilevare una minaccia in un log già attivato, non è necessario attivare un altro log per rilevare la stessa minaccia.

Se un log non è elencato in questa sezione, Event Threat Detection non lo analizza, anche se è attivato. Per saperne di più, consulta Scansioni dei log potenzialmente ridondanti.

Come descritto nella tabella seguente, alcuni tipi di log sono disponibili solo a livello di organizzazione. Se attivi Security Command Center a livello di progetto, Event Threat Detection non esegue la scansione di questi log e non produce risultati.

Origini log di base

Event Threat Detection utilizza origini dati di base per rilevare attività potenzialmente dannose nella tua rete.

  • Se attivi Event Threat Detection senza i log di flusso VPC, Event Threat Detection inizia immediatamente ad analizzare un flusso interno, indipendente e duplicato di log di flusso VPC. Per esaminare ulteriormente un risultato esistente di Event Threat Detection, devi abilitare i log di flusso VPC e accedere manualmente a Esplora log e Flow Analyzer. Se abiliti i log di flusso VPC in un secondo momento, solo i risultati futuri conterranno i link pertinenti per ulteriori indagini.

  • Se attivi Event Threat Detection con i log di flusso VPC, Event Threat Detection inizia immediatamente ad analizzare i log di flusso VPC nel tuo deployment e fornisce link a Esplora log e Flow Analyzer per aiutarti a indagare ulteriormente.

Log per il rilevamento di malware sulla rete

Event Threat Detection può fornire il rilevamento di malware sulla rete eseguendo la scansione di uno dei seguenti log:

  • Logging di Cloud DNS
  • logging Cloud NAT
  • Logging delle regole firewall
  • Log di flusso VPC

Non è necessario abilitare più di uno dei seguenti servizi: logging Cloud NAT, logging delle regole firewall o log di flusso VPC.

Se utilizzi già il logging di Cloud DNS, Event Threat Detection può rilevare il malware utilizzando la risoluzione del dominio. Per la maggior parte degli utenti, i log di Cloud DNS sono sufficienti per il rilevamento di malware sulla rete.

Se hai bisogno di un altro livello di visibilità oltre alla risoluzione del dominio, puoi attivare i log di flusso VPC, ma questi possono comportare costi. Per gestire questi costi, ti consigliamo di aumentare l'intervallo di aggregazione a 15 minuti e di ridurre la frequenza di campionamento tra il 5% e il 10%, ma esiste un compromesso tra il richiamo (campione più alto) e la gestione dei costi (frequenza di campionamento più bassa). Per saperne di più, consulta Campionamento ed elaborazione dei log.

Se utilizzi già il logging delle regole firewall o il logging Cloud NAT, questi log sono utili al posto dei log di flusso VPC.

Dati di log supportati e minacce rilevate

Questa sezione elenca i log di Cloud Logging e Google Workspace che puoi attivare o configurare in altro modo per aumentare il numero di minacce che Event Threat Detection può rilevare.

Alcune minacce, come quelle poste dalla simulazione o dalla delega anomala di un account di servizio, possono essere trovate nella maggior parte degli audit log. Per questi tipi di minacce, devi determinare quali log attivare in base ai prodotti e ai servizi che utilizzi.

La tabella seguente mostra i log specifici che puoi attivare e il tipo di minacce che possono essere rilevate.

Log type Threats detected Configuration required
AlloyDB for PostgreSQL Data Access audit logs

Credential Access: CloudDB Failed login from Anonymizing Proxy IP

Initial Access: CloudDB Successful login from Anonymizing Proxy IP

Privilege Escalation: AlloyDB Database Superuser Writes to User Tables

Privilege Escalation: AlloyDB Over-Privileged Grant
authlogs/authlog on virtual machines Brute force SSH Install the Ops Agent or the legacy Logging agent on your VM hosts
Cloud DNS logging

Log4j Malware: Bad Domain

Malware: bad domain

Malware: Cryptomining Bad Domain

 Turn on Cloud DNS logging

See also Logs for network detection of malware.
Cloud SQL MySQL Data Access audit logs

Credential Access: CloudDB Failed login from Anonymizing Proxy IP

Exfiltration: Cloud SQL Data Exfiltration

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket

Initial Access: CloudDB Successful login from Anonymizing Proxy IP

 Activate Logging Data Access audit logs for Cloud SQL for MySQL
Cloud NAT logging

Log4j Malware: Bad IP

Malware: bad IP

Malware: Cryptomining Bad IP

 Turn on Cloud NAT logging

See also Logs for network detection of malware.
Cloud SQL PostgreSQL Data Access audit logs

Credential Access: CloudDB Failed login from Anonymizing Proxy IP

Exfiltration: Cloud SQL Data Exfiltration

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket

Exfiltration: Cloud SQL Over-Privileged Grant

Initial Access: CloudDB Successful login from Anonymizing Proxy IP
External Application Load Balancer backend service logs Initial Access: Log4j Compromise Attempt Turn on external Application Load Balancer logging
Firewall Rules Logging

Log4j Malware: Bad IP

Malware: bad IP

Malware: Cryptomining Bad IP

 Turn on Firewall Rules Logging

See also Logs for network detection of malware.
Generic Data Access audit logs

Initial Access: Leaked Service Account Key Used

Privilege Escalation: Anomalous Multistep Service Account Delegation for AI Data Access

Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access

Privilege Escalation: Anomalous Service Account Impersonator for AI Data Access

Privilege Escalation: Anomalous Service Account Impersonator for Data Access

 Activate Logging Data Access audit logs.
Google Kubernetes Engine (GKE) Data Access audit logs

Discovery: Can get sensitive Kubernetes object check

Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials

 Activate Logging Data Access audit logs for GKE
Google Workspace Admin Audit logs

Persistence: SSO Enablement Toggle

Persistence: SSO Settings Changed

Persistence: Strong Authentication Disabled

Persistence: Two Step Verification Disabled

Privilege Escalation: Privileged Group Opened To Public

Share Google Workspace Admin Audit logs with Cloud Logging

This log type can't be scanned in project-level activations.
Google Workspace Login Audit logs

Credential Access: External Member Added To Privileged Group

Initial Access: Account Disabled Hijacked

Initial Access: Disabled Password Leak

Initial Access: Government Based Attack

Initial Access: Suspicious Login Blocked

Persistence: Two Step Verification Disabled

Share Google Workspace Login Audit logs with Cloud Logging

This log type can't be scanned in project-level activations.
IAM Data Access audit logs

Discovery: AI Agent Service Account Self-Investigation

Discovery: Service Account Self-Investigation

Privilege Escalation: AI Agent Cross-Project Access Token Generation

Privilege Escalation: AI Agent Cross-Project OpenID Token Generation

Privilege Escalation: AI Agent Token Generation Using Implicit Delegation

Privilege Escalation: AI Agent Token Generation Using signJwt

 Activate Logging Data Access audit logs for Resource Manager
SQL Server Data Access audit logs

Exfiltration: Cloud SQL Data Exfiltration

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket

 Activate Logging Data Access audit logs for Cloud SQL for SQL Server
VPC Flow Logs

Log4j Malware: Bad IP

Malware: bad IP

Malware: Cryptomining Bad IP

 Turn on VPC Flow Logs

See also Logs for network detection of malware.

Log sempre attivi

La tabella seguente elenca i log di Cloud Logging che non devi attivare o configurare. Questi log sono sempre attivi ed Event Threat Detection li analizza automaticamente.

Tipo di log Minacce rilevate Configurazione necessaria
Log di Agent Engine

Accesso alle credenziali: accesso anomalo dell'agente AI al servizio di metadati (anteprima)

Rilevamento: prova di scansione delle porte dall'agente AI (anteprima)

 Nessuno
Audit log delle attività di amministrazione di Backup e DR

Impatto: Google Cloud Backup e RE - Scadenza di tutte le immagini

Impatto: backup di Google Cloud Backup e DR eliminato

Impatto: host Google Cloud Backup e RE eliminato

Impatto: associazione del piano di Backup e RE di Google Cloud eliminata

Impatto: vault di Google Cloud Backup e DR eliminato

Impatto: politica di cancellazione di Google Cloud Backup e RE

Impatto: eliminazione del profilo di Google Cloud Backup e RE

Impatto: eliminazione del template di Google Cloud Backup e RE

Impatto: scadenza dell'immagine di Google Cloud Backup e RE

Impatto: Google Cloud Backup e RE riducono la scadenza del backup

Impatto: Google Cloud Backup e RE riducono la frequenza dei backup

Impatto: rimozione dell'appliance di Google Cloud Backup e RE

Impatto: piano di rimozione di Google Cloud Backup e RE

Inibizione del ripristino del sistema: eliminazione del pool di archiviazione di Google Cloud Backup e RE

Nessuno
Log di accesso ai dati BigQueryAuditMetadata

Esfiltrazione: l'agente AI ha avviato l'estrazione dei dati di BigQuery

Esfiltrazione: l'agente AI ha avviato l'esfiltrazione dei dati di BigQuery nella tabella esterna

Esfiltrazione: l'agente AI ha avviato una violazione del perimetro VPC di BigQuery

Esfiltrazione: esfiltrazione dei dati di BigQuery

Esfiltrazione: estrazione dei dati di BigQuery

Esfiltrazione: dati di BigQuery su Google Drive

Esfiltrazione: spostamento in una risorsa BigQuery pubblica (anteprima)

 Nessuno
Audit log delle attività di amministrazione generici

Evasione della difesa: filtro IP del bucket GCS modificato

Evasione della difesa: blocco di policy HTTP del progetto disabilitato

Evasione della difesa: ruolo TokenCreatorRole a livello di cartella aggiunto

Evasione della difesa: ruolo TokenCreator a livello di cartella concesso all'agente AI

Elusione delle difese: aggiunto TokenCreatorRole a livello di organizzazione

Evasione della difesa: ruolo TokenCreator a livello di organizzazione concesso all'agente AI

Elusione delle difese: ruolo TokenCreatorRole a livello di progetto aggiunto

Evasione della difesa: ruolo TokenCreator a livello di progetto concesso all'agente AI

Rilevamento: chiamata API non autorizzata del service account dell'agente AI

Accesso iniziale: azioni negate per autorizzazioni eccessive di AI Agent Identity

Accesso iniziale: azione service account inattivo

Accesso iniziale: attività del service account inattivo nel servizio AI

Accesso iniziale: creazione della chiave del service account inattivo

Accesso iniziale: azioni negate per autorizzazioni eccessive

Accesso iniziale: chiave service account divulgata utilizzata

Movimento laterale: disco di avvio modificato collegato all'istanza (anteprima)

Persistenza: chiave SSH aggiunta dall'amministratore GCE

Persistenza: script di avvio aggiunto dall'amministratore GCE

Persistenza: Nuovo metodo API AI

Persistenza: nuovo metodo API

Persistenza: nuova area geografica

Persistenza: nuova area geografica per il servizio AI

Persistenza: nuovo user agent

Persistenza: autorizzazione AI sensibile aggiunta al ruolo personalizzato

Persistenza: ruolo sensibile concesso all'agente AI esterno

Persistenza: ruolo sensibile concesso dall'agente AI

Escalation dei privilegi: simulazione anomala dell'identità del service account per l'attività di amministrazione

Escalation dei privilegi: simulazione anomala dell'identità del service account per l'attività di amministrazione AI

Escalation dei privilegi: delega anomala del service account con più passaggi per l'attività di amministrazione

Escalation dei privilegi: delega anomala del service account con più passaggi per l'attività di amministrazione AI

Escalation dei privilegi: simulatore anomalo dell'identità del service account per l'attività di amministrazione

Escalation dei privilegi: simulatore anomalo dell'identità del service account per l'attività di amministrazione AI

Nessuno
Audit log delle attività di amministrazione di Google Kubernetes Engine (GKE)

Accesso con credenziali: tentativo di approvazione della richiesta di firma del certificato (CSR) di Kubernetes non riuscito

Accesso con credenziali: richiesta di firma del certificato (CSR) Kubernetes approvata manualmente (anteprima)

Evasione di difesa: accesso amministrativo al cluster concesso da sessioni anonime

Evasione di difesa: richiesta di firma del certificato (CSR) eliminata manualmente

Elusione delle difese: potenziale mascheramento di pod Kubernetes

Evasione della difesa: pod statico creato

Esecuzione: avvio di un container con funzionalità eccessive GKE (anteprima)

Esecuzione: pod Kubernetes creato con potenziali argomenti reverse shell

Esecuzione: esecuzione o collegamento sospetti a un pod di sistema (anteprima)

Esecuzione: workload attivato nello spazio dei nomi sensibile

Impatto: rilevata modifica di kube-dns GKE (anteprima)

Impatto: nomi dei container Kubernetes sospetti - Mining di criptovaluta

Accesso iniziale: risorsa GKE anonima creata da internet (anteprima)

Accesso iniziale: servizio NodePort GKE creato

Accesso iniziale: risorsa GKE modificata in modo anonimo da internet (anteprima)

Accesso iniziale: chiamata API riuscita effettuata da un IP del proxy TOR

Persistenza: rilevata configurazione webhook GKE

Persistenza: service account creato nello spazio dei nomi sensibile

Escalation dei privilegi: modifiche agli oggetti RBAC Kubernetes sensibili

Escalation dei privilegi: ClusterRole con verbi con privilegi (anteprima)

Escalation dei privilegi: ClusterRoleBinding a ruolo con privilegi

Escalation dei privilegi: crea una richiesta CSR Kubernetes per il certificato principale

Escalation dei privilegi: creazione di associazioni Kubernetes sensibili

Escalation dei privilegi: accesso al cluster GKE concesso a utenti anonimi

Escalation dei privilegi: avvia un container Kubernetes con privilegi

Escalation dei privilegi: nomi dei container Kubernetes sospetti - Exploit ed escape (anteprima)

Escalation dei privilegi: workload creato con un montaggio del percorso host sensibile (anteprima)

Escalation dei privilegi: workload con shareProcessNamespace abilitato (anteprima)

Nessuno
Audit log delle attività di amministrazione IAM

Persistenza: IAM Anomalous Grant (anteprima)

Persistenza: ruolo sensibile concesso all'account non gestito

Escalation dei privilegi: SetIAMPolicy del service account Compute Engine predefinito

Escalation dei privilegi: ruolo sensibile concesso al service account inattivo

Escalation dei privilegi: ruolo per furto d'identità concesso per service account inattivo

Escalation dei privilegi: ruolo sensibile concesso al gruppo ibrido

 Nessuno
Audit log degli eventi di sistema IAM

Esecuzione: immagine Docker per il cryptomining

Impatto: comandi di cryptomining

 Nessuno
Log delle attività di amministrazione di MySQL Esfiltrazione: backup di ripristino di Cloud SQL su un'organizzazione esterna Nessuno
Log delle attività di amministrazione di PostgreSQL Esfiltrazione: backup di ripristino di Cloud SQL su un'organizzazione esterna Nessuno
Log delle attività di amministrazione di SQL Server Esfiltrazione: backup di ripristino di Cloud SQL su un'organizzazione esterna Nessuno
Audit log dei Controlli di servizio VPC Defense Evasion: modifica del Controllo di servizio VPC (anteprima) Nessuno

Passaggi successivi