Ringkasan Event Threat Detection

Paket layanan Premium dan Enterprise (Tidak digunakan lagi)

Paket layanan Security Command Center Enterprise akan dihentikan pada 21 Mei 2027. Jika organisasi Anda menggunakan paket layanan Enterprise, organisasi tersebut akan otomatis beralih ke paket layanan Premium pada atau setelah 21 Mei 2027. Hubungi Account Representative atau Google Cloud spesialis penjualan jika ada pertanyaan.

Apa itu Event Threat Detection?

Event Threat Detection adalah layanan bawaan untuk paket Security Command Center Premium yang terus memantau organisasi atau project Anda dan mengidentifikasi ancaman dalam sistem Anda hampir secara real-time. Event Threat Detection diperbarui secara berkala dengan detektor baru untuk mengidentifikasi ancaman yang muncul dalam skala cloud.

Cara kerja Event Threat Detection

Event Threat Detection memantau aliran Cloud Logging untuk organisasi atau project Anda. Jika Anda mengaktifkan Security Command Center Premium di level organisasi, Event Threat Detection akan menggunakan log untuk project Anda saat dibuat dan Event Threat Detection dapat memantau Log Google Workspace. Cloud Logging berisi entri log panggilan API dan tindakan lain yang membuat, membaca, atau mengubah konfigurasi atau metadata resource Anda. Log Google Workspace melacak login pengguna ke domain Anda dan memberikan data tindakan yang dilakukan di Konsol Admin Google Workspace Anda.

Entri log berisi informasi status dan peristiwa yang digunakan Event Threat Detection untuk mendeteksi ancaman dengan cepat. Event Threat Detection menerapkan logika deteksi dan metode threat intelligence eksklusif, seperti mengidentifikasi indikator penyusupan (IoC), pembuatan profil selama periode waktu yang berubah-ubah, machine learning, dan deteksi anomali, untuk mengidentifikasi ancaman dalam waktu hampir real-time.

Saat mendeteksi ancaman, Event Threat Detection akan menulis temuan ke Security Command Center. Jika Anda mengaktifkan Security Command Center Premium di level organisasi, Security Command Center dapat menulis temuan ke project Cloud Logging. Dari Cloud Logging dan logging Google Workspace, Anda dapat mengekspor temuan ke sistem lain dengan Pub/Sub dan memprosesnya dengan fungsi Cloud Run.

Jika Anda mengaktifkan Security Command Center Premium di level organisasi, Anda juga dapat menggunakan Google Security Operations untuk menyelidiki beberapa temuan. Google SecOps adalah layanan Google Cloud yang memungkinkan Anda menyelidiki ancaman dan beralih ke entitas terkait dalam linimasa terpadu. Untuk mengetahui petunjuk tentang cara mengirim temuan ke Google SecOps, lihat Menyelidiki temuan di Google SecOps.

Kemampuan Anda untuk melihat dan mengedit temuan dan log ditentukan oleh peran Identity and Access Management (IAM) yang diberikan kepada Anda. Untuk mengetahui informasi selengkapnya tentang peran IAM Security Command Center, lihat Kontrol akses.

Pengayaan data sensitif

Event Threat Detection terintegrasi dengan Sensitive Data Protection untuk memperkaya temuan resource sensitif. Jika Anda telah mengaktifkan pemindaian penemuan Sensitive Data Protection dan mengonfigurasinya untuk mengirim hasil ke Security Command Center, Event Threat Detection dapat menggunakan metadata sensitivitas resource BigQuery dan Cloud Storage Anda untuk menyesuaikan temuan:

• Perubahan kategori: Jika resource diidentifikasi oleh Sensitive Data Protection sebagai memiliki sensitivitas tinggi atau sedang, kategori temuan akan diperbarui ke kategori tertentu yang menunjukkan bahwa resource tersebut sensitif. Misalnya, jika kunci akun layanan yang bocor digunakan untuk mengakses bucket sensitif, kategori temuan akan berubah dari Initial Access: Leaked Service Account Key Used menjadi Initial Access: Leaked Service Account Key Affecting Sensitive Data.
• Peningkatan tingkat keparahan: Jika tingkat keparahan default temuan kurang dari High (yaitu, Low atau Medium), tingkat keparahan akan ditingkatkan satu tingkat (misalnya, dari Medium ke High).

Untuk mengetahui daftar aturan yang mendukung pengayaan data sensitif, lihat Aturan default Event Threat Detection.

Aturan Event Threat Detection

Aturan menentukan jenis ancaman yang dideteksi Event Threat Detection dan jenis log yang harus diaktifkan agar detektor berfungsi. Log audit Aktivitas Admin selalu ditulis; Anda tidak dapat mengonfigurasi atau menonaktifkannya.

Event Threat Detection menyertakan aturan default berikut:

Pemindaian Aktif Brute force Perintah dan Kontrol Akses Kredensial Penghancuran Data Penghindaran Pertahanan Denial of Service Discovery Pemindahan yang tidak sah Dampak Menghambat Pertahanan Menghambat Pemulihan Sistem Akses Awal Pergerakan Lateral Malware Persistensi Eskalasi Akses Pengembangan Resource Hapus semua

Nama tampilan	Nama API	Jenis sumber log	Deskripsi	Pengayaan data sensitif
Pemindaian Aktif: Log4j Rentan terhadap RCE	Tidak tersedia	Log Cloud DNS	Pemindai kerentanan Log4j memulai dan mengidentifikasi kueri DNS untuk domain yang tidak di-obfuscate. Kerentanan ini dapat menyebabkan eksekusi kode jarak jauh (RCE). Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Dampak: Host Backup and DR Google Cloud dihapus	BACKUP_HOSTS_DELETE_HOST	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR Service	Host telah dihapus dari konsol pengelolaan Backup and DR. Aplikasi yang terkait dengan host yang dihapus mungkin tidak dilindungi. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Dampak: Masa berlaku image Google Cloud Backup and DR berakhir	BACKUP_EXPIRE_IMAGE	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Pengguna meminta penghapusan image cadangan dari konsol pengelolaan Backup and DR. Penghapusan image cadangan tidak mencegah pencadangan di masa mendatang. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Dampak: Penghapusan paket Google Cloud Backup and DR	BACKUP_REMOVE_PLAN	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Rencana pencadangan dengan beberapa kebijakan untuk aplikasi telah dihapus dari Backup and DR. Penghapusan rencana pencadangan dapat mencegah pencadangan di masa mendatang. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Dampak: Backup and DR Google Cloud mengakhiri masa berlaku semua image	BACKUP_EXPIRE_IMAGES_ALL	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Pengguna meminta penghapusan semua image cadangan untuk aplikasi yang dilindungi dari konsol pengelolaan Backup and DR. Penghapusan image cadangan tidak mencegah pencadangan di masa mendatang. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Dampak: Penghapusan template Google Cloud Backup and DR	BACKUP_TEMPLATES_DELETE_TEMPLATE	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Template pencadangan yang telah ditetapkan, yang digunakan untuk menyiapkan pencadangan untuk beberapa aplikasi, telah dihapus dari konsol pengelolaan Backup and DR. Kemampuan untuk menyiapkan pencadangan pada masa mendatang mungkin akan terpengaruh. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Dampak: Kebijakan penghapusan Google Cloud Backup and DR	BACKUP_TEMPLATES_DELETE_POLICY	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Kebijakan Backup and DR, yang menentukan cara pencadangan dilakukan dan tempat penyimpanannya, telah dihapus dari konsol pengelolaan Backup and DR. Pencadangan mendatang yang menggunakan kebijakan tersebut mungkin gagal. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Dampak: Penghapusan profil Backup and DR Google Cloud	BACKUP_PROFILES_DELETE_PROFILE	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Profil Backup and DR, yang menentukan kumpulan penyimpanan yang harus digunakan untuk menyimpan cadangan, telah dihapus dari konsol pengelolaan Backup and DR. Pencadangan mendatang yang menggunakan profil tersebut mungkin gagal. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Dampak: Backup and DR Google Cloud menghapus peralatan	BACKUP_APPLIANCES_REMOVE_APPLIANCE	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Peralatan cadangan telah dihapus dari konsol pengelolaan Backup and DR. Aplikasi yang terkait dengan peralatan cadangan yang dihapus mungkin tidak dilindungi. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Dampak: Backup and DR Google Cloud menghapus kumpulan penyimpanan	BACKUP_STORAGE_POOLS_DELETE	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Storage pool, yang mengaitkan bucket Cloud Storage dengan Backup and DR, telah dihapus dari konsol pengelolaan Backup and DR. Pencadangan berikutnya ke target penyimpanan ini akan gagal. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Dampak: Backup and DR Google Cloud mengurangi masa berlaku cadangan	BACKUP_REDUCE_BACKUP_EXPIRATION	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Tanggal habis masa berlaku untuk cadangan yang dilindungi oleh Backup and DR dikurangi melalui konsol pengelolaan Backup and DR. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Dampak: Backup and DR Google Cloud mengurangi frekuensi pencadangan	BACKUP_REDUCE_BACKUP_FREQUENCY	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Jadwal pencadangan Backup and DR diubah untuk mengurangi frekuensi pencadangan melalui konsol pengelolaan Backup and DR. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Dampak: Vault Backup and DR Google Cloud Dihapus	BACKUP_DELETE_VAULT	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Vault cadangan telah dihapus. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Dampak: Pencadangan Google Cloud Backup and DR Dihapus	BACKUP_DELETE_VAULT_BACKUP	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Cadangan yang disimpan di vault cadangan dihapus secara manual. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Dampak: Penghapusan pengaitan paket Backup and DR Google Cloud	BACKUP_DELETE_BACKUP_PLAN_ASSOCIATION	Cloud Audit Logs: Log audit Aktivitas Admin Backup and DR	Paket pencadangan dari Backup and DR dihapus dari workload. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
SSH Brute Force	BRUTE_FORCE_SSH	authlog	Seorang pelaku berhasil mendapatkan akses SSH pada host melalui teknik brute force. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Cloud IDS: THREAT_IDENTIFIER	CLOUD_IDS_THREAT_ACTIVITY	Log Cloud IDS	Cloud IDS mendeteksi peristiwa ancaman. Cloud IDS mendeteksi serangan lapisan 7 dengan menganalisis paket yang diduplikasi dan, saat peristiwa ancaman terdeteksi, mengirimkan temuan class ancaman ke Security Command Center. Nama kategori temuan dimulai dengan "Cloud IDS" diikuti dengan ID ancaman Cloud IDS. Integrasi Cloud IDS dengan Event Threat Detection tidak mencakup deteksi kerentanan Cloud IDS. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Untuk mempelajari lebih lanjut deteksi Cloud IDS, lihat Informasi Logging Cloud IDS.	—
Eskalasi Hak Istimewa: Anggota Eksternal Ditambahkan ke Grup Hak Istimewa	EXTERNAL_MEMBER_ADDED_TO_PRIVILEGED_GROUP	Log Google Workspace: Audit Login Izin: DATA_READ	Anggota eksternal ditambahkan ke Grup Google dengan hak istimewa (grup yang diberi peran atau izin sensitif). Temuan hanya akan dibuat jika grup belum berisi anggota eksternal lain dari organisasi yang sama dengan anggota yang baru ditambahkan. Untuk mempelajari lebih lanjut, lihat Perubahan Google Grup yang tidak aman. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keseriusan Tinggi atau Sedang, bergantung pada sensitivitas peran yang terkait dengan perubahan grup. Untuk mengetahui informasi selengkapnya, lihat Peran dan izin IAM yang sensitif.	—
Eskalasi Hak Istimewa: Grup Hak Istimewa Dibuka untuk Publik	PRIVILEGED_GROUP_OPENED_TO_PUBLIC	Google Workspace: Audit Admin Izin: DATA_READ	Grup Google dengan hak istimewa (grup yang diberi peran atau izin sensitif) diubah agar dapat diakses oleh publik umum. Untuk mempelajari lebih lanjut, lihat Perubahan Google Grup yang tidak aman. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keseriusan Tinggi atau Sedang, bergantung pada sensitivitas peran yang terkait dengan perubahan grup. Untuk mengetahui informasi selengkapnya, lihat Peran dan izin IAM yang sensitif.	—
Eskalasi Hak Istimewa: Peran Sensitif Diberikan Kepada Grup Hybrid	SENSITIVE_ROLE_TO_GROUP_WITH_EXTERNAL_MEMBER	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Peran sensitif diberikan ke Grup Google dengan anggota eksternal. Untuk mempelajari lebih lanjut, lihat Perubahan Google Grup yang tidak aman. Temuan diklasifikasikan sebagai tingkat keseriusan Tinggi atau Sedang, bergantung pada sensitivitas peran yang terkait dengan perubahan grup. Untuk mengetahui informasi selengkapnya, lihat Peran dan izin IAM yang sensitif.	—
Penghindaran Pertahanan: Deployment Workload Akses Darurat Dibuat (Pratinjau)	BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_CREATE	Cloud Audit Logs: Log Aktivitas Admin	Workload di-deploy menggunakan flag break-glass untuk mengganti kontrol Otorisasi Biner. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penghindaran Pertahanan: Deployment Workload Akses Darurat Diperbarui (Pratinjau)	BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_UPDATE	Cloud Audit Logs: Log Aktivitas Admin	Workload diperbarui menggunakan flag break-glass untuk mengganti kontrol Otorisasi Biner. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penemuan: Bukti Pemindaian Port dari Agen AI (Pratinjau)	AGENT_ENGINE_PORT_SCANNING_EVIDENCE	Log Agent Engine: Log Agent Engine	Agen AI menunjukkan perilaku pemindaian port horizontal atau vertikal. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penemuan: Panggilan API Akun Layanan Tidak Sah Agen AI (Pratinjau)	AGENT_ENGINE_UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL	Cloud Audit Logs: Log audit Aktivitas Admin	Akun layanan melakukan panggilan API yang tidak sah ke project luar melalui agen AI. Perilaku ini dapat mengindikasikan bahwa pengguna yang tidak sah mencoba mendapatkan detail tentang resource, mengaktifkan atau menonaktifkan layanan, atau melakukan tindakan tidak sah lainnya melalui agen AI. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	Kategori: Discovery: AI Agent Unauthorized Service Account API Call Affecting Sensitive Data Tingkat Keparahan: Rendah hingga Sedang
Penghindaran Pertahanan: Pemfilteran IP Bucket GCS Diubah	GCS_BUCKET_IP_FILTERING_MODIFIED	Cloud Audit Logs: Log Aktivitas Admin	Akun pengguna atau layanan mengubah konfigurasi pemfilteran IP untuk bucket Cloud Storage. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Defense Evasion: Modify VPC Service Control	DEFENSE_EVASION_MODIFY_VPC_SERVICE_CONTROL	Cloud Audit Logs Log audit Kontrol Layanan VPC	Perimeter Kontrol Layanan VPC yang ada diubah sehingga akan menyebabkan pengurangan perlindungan yang ditawarkan oleh perimeter tersebut. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penghindaran Pertahanan: Blokir Kebijakan HTTP Project Dinonaktifkan	PROJECT_HTTP_POLICY_BLOCK_DISABLED	Cloud Audit Logs: Log Aktivitas Admin	Pengguna atau akun layanan berhasil memicu tindakan untuk menonaktifkan storage.secureHttpTransport pada project. Hal ini juga berlaku saat tindakan dilakukan di level organisasi atau level folder karena kebijakan yang diterapkan di level ini diwarisi oleh project turunan secara default. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penemuan: Investigasi Mandiri Akun Layanan Agen AI (Pratinjau)	AGENT_ENGINE_IAM_ANOMALOUS_BEHAVIOR_SERVICE_ACCOUNT_GETS_OWN_IAM_POLICY	Cloud Audit Logs: Log audit Akses Data IAM Izin: DATA_READ	Identitas yang terkait dengan agen AI digunakan untuk menyelidiki peran dan izin yang terkait dengan akun layanan yang sama. Temuan diklasifikasikan sebagai tingkat keparahan Low jika permintaan diizinkan, atau tingkat keparahan High jika permintaan tidak diizinkan.	—
Penemuan: Dapat memperoleh pemeriksaan objek Kubernetes yang sensitif	GKE_CONTROL_PLANE_CAN_GET_SENSITIVE_OBJECT	Cloud Audit Logs: Log Akses Data GKE	Pihak yang berpotensi berniat jahat mencoba menentukan objek sensitif di GKE yang dapat mereka kueri, dengan menggunakan perintah kubectl auth can-i get. Secara khusus, aturan ini mendeteksi apakah pelaku memeriksa akses API pada objek berikut: * (semua) cluster-admin ClusterRole Secret Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penemuan: Investigasi Mandiri Akun Layanan	SERVICE_ACCOUNT_SELF_INVESTIGATION	Cloud Audit Logs: Log audit Akses Data IAM Izin: DATA_READ	Kredensial akun layanan IAM digunakan untuk menyelidiki peran dan izin yang terkait dengan akun layanan yang sama. Peran sensitif Temuan diklasifikasikan sebagai tingkat keparahan Tinggi atau Sedang, bergantung pada sensitivitas peran yang diberikan. Untuk mengetahui informasi selengkapnya, lihat Peran dan izin IAM yang sensitif.	—
Akses Kredensial: Akses Anomali Agen AI ke Layanan Metadata (Pratinjau)	AGENT_ENGINE_ANOMALOUS_ACCESS_TO_METADATA_SERVICE	Log Agent Engine: Log Agent Engine	Agen AI mengambil token akun layanan dari server metadata. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penghindaran: Akses dari Anonymizing Proxy	ANOMALOUS_ACCESS	Cloud Audit Logs: Log Aktivitas Admin	Google Cloud modifikasi layanan berasal dari alamat IP yang terkait dengan jaringan Tor. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Pemindahan Tidak Sah: Pemindahan Tidak Sah Data BigQuery	DATA_EXFILTRATION_BIG_QUERY	Cloud Audit Logs: Log akses data BigQueryAuditMetadata Izin: DATA_READ	Mendeteksi skenario berikut: Resource yang dimiliki oleh organisasi yang dilindungi disimpan di luar organisasi, termasuk operasi penyalinan atau transfer. Skenario ini ditunjukkan oleh subaturan exfil_to_external_table dan tingkat keparahan Tinggi. Upaya dilakukan untuk mengakses resource BigQuery yang dilindungi oleh Kontrol Layanan VPC. Skenario ini ditunjukkan oleh subaturan vpc_perimeter_violation dan tingkat keparahan Rendah.	Kategori: Exfiltration: Sensitive BigQuery Data Exfiltration Tingkat Keparahan: Rendah hingga Sedang
Pemindahan Tidak Sah: Ekstraksi Data BigQuery	DATA_EXFILTRATION_BIG_QUERY_EXTRACTION	Cloud Audit Logs: Log akses data BigQueryAuditMetadata Izin: DATA_READ	Mendeteksi skenario berikut: Resource BigQuery yang dimiliki oleh organisasi disimpan, melalui operasi ekstraksi, ke bucket Cloud Storage di luar organisasi. Resource BigQuery yang dimiliki oleh organisasi yang dilindungi disimpan, melalui operasi ekstraksi, ke bucket Cloud Storage yang dapat diakses secara publik yang dimiliki oleh organisasi tersebut. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	Kategori: Exfiltration: Sensitive BigQuery Data Extraction Tingkat Keparahan: Rendah hingga Sedang
Pemindahan yang tidak sah: Pelanggaran Perimeter VPC BigQuery yang Dimulai oleh Agen AI (Pratinjau)	AGENT_ENGINE_BIG_QUERY_EXFIL_VPC_PERIMETER_VIOLATION	Cloud Audit Logs: Log akses data BigQueryAuditMetadata Izin: DATA_READ	Mendeteksi upaya agen AI untuk mengakses resource BigQuery yang dilindungi oleh Kontrol Layanan VPC. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Pemindahan Tidak Sah: Pemindahan Tidak Sah Data BigQuery yang Dimulai Agen AI ke Tabel Eksternal (Pratinjau)	AGENT_ENGINE_BIG_QUERY_EXFIL_TO_EXTERNAL_TABLE	Cloud Audit Logs: Log akses data BigQueryAuditMetadata Izin: DATA_READ	Mendeteksi saat resource milik organisasi yang dilindungi disimpan di luar organisasi oleh agen AI, termasuk operasi penyalinan atau transfer. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	Kategori: Exfiltration: AI Agent Initiated Sensitive BigQuery Data Exfiltration to External Table Tingkat Keparahan: Tidak ada perubahan (default Tinggi)
Pemindahan yang tidak sah: Pemindahan yang tidak sah CloudSQL yang Dimulai Agen AI ke Bucket Publik (Pratinjau)	AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS	Cloud Audit Logs: Log akses data MySQL Log akses data PostgreSQL Log akses data SQL Server	Mendeteksi saat data instance aktif diekspor oleh agen AI ke bucket Cloud Storage yang dimiliki oleh organisasi dan dapat diakses secara publik. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Pemindahan yang Tidak Sah: Pemindahan yang Tidak Sah CloudSQL yang Dimulai Agen AI ke Bucket Eksternal (Pratinjau)	AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS	Cloud Audit Logs: Log akses data MySQL Log akses data PostgreSQL Log akses data SQL Server	Mendeteksi saat data instance aktif diekspor oleh agen AI ke bucket Cloud Storage di luar organisasi. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Pemindahan yang Tidak Sah: Ekstraksi Data BigQuery yang Dimulai oleh Agen AI (Pratinjau)	AGENT_ENGINE_BIG_QUERY_EXFIL_TO_CLOUD_STORAGE	Cloud Audit Logs: Log akses data BigQueryAuditMetadata Izin: DATA_READ	Mendeteksi skenario berikut dari ekstraksi data BigQuery yang dimulai oleh agen AI: Resource BigQuery yang dimiliki oleh organisasi yang dilindungi disimpan, melalui operasi ekstraksi, ke bucket Cloud Storage di luar organisasi. Resource BigQuery yang dimiliki oleh organisasi yang dilindungi disimpan, melalui operasi ekstraksi, ke bucket Cloud Storage yang dapat diakses secara publik yang dimiliki oleh organisasi tersebut. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	Kategori: Exfiltration: AI Agent Initiated Sensitive BigQuery Data Extraction Tingkat Keparahan: Rendah hingga Sedang
Pemindahan Tidak Sah: Data BigQuery ke Google Drive	DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE	Cloud Audit Logs: Log akses data BigQueryAuditMetadata Izin: DATA_READ	Resource BigQuery yang dimiliki oleh organisasi yang dilindungi disimpan, melalui operasi ekstraksi, ke folder Google Drive. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	Kategori: Exfiltration: Sensitive BigQuery Data to Google Drive Tingkat Keparahan: Rendah hingga Sedang
Pemindahan yang tidak sah: Memindahkan ke resource BigQuery Publik	DATA_EXFILTRATION_BIG_QUERY_TO_PUBLIC_RESOURCE	Cloud Audit Logs: Log akses data BigQueryAuditMetadata Izin: DATA_READ	Resource BigQuery disimpan ke resource publik yang dimiliki oleh organisasi Anda. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Pemindahan Tidak Sah: Pemindahan Tidak Sah Data Cloud SQL	CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS	Cloud Audit Logs: Log akses data MySQL Log akses data PostgreSQL Log akses data SQL Server	Mendeteksi skenario berikut: Data instance aktif diekspor ke bucket Cloud Storage di luar organisasi. Data instance aktif diekspor ke bucket Cloud Storage yang dimiliki oleh organisasi dan dapat diakses secara publik. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Pemindahan yang tidak sah: Pencadangan Pemulihan Cloud SQL ke Organisasi Eksternal	CLOUDSQL_EXFIL_RESTORE_BACKUP_TO_EXTERNAL_INSTANCE	Cloud Audit Logs: Log aktivitas admin MySQL Log aktivitas admin PostgreSQL Log aktivitas admin SQL Server	Cadangan instance Cloud SQL dipulihkan ke instance di luar organisasi. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Pemindahan Tidak Sah: Pemberian Hak Istimewa Berlebihan di Cloud SQL	CLOUDSQL_EXFIL_USER_GRANTED_ALL_PERMISSIONS	Cloud Audit Logs: Log akses data PostgreSQL Catatan: Anda harus mengaktifkan ekstensi pgAudit untuk menggunakan aturan ini.	Pengguna atau peran Cloud SQL untuk PostgreSQL diberi semua hak istimewa ke database, atau ke semua tabel, prosedur, atau fungsi dalam skema. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Akses Awal: Superuser Database Menulis ke Tabel Pengguna	CLOUDSQL_SUPERUSER_WRITES_TO_USER_TABLES	Cloud Audit Logs: Log akses data Cloud SQL untuk PostgreSQL Log akses data Cloud SQL untuk MySQL Catatan: Anda harus mengaktifkan ekstensi pgAudit untuk PostgreSQL atau audit database untuk MySQL agar dapat menggunakan aturan ini.	Superuser Cloud SQL (postgres untuk server PostgreSQL atau root untuk pengguna MySQL) menulis ke tabel non-sistem. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: Pemberian Hak Istimewa Berlebihan di AlloyDB	ALLOYDB_USER_GRANTED_ALL_PERMISSIONS	Cloud Audit Logs: Log akses data AlloyDB untuk PostgreSQL Catatan: Anda harus mengaktifkan ekstensi pgAudit untuk menggunakan aturan ini.	Pengguna atau peran AlloyDB untuk PostgreSQL diberi semua hak istimewa ke database, atau ke semua tabel, prosedur, atau fungsi dalam skema. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: Superuser Database AlloyDB Menulis ke Tabel Pengguna	ALLOYDB_SUPERUSER_WRITES_TO_USER_TABLES	Cloud Audit Logs: Log akses data AlloyDB untuk PostgreSQL Catatan: Anda harus mengaktifkan ekstensi pgAudit untuk menggunakan aturan ini.	Superuser AlloyDB untuk PostgreSQL (postgres) menulis ke tabel non-sistem. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Akses Awal: Tindakan Penolakan Izin Berlebihan Identitas Agen AI (Pratinjau)	AGENT_ENGINE_EXCESSIVE_FAILED_ATTEMPT	Cloud Audit Logs: Log Aktivitas Admin	Identitas yang terkait dengan agen AI berulang kali memicu error izin ditolak dengan mencoba melakukan perubahan di beberapa metode dan layanan. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Akses Awal: Tindakan Akun Layanan Yang Tidak Aktif	DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION	Cloud Audit Logs: Log Aktivitas Admin	Akun layanan yang dikelola pengguna yang tidak aktif memicu tindakan. Dalam konteks ini, akun layanan dianggap tidak aktif jika telah tidak aktif selama lebih dari 180 hari. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	Kategori: Initial Access: Dormant Service Account Action taken Affecting Sensitive Data Tingkat Keparahan: Tidak ada perubahan (default Tinggi)
Eskalasi Hak Istimewa: Akun Layanan yang Tidak Aktif Diberi Peran Sensitif	DORMANT_SERVICE_ACCOUNT_ADDED_IN_IAM_ROLE	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Akun layanan terkelola pengguna yang tidak aktif diberi satu atau beberapa peran IAM yang sensitif. Dalam konteks ini, akun layanan dianggap tidak aktif jika tidak aktif selama lebih dari 180 hari. Peran sensitif Temuan diklasifikasikan sebagai tingkat keparahan Tinggi atau Sedang, bergantung pada sensitivitas peran yang diberikan. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default. Untuk mengetahui informasi selengkapnya, lihat Peran dan izin IAM yang sensitif.	—
Eskalasi Hak Istimewa: Peran Peniruan Identitas Diberikan Untuk Akun Layanan yang Tidak Aktif	DORMANT_SERVICE_ACCOUNT_IMPERSONATION_ROLE_GRANTED	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Akun utama diberi izin untuk meniru identitas akun layanan terkelola pengguna yang tidak aktif. Dalam konteks ini, akun layanan dianggap tidak aktif jika tidak aktif selama lebih dari 180 hari. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Akses Awal: Kunci Akun Layanan yang Tidak Aktif Dibuat	DORMANT_SERVICE_ACCOUNT_KEY_CREATED	Cloud Audit Logs: Log Aktivitas Admin	Kunci telah dibuat untuk akun layanan yang dikelola pengguna yang tidak aktif. Dalam konteks ini, akun layanan dianggap tidak aktif jika tidak aktif selama lebih dari 180 hari. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Akses Awal: Penggunaan Kunci Akun Layanan yang Bocor	LEAKED_SA_KEY_USED	Cloud Audit Logs: Log Aktivitas Admin Log Akses Data	Kunci akun layanan yang bocor digunakan untuk mengautentikasi tindakan. Dalam konteks ini, kunci akun layanan yang bocor adalah kunci yang diposting di internet publik. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	Kategori: Initial Access: Leaked Service Account Key Affecting Sensitive Data Tingkat Keparahan: Tidak ada perubahan (default Tinggi)
Akses Awal: Tindakan Penolakan Izin yang Berlebihan	EXCESSIVE_FAILED_ATTEMPT	Cloud Audit Logs: Log Aktivitas Admin	Akun utama berulang kali memicu error izin ditolak dengan mencoba melakukan perubahan di beberapa metode dan layanan. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Persistensi: Autentikasi Kuat Dinonaktifkan	ENFORCE_STRONG_AUTHENTICATION	Google Workspace: Audit Admin	Verifikasi 2 langkah dinonaktifkan untuk organisasi. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Persistensi: Verifikasi 2 Langkah Dinonaktifkan	2SV_DISABLE	Log Google Workspace: Audit Login Izin: DATA_READ	Pengguna menonaktifkan verifikasi 2 langkah. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Akses Awal: Akun Dibajak dan Dinonaktifkan	ACCOUNT_DISABLED_HIJACKED	Log Google Workspace: Audit Login Izin: DATA_READ	Akun pengguna ditangguhkan karena aktivitas mencurigakan. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Akses Awal: Kebocoran Sandi yang Dinonaktifkan	ACCOUNT_DISABLED_PASSWORD_LEAK	Log Google Workspace: Audit Login Izin: DATA_READ	Akun pengguna dinonaktifkan karena kebocoran sandi terdeteksi. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Akses Awal: Serangan Berbasis Pemerintah	GOV_ATTACK_WARNING	Log Google Workspace: Audit Login Izin: DATA_READ	Penyerang yang didukung pemerintah mungkin telah mencoba menyusupi akun pengguna atau komputer. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Akses Awal: Upaya Penyusupan Log4j	Tidak tersedia	Log Cloud Load Balancing: Load Balancer HTTP Cloud Catatan: Anda harus mengaktifkan logging Load Balancer Aplikasi eksternal untuk menggunakan aturan ini.	Pencarian Java Naming and Directory Interface (JNDI) dalam header atau parameter URL terdeteksi. Pencarian ini mungkin mengindikasikan upaya eksploitasi Log4Shell. Temuan ini memiliki tingkat keparahan rendah, karena hanya menunjukkan upaya deteksi atau eksploitasi, bukan kerentanan atau penyusupan. Aturan ini selalu aktif. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Akses Awal: Login Mencurigakan Diblokir	SUSPICIOUS_LOGIN	Log Google Workspace: Audit Login Izin: DATA_READ	Login mencurigakan ke akun pengguna terdeteksi dan diblokir. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Malware Log4j: Domain Buruk	LOG4J_BAD_DOMAIN	Log Cloud DNS	Traffic eksploitasi Log4j terdeteksi berdasarkan koneksi ke, atau pencarian, domain yang diketahui digunakan dalam serangan Log4j. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Malware Log4j: IP Buruk	LOG4J_BAD_IP	Log aliran VPC Log Aturan Firewall Log Cloud NAT	Traffic eksploitasi Log4j terdeteksi berdasarkan koneksi ke alamat IP yang diketahui yang digunakan dalam serangan Log4j. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Malware: domain buruk	MALWARE_BAD_DOMAIN	Log Cloud DNS	Malware terdeteksi berdasarkan koneksi ke, atau pencarian, domain buruk yang diketahui. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Malware: IP buruk	MALWARE_BAD_IP	Log aliran VPC Log Aturan Firewall Log Cloud NAT	Malware terdeteksi berdasarkan koneksi ke alamat IP buruk yang diketahui. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Malware: Domain Buruk Cryptomining	CRYPTOMINING_POOL_DOMAIN	Log Cloud DNS	Penambangan kripto terdeteksi berdasarkan koneksi ke, atau pencarian, domain penambangan yang diketahui. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Malware: IP Buruk Cryptomining	CRYPTOMINING_POOL_IP	Log aliran VPC Log Aturan Firewall Log Cloud NAT	Penambangan kripto terdeteksi berdasarkan koneksi ke alamat IP penambangan yang diketahui. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Persistence: GCE Admin Added SSH Key	GCE_ADMIN_ADD_SSH_KEY	Cloud Audit Logs: Log audit Aktivitas Admin Compute Engine	Nilai kunci SSH metadata instance Compute Engine diubah pada instance yang sudah ada (lebih dari 1 minggu). Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Persistensi: Admin GCE Menambahkan Skrip Startup	GCE_ADMIN_ADD_STARTUP_SCRIPT	Cloud Audit Logs: Log audit Aktivitas Admin Compute Engine	Nilai skrip startup metadata instance Compute Engine diubah pada instance yang sudah ada (lebih dari 1 minggu). Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Persistence: IAM Anomalous Grant	IAM_ANOMALOUS_GRANT	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Temuan ini mencakup subaturan yang memberikan informasi lebih spesifik tentang setiap instance temuan ini. Daftar berikut menunjukkan semua kemungkinan subaturan: external_service_account_added_to_policy, external_member_added_to_policy: Hak istimewa diberikan kepada pengguna IAM dan akun layanan yang bukan anggota organisasi Anda atau, jika Security Command Center hanya diaktifkan di level project, project Anda. Catatan: Jika Security Command Center diaktifkan di level organisasi pada tingkat mana pun, detektor ini akan menggunakan kebijakan IAM organisasi yang ada sebagai konteks. Jika aktivasi Security Command Center hanya berada di level project, detektor hanya akan menggunakan kebijakan IAM project sebagai konteks. Jika terjadi pemberian IAM sensitif kepada anggota eksternal, dan ada kurang dari tiga kebijakan IAM yang mirip dengannya, detektor ini akan menghasilkan temuan. Peran sensitif Temuan diklasifikasikan sebagai tingkat keparahan Tinggi atau Sedang, bergantung pada sensitivitas peran yang diberikan. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default. Untuk mengetahui informasi selengkapnya, lihat Peran dan izin IAM sensitif. external_member_invited_to_policy: Anggota eksternal diundang sebagai pemilik project melalui InsertProjectOwnershipInvite API. custom_role_given_sensitive_permissions: Izin setIAMPolicy ditambahkan ke peran khusus. service_account_granted_sensitive_role_to_member: Peran istimewa diberikan kepada anggota melalui akun layanan. Subaturan ini dipicu oleh subset peran sensitif yang hanya mencakup peran IAM dasar dan peran penyimpanan data tertentu. Untuk mengetahui informasi selengkapnya, lihat Peran dan izin IAM yang sensitif. policy_modified_by_default_compute_service_account: Akun layanan Compute Engine default digunakan untuk mengubah setelan IAM project.	—
Persistence: Sensitive AI Permission Added to Custom Role (Pratinjau)	SENSITIVE_AI_PERMISSION_ADDED_TO_CUSTOM_ROLE	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Izin AI sensitif telah ditambahkan ke peran khusus IAM. Untuk mengetahui informasi selengkapnya, lihat Peran dan izin IAM sensitif untuk AI. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Persistensi: Peran Sensitif yang Diberikan oleh Agen AI (Pratinjau)	SENSITIVE_ROLE_GRANTED_BY_AI_AGENT	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Agen AI yang diberi peran IAM sensitif. Temuan diklasifikasikan sebagai tingkat keparahan Sedang untuk peran sensitivitas sedang, atau tingkat keparahan Tinggi untuk peran sensitivitas tinggi. Untuk mengetahui informasi selengkapnya, lihat Peran dan izin IAM sensitif untuk AI.	—
Persistence: Sensitive Role Granted to External AI Agent (Pratinjau)	EXTERNAL_AI_AGENT_GRANTED_SENSITIVE_ROLE	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Agen AI dari organisasi eksternal diberi peran IAM yang sensitif. Temuan diklasifikasikan sebagai tingkat keparahan Medium untuk peran sensitivitas sedang, atau tingkat keparahan High untuk peran sensitivitas tinggi. Untuk mengetahui informasi selengkapnya, lihat Peran dan izin IAM yang sensitif untuk AI.	—
Persistensi: Akun Tidak Terkelola Diberi Peran Sensitif (Pratinjau)	UNMANAGED_ACCOUNT_ADDED_IN_IAM_ROLE	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Peran sensitif diberikan ke akun yang tidak dikelola. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Persistence: New API Method	ANOMALOUS_BEHAVIOR_NEW_API_METHOD	Cloud Audit Logs: Log Aktivitas Admin	Akun layanan IAM menggunakan akses anomali ke layanan Google Cloud . Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	Kategori: Persistence: New API Method Affecting Sensitive Data Tingkat Keparahan: Rendah hingga Sedang
Persistensi: Geografi Baru	IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION	Cloud Audit Logs: Log Aktivitas Admin	Akun pengguna dan layanan IAM yang diakses Google Cloud dari lokasi anomali, berdasarkan geolokasi alamat IP yang meminta. Temuan ini tidak tersedia untuk aktivasi level project dan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Persistensi: Agen Pengguna Baru	IAM_ANOMALOUS_BEHAVIOR_USER_AGENT	Cloud Audit Logs: Log Aktivitas Admin	Akun layanan IAM diakses Google Cloud dari agen pengguna yang anomali atau mencurigakan. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Persistence: SSO Enablement Toggle	TOGGLE_SSO_ENABLED	Google Workspace: Audit Admin	Setelan Aktifkan SSO (single sign-on) di akun admin dinonaktifkan. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Persistence: SSO Settings Changed	CHANGE_SSO_SETTINGS	Google Workspace: Audit Admin	Setelan SSO untuk akun admin telah diubah. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Eskalasi Hak Istimewa: Peniruan Akun Layanan yang Tidak Wajar untuk Aktivitas Admin	ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY	Cloud Audit Logs: Log Aktivitas Admin	Akun layanan yang ditiru identitasnya yang berpotensi anomali digunakan untuk aktivitas administratif. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	Kategori: Privilege Escalation: Anomalous Impersonation of Service Account for Admin Activity Affecting Sensitive Data Tingkat Keparahan: Sedang hingga Tinggi
Eskalasi Hak Istimewa: Delegasi Akun Layanan Multilangkah yang Tidak Normal untuk Aktivitas Admin	ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY	Cloud Audit Logs: Log Aktivitas Admin	Permintaan yang didelegasikan multilangkah yang anomali ditemukan untuk aktivitas administratif. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	Kategori: Privilege Escalation: Anomalous Multistep Service Account Delegation for Admin Activity Affecting Sensitive Data Tingkat Keparahan: Sedang hingga Tinggi
Eskalasi Hak Istimewa: Delegasi Akun Layanan Multilangkah yang Tidak Wajar untuk Akses Data	ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS	Cloud Audit Logs: Log Akses Data	Permintaan yang didelegasikan multi-langkah yang anomali ditemukan untuk aktivitas akses data. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	Kategori: Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Affecting Sensitive Data Tingkat Keparahan: Sedang hingga Tinggi
Eskalasi Hak Istimewa: Peniru Akun Layanan yang Tidak Normal untuk Aktivitas Admin	ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY	Cloud Audit Logs: Log Aktivitas Admin	Pemanggil atau peniru identitas yang berpotensi anomali dalam rantai delegasi digunakan untuk aktivitas administratif. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	Kategori: Privilege Escalation: Anomalous Service Account Impersonator for Admin Activity Affecting Sensitive Data Tingkat Keparahan: Sedang hingga Tinggi
Eskalasi Hak Istimewa: Peniru Akun Layanan yang Tidak Normal untuk Akses Data	ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS	Cloud Audit Logs: Log Akses Data	Pemanggil atau peniru identitas yang berpotensi anomali dalam rantai delegasi digunakan untuk aktivitas akses data. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	Kategori: Privilege Escalation: Anomalous Service Account Impersonator for Data Access Affecting Sensitive Data Tingkat Keparahan: Sedang hingga Tinggi
Eskalasi Hak Istimewa: Perubahan pada objek RBAC Kubernetes yang sensitif	GKE_CONTROL_PLANE_EDIT_SENSITIVE_RBAC_OBJECT	Cloud Audit Logs: Log Aktivitas Admin GKE	Untuk meningkatkan hak istimewa, pihak yang berpotensi berniat jahat mencoba mengubah objek role-based access control (RBAC) ClusterRole, RoleBinding, atau ClusterRoleBinding dari peran cluster-admin yang sensitif menggunakan permintaan PUT atau PATCH. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: Membuat CSR Kubernetes untuk sertifikat master	GKE_CONTROL_PLANE_CSR_FOR_MASTER_CERT	Cloud Audit Logs: Log Aktivitas Admin GKE	Pihak yang berpotensi berniat jahat membuat permintaan penandatanganan sertifikat (CSR) master Kubernetes, yang memberinya akses cluster-admin. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Eskalasi Hak Istimewa: Pembuatan binding Kubernetes yang sensitif	GKE_CONTROL_PLANE_CREATE_SENSITIVE_BINDING	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Untuk mengeskalasi hak istimewa, pihak yang berpotensi berniat jahat mencoba membuat objek RoleBinding atau ClusterRoleBinding baru untuk peran cluster-admin. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: Mendapatkan CSR Kubernetes dengan kredensial bootstrap yang disusupi	GKE_CONTROL_PLANE_GET_CSR_WITH_COMPROMISED_BOOTSTRAP_CREDENTIALS	Cloud Audit Logs: Log Akses Data GKE	Pihak yang berpotensi berniat jahat mengkueri permintaan penandatanganan sertifikat (CSR), dengan perintah kubectl, menggunakan kredensial bootstrap yang telah disusupi. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Eskalasi Hak Istimewa: Peluncuran container Kubernetes dengan hak istimewa	GKE_CONTROL_PLANE_LAUNCH_PRIVILEGED_CONTAINER	Cloud Audit Logs: Log Aktivitas Admin GKE	Pihak yang berpotensi berniat jahat membuat Pod yang berisi container dengan hak istimewa atau container dengan kemampuan eskalasi hak istimewa. Container dengan hak istimewa memiliki kolom privileged yang ditetapkan ke true. Container dengan kemampuan eskalasi akses memiliki kolom allowPrivilegeEscalation yang ditetapkan ke true. Untuk mengetahui informasi selengkapnya, lihat referensi API SecurityContext v1 core dalam dokumentasi Kubernetes. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Persistence: Service Account Key Created	SERVICE_ACCOUNT_KEY_CREATION	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Kunci akun layanan telah dibuat. Kunci akun layanan adalah kredensial yang dapat digunakan untuk jangka waktu lama, tetapi dapat meningkatkan risiko akses tidak sah ke resource Google Cloud. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: Skrip Penonaktifan Global Ditambahkan	GLOBAL_SHUTDOWN_SCRIPT_ADDED	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Skrip penonaktifan global telah ditambahkan ke project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Persistensi: Penambahan Skrip Startup Global	GLOBAL_STARTUP_SCRIPT_ADDED	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Skrip startup global ditambahkan ke project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penghindaran Pertahanan: TokenCreatorRole Tingkat Organisasi Ditambahkan	ORG_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Peran IAM Service Account Token Creator diberikan di tingkat organisasi. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penghindaran Pertahanan: TokenCreatorRole Tingkat Folder Ditambahkan	FOLDER_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Peran IAM Service Account Token Creator diberikan di level folder. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penghindaran Pertahanan: TokenCreatorRole Level Project Ditambahkan	PROJECT_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Peran IAM Service Account Token Creator diberikan di level project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penghindaran Pertahanan: Peran TokenCreator Tingkat Organisasi Diberikan kepada Agen AI (Pratinjau)	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_ORG	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Agen AI diberi peran IAM Service Account Token Creator di level organisasi. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Penghindaran Pertahanan: Peran TokenCreator Tingkat Folder Diberikan kepada Agen AI (Pratinjau)	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_FOLDER	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Agen AI telah diberi peran IAM Service Account Token Creator di level folder. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Penghindaran Pertahanan: Peran TokenCreator Level Project Diberikan kepada Agen AI	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_PROJECT	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Agen AI diberi peran IAM Service Account Token Creator di level project. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Pergerakan Lateral: Eksekusi Patch OS Dari Akun Layanan ^Tidak tersedia untuk sementara	OS_PATCH_EXECUTION_FROM_SERVICE_ACCOUNT	Cloud Audit Logs. Log audit VM Manager	Akun layanan menggunakan fitur Patch Compute Engine untuk mengupdate sistem operasi instance Compute Engine yang sedang berjalan. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau aktivitas VM Manager, gunakan log audit VM Manager.	—
Pergerakan Lateral: Boot Disk yang Dimodifikasi Terpasang ke Instance (Pratinjau)	MODIFY_BOOT_DISK_ATTACH_TO_INSTANCE	Cloud Audit Logs: Log audit Compute Engine	Boot disk dilepas dari satu instance Compute Engine dan dipasang ke instance lain, yang dapat mengindikasikan upaya berbahaya untuk membahayakan sistem menggunakan boot disk yang dimodifikasi. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Akses Kredensial: Secret Diakses di Namespace Kubernetes	SECRETS_ACCESSED_IN_KUBERNETES_NAMESPACE	Cloud Audit Logs: Log Akses Data GKE	Secret atau token akun layanan diakses oleh akun layanan di namespace Kubernetes saat ini. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Pengembangan Resource: Aktivitas Distro Keamanan Ofensif	OFFENSIVE_SECURITY_DISTRO_ACTIVITY	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Resource Google Cloud berhasil dimanipulasi melalui distro uji penetrasi atau keamanan ofensif yang diketahui. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	Kategori: Resource Development: Offensive Security Distro Activity Affecting Sensitive Data Tingkat Keparahan: Rendah hingga Sedang
Eskalasi Hak Istimewa: Pembuatan Token Agen AI Menggunakan signJwt (Pratinjau)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT	Cloud Audit Logs: Log audit Akses Data IAM	Akun layanan yang terkait dengan agen AI menggunakan metode serviceAccounts.signJwt untuk membuat token akses bagi akun layanan lain. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: Pembuatan Token Agen AI Menggunakan Delegasi Implisit (Pratinjau)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION	Cloud Audit Logs: Log audit Akses Data IAM	Izin iam.serviceAccounts.implicitDelegation disalahgunakan untuk membuat token akses dari akun layanan yang lebih istimewa melalui agen AI. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: Pembuatan Token OpenID Lintas Project Agen AI (Pratinjau)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID	Cloud Audit Logs: Log audit Akses Data IAM	Izin IAM iam.serviceAccounts.getOpenIdToken digunakan di berbagai project melalui agen AI. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: Pembuatan Token Akses Lintas Project Agen AI (Pratinjau)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN	Cloud Audit Logs: Log audit Akses Data IAM	Izin IAM iam.serviceAccounts.getAccessToken digunakan di berbagai project melalui agen AI. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: Akun Layanan Baru adalah Pemilik atau Editor ^Tidak tersedia untuk sementara	SERVICE_ACCOUNT_EDITOR_OWNER	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Akun layanan baru dibuat dengan peran Editor atau Owner untuk sebuah project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau perubahan IAM, log audit Aktivitas Admin IAM.	—
Penemuan: Alat Pengumpulan Informasi Digunakan	INFORMATION_GATHERING_TOOL_USED	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Penggunaan ScoutSuite terdeteksi. ScoutSuite adalah alat audit keamanan cloud yang diketahui digunakan oleh pelaku ancaman. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	Kategori: Discovery: Information Gathering Tool Affecting Sensitive Data Tingkat Keparahan: Rendah hingga Sedang
Eskalasi Hak Istimewa: Pembuatan Token yang Mencurigakan ^Tidak tersedia untuk sementara	SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION	Cloud Audit Logs: Log audit IAM	Izin iam.serviceAccounts.implicitDelegation disalahgunakan untuk membuat token akses dari akun layanan dengan hak istimewa lebih tinggi. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau aktivitas IAM, gunakan log audit IAM.	—
Eskalasi Hak Istimewa: Pembuatan Token yang Mencurigakan ^Tidak tersedia untuk sementara	SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT	Cloud Audit Logs: Log audit IAM	Akun layanan menggunakan metode serviceAccounts.signJwt untuk membuat token akses bagi akun layanan lain. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau aktivitas IAM, gunakan log audit IAM.	—
Eskalasi Hak Istimewa: Pembuatan Token yang Mencurigakan ^Tidak tersedia untuk sementara	SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID	Cloud Audit Logs: Log audit IAM	Izin IAM iam.serviceAccounts.getOpenIdToken digunakan di seluruh project. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau aktivitas IAM, gunakan log audit IAM.	—
Eskalasi Hak Istimewa: Pembuatan Token yang Mencurigakan ^Tidak tersedia untuk sementara	SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN	Cloud Audit Logs: Log audit IAM	Izin IAM iam.serviceAccounts.getAccessToken digunakan di seluruh project. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau aktivitas IAM, gunakan log audit IAM.	—
Eskalasi Hak Istimewa: Penggunaan Izin Lintas Project yang Mencurigakan	SUSPICIOUS_CROSS_PROJECT_PERMISSION_DATAFUSION	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Izin IAM datafusion.instances.create digunakan di seluruh project. Temuan ini tidak tersedia untuk aktivasi level project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Perintah dan Kontrol: Tunneling DNS ^Tidak tersedia untuk sementara	DNS_TUNNELING_IODINE_HANDSHAKE	Log Cloud DNS	Handshake alat tunneling DNS Iodine terdeteksi. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau aktivitas DNS, gunakan log Cloud DNS.	—
Penghindaran Pertahanan: Upaya Penyamaran Rute VPC	VPC_ROUTE_MASQUERADE	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Rute VPC yang menyamar sebagai rute default Google Cloud dibuat secara manual, sehingga memungkinkan traffic egress ke alamat IP eksternal. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Dampak: Penagihan Dinonaktifkan ^Tidak tersedia untuk sementara	BILLING_DISABLED_SINGLE_PROJECT	Cloud Audit Logs: Log audit Aktivitas Admin Penagihan Cloud	Penagihan dinonaktifkan untuk sebuah project. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau perubahan pada penagihan, gunakan log audit Aktivitas Admin Penagihan Cloud.	—
Dampak: Penagihan Dinonaktifkan ^Tidak tersedia untuk sementara	BILLING_DISABLED_MULTIPLE_PROJECTS	Cloud Audit Logs: Log audit Aktivitas Admin Penagihan Cloud	Penagihan dinonaktifkan untuk beberapa project dalam organisasi dalam jangka waktu singkat. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau perubahan pada penagihan, gunakan log audit Aktivitas Admin Penagihan Cloud.	—
Dampak: Pemblokiran Prioritas Tinggi Firewall VPC	VPC_FIREWALL_HIGH_PRIORITY_BLOCK	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Aturan firewall VPC yang memblokir semua traffic egress ditambahkan pada prioritas 0. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Dampak: Penghapusan Massal Aturan Firewall VPC^Tidak tersedia untuk sementara	VPC_FIREWALL_MASS_RULE_DELETION	Cloud Audit Logs: Log audit Aktivitas Admin IAM	Aturan firewall VPC dihapus secara massal oleh akun non-layanan. Aturan ini tidak tersedia untuk sementara. Untuk memantau update pada aturan firewall Anda, gunakan Cloud Audit Logs. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Dampak: Service API Dinonaktifkan	SERVICE_API_DISABLED	Cloud Audit Logs: Log audit Aktivitas Admin IAM	API layanan Google Cloud dinonaktifkan di lingkungan produksi. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Dampak: Penskalaan Otomatis Grup Instance Terkelola Ditetapkan ke Maksimum ^Tidak tersedia untuk sementara	MIG_AUTOSCALING_SET_TO_MAX	Cloud Audit Logs: Log audit Aktivitas Admin Compute Engine	Grup instance terkelola dikonfigurasi untuk penskalaan otomatis maksimum. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau perubahan pada aset Compute Engine, gunakan log audit Aktivitas Admin Compute Engine.	—
Penemuan: Panggilan API Akun Layanan yang Tidak Sah ^Tidak tersedia untuk sementara	UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL	Cloud Audit Logs: Log audit Aktivitas Admin	Akun layanan melakukan panggilan API lintas project yang tidak sah. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau penggunaan akun layanan, gunakan log audit Aktivitas Admin.	—
Penghindaran Pertahanan: Sesi Anonim Diberi Akses Admin Cluster	ANONYMOUS_SESSIONS_GRANTED_CLUSTER_ADMIN	Cloud Audit Logs: Log Aktivitas Admin GKE	Objek role-based access control (RBAC) ClusterRoleBinding telah dibuat, yang menambahkan perilaku root-cluster-admin-binding ke pengguna anonim. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Persistensi: Geografi Baru untuk Layanan AI	AI_IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION	Cloud Audit Logs: Log Aktivitas Admin	Akun pengguna dan layanan IAM mengakses layanan AI Google Cloud dari lokasi yang tidak biasa, berdasarkan geolokasi alamat IP yang meminta. Temuan ini tidak tersedia untuk aktivasi level project dan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: Delegasi Akun Layanan Multilangkah yang Tidak Wajar untuk Aktivitas Admin AI	AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY	Cloud Audit Logs: Log Aktivitas Admin	Permintaan yang didelegasikan multi-langkah yang anomali ditemukan untuk aktivitas administratif layanan AI. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Eskalasi Hak Istimewa: Delegasi Akun Layanan Multilangkah yang Tidak Wajar untuk Akses Data AI	AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS	Cloud Audit Logs: Log Akses Data	Ditemukan permintaan yang didelegasikan multitahap yang anomali untuk aktivitas akses data layanan AI. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Eskalasi Hak Istimewa: Peniru Akun Layanan yang Tidak Normal untuk Aktivitas Admin AI	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY	Cloud Audit Logs: Log Aktivitas Admin	Pemanggil atau peniru identitas yang berpotensi anomali dalam rantai delegasi digunakan untuk aktivitas administratif layanan AI. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Eskalasi Hak Istimewa: Peniru Akun Layanan yang Tidak Normal untuk Akses Data AI	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS	Cloud Audit Logs: Log Akses Data	Pemanggil atau peniru identitas yang berpotensi anomali dalam rantai delegasi digunakan untuk aktivitas akses data layanan AI. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Eskalasi Hak Istimewa: Peniruan Identitas Akun Layanan yang Tidak Normal untuk Aktivitas Admin AI	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY	Cloud Audit Logs: Log Aktivitas Admin	Akun layanan yang ditiru identitasnya yang berpotensi anomali digunakan untuk aktivitas administratif layanan AI. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Persistence: New AI API Method	AI_ANOMALOUS_BEHAVIOR_NEW_API_METHOD	Cloud Audit Logs: Log Aktivitas Admin	Akun layanan IAM menggunakan akses anomali ke layanan AI Google Cloud . Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Akses Awal: Aktivitas Akun Layanan yang Tidak Aktif di Layanan AI	AI_DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION	Cloud Audit Logs: Log Aktivitas Admin	Akun layanan yang dikelola pengguna yang tidak aktif memicu tindakan di layanan AI. Dalam konteks ini, akun layanan dianggap tidak aktif jika telah tidak aktif selama lebih dari 180 hari. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Akses Awal: Resource GKE Anonim yang Dibuat dari Internet (Pratinjau)	GKE_RESOURCE_CREATED_ANONYMOUSLY_FROM_INTERNET	Cloud Audit Logs: Log Aktivitas Admin GKE.	Resource dibuat oleh pengguna internet anonim yang efektif. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Akses Awal: Resource GKE Dimodifikasi secara Anonim dari Internet (Pratinjau)	GKE_RESOURCE_MODIFIED_ANONYMOUSLY_FROM_INTERNET	Cloud Audit Logs: Log Aktivitas Admin GKE	Resource dimanipulasi oleh pengguna internet anonim yang efektif. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Eskalasi Hak Istimewa: Pengguna Anonim yang Efektif Diberi Akses Cluster GKE	GKE_ANONYMOUS_USERS_GRANTED_ACCESS	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang membuat binding RBAC yang merujuk ke salah satu pengguna atau grup berikut: system:anonymous system:unauthenticated system:authenticated Pengguna dan grup ini secara efektif bersifat anonim dan harus dihindari saat membuat binding peran atau binding peran cluster ke peran RBAC apa pun. Tinjau binding untuk memastikan bahwa binding tersebut diperlukan. Jika binding tidak diperlukan, hapus binding tersebut. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Eksekusi: Eksekusi atau Lampiran yang Mencurigakan ke Pod Sistem (Pratinjau)	GKE_SUSPICIOUS_EXEC_ATTACH	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang menggunakan perintah exec atau attach untuk mendapatkan shell atau menjalankan perintah pada container yang berjalan di namespace kube-system. Metode ini terkadang digunakan untuk tujuan proses debug yang sah. Namun, namespace kube-system ditujukan untuk objek sistem yang dibuat oleh Kubernetes, dan eksekusi perintah atau pembuatan shell yang tidak terduga harus ditinjau. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Eskalasi Hak Istimewa: Workload yang Dibuat dengan Pemasangan Jalur Host Sensitif (Pratinjau)	GKE_SENSITIVE_HOSTPATH	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang membuat workload yang berisi pemasangan volume hostPath ke jalur sensitif pada sistem file node host. Akses ke jalur ini pada sistem file host dapat digunakan untuk mengakses informasi istimewa atau informasi sensitif pada node dan untuk container escape. Jika memungkinkan, jangan izinkan volume hostPath apa pun di cluster Anda. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: Workload dengan shareProcessNamespace diaktifkan (Pratinjau)	GKE_SHAREPROCESSNAMESPACE_POD	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang men-deploy workload dengan opsi shareProcessNamespace yang ditetapkan ke true, sehingga semua container dapat berbagi namespace proses Linux yang sama. Hal ini dapat memungkinkan container yang tidak tepercaya atau disusupi untuk meningkatkan hak istimewa dengan mengakses dan mengontrol variabel lingkungan, memori, dan data sensitif lainnya dari proses yang berjalan di container lain. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: ClusterRole dengan Kata Kerja Istimewa (Pratinjau)	GKE_CLUSTERROLE_PRIVILEGED_VERBS	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang membuat ClusterRole RBAC yang berisi kata kerja bind, escalate, atau impersonate. Subjek yang terikat ke peran dengan kata kerja ini dapat meniru identitas pengguna lain dengan hak istimewa yang lebih tinggi, mengikat ke Roles atau ClusterRoles tambahan yang berisi izin tambahan, atau mengubah izin ClusterRole mereka sendiri. Hal ini dapat menyebabkan subjek tersebut mendapatkan hak istimewa cluster-admin. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eskalasi Hak Istimewa: ClusterRoleBinding ke Peran Istimewa	GKE_CRB_CLUSTERROLE_AGGREGATION_CONTROLLER	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang membuat ClusterRoleBinding RBAC yang merujuk ke system:controller:clusterrole-aggregation-controller ClusterRole default. ClusterRole default ini memiliki kata kerja escalate, yang memungkinkan subjek mengubah hak istimewa peran mereka sendiri, sehingga memungkinkan eskalasi hak istimewa. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penghindaran Pertahanan: Permintaan Penandatanganan Sertifikat (CSR) yang Dihapus Secara Manual	GKE_MANUALLY_DELETED_CSR	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang menghapus permintaan penandatanganan sertifikat (CSR) secara manual. CSR otomatis dihapus oleh pengontrol pembersihan sampah memori, tetapi pihak berniat jahat mungkin menghapusnya secara manual untuk menghindari deteksi. Jika CSR yang dihapus ditujukan untuk sertifikat yang disetujui dan diterbitkan, pihak yang berpotensi berniat jahat kini memiliki metode autentikasi tambahan untuk mengakses cluster. Izin yang terkait dengan sertifikat bervariasi bergantung pada subjek yang disertakan, tetapi dapat memiliki hak istimewa yang tinggi. Kubernetes tidak mendukung pencabutan sertifikat. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Akses Kredensial: Upaya Gagal untuk Menyetujui Permintaan Penandatanganan Sertifikat (CSR) Kubernetes	GKE_APPROVE_CSR_FORBIDDEN	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang mencoba menyetujui permintaan penandatanganan sertifikat (CSR) secara manual, tetapi tindakan tersebut gagal. Membuat sertifikat untuk autentikasi cluster adalah metode umum bagi penyerang untuk membuat akses persisten ke cluster yang disusupi. Izin yang terkait dengan sertifikat bervariasi bergantung pada subjek yang disertakan, tetapi dapat memiliki hak istimewa yang tinggi. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Akses Kredensial: Permintaan Penandatanganan Sertifikat (CSR) Kubernetes yang Disetujui Secara Manual (Pratinjau)	GKE_CSR_APPROVED	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang menyetujui permintaan penandatanganan sertifikat (CSR) secara manual. Membuat sertifikat untuk autentikasi cluster adalah metode umum bagi penyerang untuk membuat akses persisten ke cluster yang disusupi. Izin yang terkait dengan sertifikat bervariasi bergantung pada subjek yang disertakan, tetapi dapat memiliki hak istimewa yang tinggi. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Execution: Kubernetes Pod Created with Potential Reverse Shell Arguments	GKE_REVERSE_SHELL_POD	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang membuat Pod yang berisi perintah atau argumen yang biasanya terkait dengan reverse shell. Penyerang menggunakan reverse shell untuk memperluas atau mempertahankan akses awal mereka ke cluster dan untuk menjalankan perintah arbitrer. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Penghindaran Pertahanan: Potensi Penyamaran Pod Kubernetes	GKE_POD_MASQUERADING	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang men-deploy Pod dengan konvensi penamaan yang mirip dengan workload default yang dibuat GKE untuk operasi cluster reguler. Teknik ini disebut penyamaran. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Eskalasi Hak Istimewa: Nama Container Kubernetes yang Mencurigakan - Eksploitasi dan Escape (Pratinjau)	GKE_SUSPICIOUS_EXPLOIT_POD	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang men-deploy Pod dengan konvensi penamaan yang mirip dengan alat umum yang digunakan untuk container escape atau untuk menjalankan serangan lain pada cluster. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Persistensi: Akun Layanan Dibuat di namespace sensitif	GKE_SERVICE_ACCOUNT_CREATION_SENSITIVE_NAMESPACE	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang membuat akun layanan di namespace sensitif. Namespace kube-system dan kube-public sangat penting untuk operasi cluster GKE, dan akun layanan yang tidak sah dapat membahayakan stabilitas dan keamanan cluster. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Dampak: Nama Container Kubernetes yang Mencurigakan - Penambangan Cryptocurrency ^Tidak tersedia untuk sementara	GKE_SUSPICIOUS_CRYPTOMINING_POD	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang men-deploy Pod dengan konvensi penamaan yang mirip dengan penambang koin cryptocurrency umum. Hal ini mungkin merupakan upaya penyerang yang telah mendapatkan akses awal ke cluster untuk menggunakan resource cluster guna menambang mata uang kripto. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default. Aturan ini tidak tersedia untuk sementara. Untuk memantau aktivitas Kubernetes, gunakan log Aktivitas Admin GKE.	—
Eksekusi: Workload dipicu di namespace sensitif	GKE_SENSITIVE_NAMESPACE_WORKLOAD_TRIGGERED	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang men-deploy workload (misalnya, Pod atau Deployment) di namespace kube-system atau kube-public. Namespace ini sangat penting untuk operasi cluster GKE, dan workload yang tidak sah dapat membahayakan stabilitas atau keamanan cluster. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Eksekusi: GKE meluncurkan container yang terlalu mumpuni (Pratinjau)	GKE_EXCESSIVELY_CAPABLE_CONTAINER_CREATED	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang membuat container dengan satu atau beberapa kemampuan berikut di cluster dengan konteks keamanan yang ditingkatkan: CAP_SYS_MODULE CAP_SYS_RAWIO CAP_SYS_PTRACE CAP_SYS_BOOT CAP_DAC_READ_SEARCH CAP_NET_ADMIN CAP_BPF Kemampuan ini dapat digunakan untuk keluar dari container. Berhati-hatilah saat menyediakan kemampuan ini. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Persistence: GKE Webhook Configuration Detected	GKE_WEBHOOK_CONFIG_CREATED	Cloud Audit Logs: Log Aktivitas Admin GKE	Konfigurasi webhook terdeteksi di cluster GKE Anda. Webhook dapat menangkap dan mengubah permintaan Kubernetes API, sehingga berpotensi memungkinkan penyerang bertahan dalam cluster Anda atau memanipulasi resource. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Penghindaran Pertahanan: Pod Statis Dibuat	GKE_STATIC_POD_CREATED	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang membuat Pod statis di cluster GKE Anda. Pod statis berjalan langsung di node dan mengabaikan server Kubernetes API, sehingga lebih sulit untuk dipantau dan dikontrol. Penyerang dapat menggunakan Pod statis untuk menghindari deteksi atau mempertahankan persistensi. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Akses Awal: Panggilan API berhasil dilakukan dari IP proxy TOR	GKE_TOR_PROXY_IP_REQUEST	Cloud Audit Logs: Log Aktivitas Admin GKE	Panggilan API berhasil dilakukan ke cluster GKE Anda dari alamat IP yang terkait dengan jaringan Tor. Tor memberikan anonimitas, yang sering dieksploitasi penyerang untuk menyembunyikan identitas mereka. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	Kategori: Initial Access: Successful API call made from a TOR proxy IP Affecting Sensitive Data Tingkat Keparahan: Tidak ada perubahan (default Tinggi)
Akses Awal: Layanan NodePort GKE dibuat	GKE_NODEPORT_SERVICE_CREATED	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang membuat layanan NodePort. Layanan NodePort mengekspos Pod secara langsung di alamat IP dan port statis node, sehingga Pod dapat diakses dari luar cluster. Hal ini dapat menimbulkan risiko keamanan yang signifikan karena dapat memungkinkan penyerang mengeksploitasi kerentanan dalam layanan yang terekspos untuk mendapatkan akses ke cluster atau data sensitif. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Dampak: Modifikasi kube-dns GKE terdeteksi (Pratinjau)	GKE_KUBE_DNS_MODIFICATION	Cloud Audit Logs: Log Aktivitas Admin GKE	Seseorang mengubah konfigurasi kube-dns di cluster GKE Anda. Kube-dns GKE adalah komponen penting dari jaringan cluster Anda, dan kesalahan konfigurasinya dapat menyebabkan pelanggaran keamanan. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—
Dampak: Perintah Penambangan Kripto	CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS	Cloud Audit Logs: Log audit Peristiwa Sistem IAM	Perintah penambangan kripto tertentu dilampirkan ke tugas Cloud Run selama eksekusi. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Eksekusi: Image Docker Penambangan Kripto	CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES	Cloud Audit Logs: Log audit Peristiwa Sistem IAM	Image docker buruk tertentu yang diketahui telah dilampirkan ke layanan atau tugas Cloud Run baru atau yang sudah ada. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Eskalasi Hak Istimewa: SetIAMPolicy Akun Layanan Compute Engine Default	CLOUD_RUN_SERVICES_SET_IAM_POLICY	Cloud Audit Logs: Log Aktivitas Admin	Akun layanan Compute Engine default digunakan untuk menetapkan kebijakan IAM untuk layanan Cloud Run. Ini adalah potensi tindakan pasca-eksploitasi saat token Compute Engine disusupi dari layanan serverless. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.	—
Akses Awal: Login CloudDB Berhasil dari IP Anonymizing Proxy	CLOUD_DB_LOGIN_SUCCEEDED_ANON_IP	Cloud Audit Logs: Log akses data AlloyDB untuk PostgreSQL Log akses data Cloud SQL untuk PostgreSQL Log akses data Cloud SQL untuk MySQL Catatan: Anda harus mengaktifkan logging IP di PostgreSQL untuk menggunakan aturan ini untuk AlloyDB dan Postgres.	Login yang berhasil terdeteksi di instance database Anda dari alamat IP anonim yang diketahui. Hal ini dapat mengindikasikan bahwa penyerang mendapatkan akses awal ke instance Anda. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.	—
Akses Kredensial: CloudDB Gagal login dari IP Anonymizing Proxy	CLOUD_DB_LOGIN_FAILED_ANON_IP	Cloud Audit Logs: Log akses data AlloyDB untuk PostgreSQL Log akses data Cloud SQL untuk PostgreSQL Log akses data Cloud SQL untuk MySQL Catatan: Anda harus mengaktifkan logging IP di PostgreSQL untuk menggunakan aturan ini untuk AlloyDB dan Postgres.	Login yang gagal terdeteksi di instance database Anda dari alamat IP anonim yang diketahui. Hal ini dapat mengindikasikan bahwa penyerang mencoba mengakses instance Anda tanpa izin. Temuan diklasifikasikan sebagai tingkat keparahan Sedang secara default.	—

Untuk aturan yang tidak digunakan lagi dan dihentikan, lihat Penghentian penggunaan.

Modul kustom untuk Event Threat Detection

Selain aturan deteksi bawaan, Event Threat Detection menyediakan template modul yang dapat Anda gunakan untuk membuat aturan deteksi kustom. Untuk mengetahui informasi selengkapnya, lihat Ringkasan modul kustom untuk Event Threat Detection.

Untuk membuat aturan deteksi yang tidak memiliki template modul kustom, Anda dapat mengekspor data log ke BigQuery, lalu menjalankan kueri SQL unik atau berulang yang menangkap pembuatan model ancaman Anda.

Perubahan Google Grup yang tidak aman

Bagian ini menjelaskan cara Event Threat Detection menggunakan log Google Workspace, Cloud Audit Logs, dan kebijakan IAM untuk mendeteksi perubahan Google Grup yang tidak aman. Mendeteksi perubahan Google Grup hanya didukung jika Anda mengaktifkan Security Command Center di tingkat organisasi.

PelangganGoogle Cloud dapat menggunakan Grup Google untuk mengelola peran dan izin bagi anggota di organisasi mereka, atau menerapkan kebijakan akses ke kumpulan pengguna. Alih-alih memberikan peran langsung kepada anggota, administrator dapat memberikan peran dan izin ke Google Grup, lalu menambahkan anggota ke grup tertentu. Anggota grup mewarisi semua peran dan izin grup, yang memungkinkan anggota mengakses resource dan layanan tertentu.

Meskipun Google Grup adalah cara yang mudah untuk mengelola kontrol akses dalam skala besar, Google Grup dapat menimbulkan risiko jika pengguna eksternal dari luar organisasi atau domain Anda ditambahkan ke grup dengan hak istimewa—grup yang diberi peran atau izin sensitif. Peran sensitif mengontrol akses ke setelan keamanan dan jaringan, log, serta informasi identitas pribadi (PII), dan tidak direkomendasikan untuk anggota grup eksternal.

Dalam organisasi besar, administrator mungkin tidak menyadari saat anggota eksternal ditambahkan ke grup istimewa. Cloud Audit Logs mencatat pemberian peran ke grup, tetapi peristiwa log tersebut tidak berisi informasi tentang anggota grup, yang dapat mengaburkan potensi dampak dari beberapa perubahan grup.

Jika Anda membagikan log Google Workspace dengan Google Cloud, Event Threat Detection akan memantau aliran logging Anda untuk menemukan anggota baru yang ditambahkan ke Google Grup organisasi Anda. Karena log berada di level organisasi, Event Threat Detection hanya dapat memindai log Google Workspace jika Anda mengaktifkan Security Command Center di level organisasi. Event Threat Detection tidak dapat memindai log ini saat Anda mengaktifkan Security Command Center di level project.

Event Threat Detection mengidentifikasi anggota grup eksternal dan, menggunakan Cloud Audit Logs, meninjau peran IAM setiap grup yang terpengaruh untuk memeriksa apakah grup tersebut diberi peran sensitif. Informasi tersebut digunakan untuk mendeteksi perubahan tidak aman berikut untuk Google Grup dengan hak istimewa:

• Anggota grup eksternal ditambahkan ke grup dengan hak istimewa
• Peran atau izin sensitif yang diberikan kepada grup dengan anggota grup eksternal
• Grup dengan hak istimewa yang diubah untuk mengizinkan siapa saja di kalangan publik untuk bergabung

Event Threat Detection menulis temuan ke Security Command Center. Temuan berisi alamat email anggota eksternal yang baru ditambahkan, anggota grup internal yang memulai peristiwa, nama grup, dan peran sensitif yang terkait dengan grup. Anda dapat menggunakan informasi tersebut untuk menghapus anggota eksternal dari grup atau mencabut peran sensitif yang diberikan kepada grup.

Untuk mengetahui informasi selengkapnya tentang temuan Event Threat Detection, lihat Aturan Event Threat Detection.

Peran dan izin IAM yang sensitif

Bagian ini menjelaskan cara Event Threat Detection menentukan peran IAM sensitif. Untuk peran dan izin sensitif terkait ancaman AI, lihat Peran dan izin IAM sensitif untuk AI.

Deteksi seperti Pemberian IAM Tidak Wajar dan perubahan Grup Google yang Tidak Aman hanya menghasilkan temuan jika perubahan melibatkan peran dengan sensitivitas tinggi atau sedang. Sensitivitas peran memengaruhi rating tingkat keparahan yang ditetapkan untuk temuan.

• Peran sensitivitas tinggi mengontrol layanan penting dalam organisasi, termasuk penagihan, setelan firewall, dan logging. Temuan yang cocok dengan peran ini diklasifikasikan sebagai tingkat keparahan Tinggi.
• Peran sensitivitas sedang memiliki izin pengeditan yang memungkinkan akun utama membuat perubahan pada resource Google Cloud ; serta izin melihat dan mengeksekusi pada layanan penyimpanan data yang sering menyimpan data sensitif. Tingkat keparahan yang ditetapkan untuk temuan bergantung pada resource:
  • Jika peran sensitivitas sedang diberikan di tingkat organisasi, temuan akan diklasifikasikan sebagai tingkat keseriusan Tinggi.
  • Jika peran sensitivitas sedang diberikan pada tingkat yang lebih rendah dalam hierarki resource Anda (folder, project, dan bucket, antara lain), temuan akan diklasifikasikan sebagai tingkat keparahan Sedang.

Pemberian peran sensitif ini dianggap berbahaya jika penerimanya adalah Anggota Eksternal atau identitas abnormal, seperti akun utama yang sudah lama tidak aktif.

Memberikan peran sensitif kepada anggota eksternal dapat menimbulkan potensi ancaman karena peran tersebut dapat disalahgunakan untuk penyusupan akun dan pemindahan data yang tidak sah.

Menemukan kategori yang menggunakan peran sensitif ini, termasuk:

• Persistence: IAM Anomalous Grant
  • Subaturan: external_service_account_added_to_policy
  • Subaturan: external_member_added_to_policy
• Eskalasi Hak Istimewa: Peran Sensitif Diberikan Kepada Grup Hybrid
• Eskalasi Hak Istimewa: Akun Layanan yang Tidak Aktif Diberi Peran Sensitif

Menemukan kategori yang menggunakan subset peran sensitif, termasuk:

• Persistence: IAM Anomalous Grant
  • Subaturan: service_account_granted_sensitive_role_to_member

Subaturan service_account_granted_sensitive_role_to_member menargetkan anggota eksternal dan internal secara umum, sehingga hanya menggunakan subset peran sensitif, seperti yang dijelaskan dalam Aturan Event Threat Detection.

Kategori	Peran	Deskripsi
Peran dasar: berisi ribuan izin di semua layanan Google Cloud .	roles/owner	Peran dasar
	roles/editor
Peran keamanan: mengontrol akses ke setelan keamanan	roles/cloudkms.*	Semua peran Cloud Key Management Service
	roles/cloudsecurityscanner.*	Semua peran Web Security Scanner
	roles/dlp.*	Semua peran Sensitive Data Protection
	roles/iam.*	Semua peran IAM
	roles/secretmanager.*	Semua peran Secret Manager
	roles/securitycenter.*	Semua peran Security Command Center
Peran logging: mengontrol akses ke log organisasi	roles/errorreporting.*	Semua peran Error Reporting
	roles/logging.*	Semua peran Cloud Logging
	roles/stackdriver.*	Semua peran Cloud Monitoring
Peran informasi pribadi: mengontrol akses ke resource yang berisi informasi identitas pribadi, termasuk informasi perbankan dan kontak	roles/billing.*	Semua peran Penagihan Cloud
	roles/healthcare.*	Semua peran Cloud Healthcare API
	roles/essentialcontacts.*	Semua peran Kontak Penting
Peran jaringan: mengontrol akses ke setelan jaringan organisasi	roles/dns.*	Semua peran Cloud DNS
	roles/domains.*	Semua peran Cloud Domains
	roles/networkconnectivity.*	Peran Network Connectivity Center
	roles/networkmanagement.*	Semua peran NCC
	roles/privateca.*	Semua peran Certificate Authority Service
Peran layanan: mengontrol akses ke resource layanan di Google Cloud	roles/cloudasset.*	Semua peran Inventaris Aset Cloud
	roles/servicedirectory.*	Semua peran Direktori Layanan
	roles/servicemanagement.*	Semua peran Pengelolaan Layanan
	roles/servicenetworking.*	Semua peran Service Networking
	roles/serviceusage.*	Semua peran Service Usage
Peran Compute Engine: mengontrol akses ke virtual machine Compute Engine, yang menjalankan tugas yang berjalan lama dan terkait dengan aturan firewall	roles/compute.admin roles/compute.instanceAdmin roles/compute.instanceAdmin.v1 roles/compute.loadBalancerAdmin roles/compute.networkAdmin roles/compute.orgFirewallPolicyAdmin roles/compute.orgFirewallPolicyUser roles/compute.orgSecurityPolicyAdmin roles/compute.orgSecurityPolicyUser roles/compute.orgSecurityResourceAdmin roles/compute.osAdminLogin roles/compute.publicIpAdmin roles/compute.securityAdmin roles/compute.storageAdmin roles/compute.xpnAdmin	Semua peran Admin dan Editor Compute Engine

Kategori	Peran	Deskripsi
Peran pengeditan: Peran IAM yang menyertakan izin untuk melakukan perubahan pada resource Google Cloud	Contoh: roles/storage.objectAdmin roles/file.editor roles/source.writer roles/container.developer	Nama peran biasanya diakhiri dengan judul seperti Admin, Owner, Editor, atau Writer. Luaskan node di baris terakhir tabel untuk melihat All medium-sensitivity roles
Peran penyimpanan data: Peran IAM yang mencakup izin untuk melihat dan menjalankan layanan penyimpanan data	Contoh: roles/cloudsql.viewer roles/cloudsql.client roles/bigquery.dataViewer roles/bigquery.user roles/spanner.databaseReader roles/spanner.databaseUser	Luaskan node di baris terakhir tabel untuk melihat All medium-sensitivity roles
Semua peran dengan sensitivitas sedang Access Approval roles/accessapproval.approver roles/accessapproval.configEditor Access Context Manager roles/accesscontextmanager.gcpAccessAdmin roles/accesscontextmanager.policyAdmin roles/accesscontextmanager.policyEditor Tindakan roles/actions.Admin AI Platform roles/ml.admin roles/ml.developer roles/ml.jobOwner roles/ml.modelOwner roles/ml.modelUser Gateway API roles/apigateway.admin App Engine roles/appengine.appAdmin roles/appengine.appCreator roles/appengine.serviceAdmin Artifact Analysis roles/containeranalysis.admin roles/containeranalysis.notes.attacher roles/containeranalysis.notes.editor roles/containeranalysis.occurrences.editor AutoML roles/automl.admin roles/automl.editor BigQuery roles/bigquery.admin roles/bigquery.dataEditor roles/bigquery.dataOwner roles/bigquery.dataViewer roles/bigquery.resourceAdmin roles/bigquery.resourceEditor roles/bigquery.resourceViewer roles/bigquery.user Bigtable roles/bigtable.admin roles/bigtable.reader roles/bigtable.user Otorisasi Biner roles/binaryauthorization.attestorsAdmin roles/binaryauthorization.attestorsEditor roles/binaryauthorization.policyAdmin roles/binaryauthorization.policyEditor Cloud Autoscaling roles/autoscaling.metricsWriter roles/autoscaling.sitesAdmin roles/autoscaling.stateWriter Cloud Build roles/cloudbuild.builds.builder roles/cloudbuild.builds.editor Cloud Deployment Manager roles/deploymentmanager.editor roles/deploymentmanager.typeEditor Cloud Endpoints roles/endpoints.portalAdmin^Beta Cloud Monitoring roles/monitoring.admin roles/monitoring.alertPolicyEditor roles/monitoring.dashboardEditor roles/monitoring.editor roles/monitoring.metricWriter roles/monitoring.notificationChannelEditor roles/monitoring.servicesEditor roles/monitoring.uptimeCheckConfigEditor Cloud Run roles/run.admin roles/run.developer Cloud Run Functions roles/cloudfunctions.admin roles/cloudfunctions.developer roles/cloudfunctions.invoker Cloud Runtime Configuration API roles/runtimeconfig.admin Cloud Scheduler roles/cloudscheduler.admin Cloud Source Repositories roles/source.admin roles/source.writer Cloud SQL roles/cloudsql.admin roles/cloudsql.editor roles/cloudsql.client roles/cloudsql.instanceUser roles/cloudsql.viewer Cloud Storage roles/storage.admin roles/storage.hmacKeyAdmin roles/storage.objectAdmin roles/storage.objectCreator roles/storage.objectViewer roles/storage.legacyBucketOwner roles/storage.legacyBucketWriter roles/storage.legacyBucketReader roles/storage.legacyObjectOwner roles/storage.legacyObjectReader Cloud Tasks roles/cloudtasks.admin roles/cloudtasks.enqueuer roles/cloudtasks.queueAdmin roles/cloudtasks.taskDeleter Cloud TPU tpu.admin Cloud Trace roles/cloudtrace.admin roles/cloudtrace.agent Compute Engine roles/compute.imageUser roles/compute.osLoginExternalUser roles/osconfig.guestPolicyAdmin roles/osconfig.guestPolicyEditor roles/osconfig.osPolicyAssignmentAdmin roles/osconfig.osPolicyAssignmentEditor roles/osconfig.patchDeploymentAdmin Pemrosesan Data Penggunaan Pelanggan roles/dataprocessing.admin Dataflow roles/dataflow.admin roles/dataflow.developer Managed Service untuk Apache Spark roles/dataproc.admin roles/dataproc.editor Dataproc Metastore roles/metastore.admin roles/metastore.editor Datastore roles/datastore.importExportAdmin roles/datastore.indexAdmin roles/datastore.owner roles/datastore.user Eventarc roles/eventarc.admin roles/eventarc.developer roles/eventarc.eventReceiver Filestore roles/file.editor Firebase roles/firebase.admin roles/firebase.analyticsAdmin roles/firebase.developAdmin roles/firebase.growthAdmin roles/firebase.qualityAdmin roles/firebaseabt.admin roles/firebaseappcheck.admin roles/firebaseappdistro.admin roles/firebaseauth.admin roles/firebasecrash.symbolMappingsAdmin roles/firebasecrashlytics.admin roles/firebasedatabase.admin roles/firebasedynamiclinks.admin roles/firebasehosting.admin roles/firebaseinappmessaging.admin roles/firebaseml.admin roles/firebasenotifications.admin roles/firebaseperformance.admin roles/firebasepredictions.admin roles/firebaserules.admin roles/firebasestorage.admin roles/cloudconfig.admin roles/cloudtestservice.testAdmin Google Cloud VMware Engine vmwareengine.vmwareengineAdmin Google Kubernetes Engine roles/container.admin roles/container.clusterAdmin roles/container.developer Google Kubernetes Engine Hub roles/gkehub.admin roles/gkehub.gatewayAdmin roles/gkehub.connect Pengelolaan Layanan Google Security Operations roles/chroniclesm.admin Google Workspace roles/gsuiteaddons.developer Identity-Aware Proxy roles/iap.admin roles/iap.settingsAdmin Identity Platform roles/identityplatform.admin Identity Toolkit roles/identitytoolkit.admin Layanan Terkelola untuk Microsoft Active Directory roles/managedidentities.admin roles/managedidentities.domainAdmin roles/managedidentities.viewer Memorystore for Redis roles/redis.admin roles/redis.editor OAuthConfig roles/oauthconfig.editor On-Demand Scanning API roles/ondemandscanning.admin Ops Config Monitoring roles/opsconfigmonitoring.resourceMetadata.writer Organization Policy Service roles/axt.admin roles/orgpolicy.policyAdmin Proximity Beacon roles/proximitybeacon.attachmentEditor roles/proximitybeacon.beaconEditor Pub/Sub roles/pubsub.admin roles/pubsub.editor Pub/Sub Lite roles/pubsublite.admin roles/pubsublite.editor roles/pubsublite.publisher reCAPTCHA roles/recaptchaenterprise.admin roles/recaptchaenterprise.agent Rekomendasi roles/automlrecommendations.admin roles/automlrecommendations.editor Pemberi Rekomendasi roles/recommender.billingAccountCudAdmin roles/recommender.cloudAssetInsightsAdmin roles/recommender.cloudsqlAdmin roles/recommender.computeAdmin roles/recommender.firewallAdmin roles/recommender.iamAdmin roles/recommender.productSuggestionAdmin roles/recommender.projectCudAdmin Resource Manager roles/resourcemanager.folderAdmin roles/resourcemanager.folderCreator roles/resourcemanager.folderEditor roles/resourcemanager.folderIamAdmin roles/resourcemanager.folderMover roles/resourcemanager.lienModifier roles/resourcemanager.organizationAdmin roles/resourcemanager.projectCreator roles/resourcemanager.projectDeleter roles/resourcemanager.projectIamAdmin roles/resourcemanager.projectMover roles/resourcemanager.tagAdmin Setelan Fasilitas roles/resourcesettings.admin AI Commerce Search API roles/retail.admin roles/retail.editor Akses VPC Serverless roles/vpcaccess.admin Service Consumer Management roles/serviceconsumermanagement.tenancyUnitsAdmin Spanner roles/spanner.admin roles/spanner.backupAdmin roles/spanner.backupWriter roles/spanner.databaseAdmin roles/spanner.restoreAdmin roles/spanner.databaseReader roles/spanner.databaseUser Storage Transfer Service roles/storagetransfer.admin roles/storagetransfer.user Gemini Enterprise Agent Platform roles/aiplatform.admin roles/aiplatform.featurestoreAdmin roles/aiplatform.migrator roles/aiplatform.user Notebook Vertex AI Workbench yang dikelola pengguna roles/notebooks.admin roles/notebooks.legacyAdmin Workflows roles/workflows.admin roles/workflows.editor

Peran dan izin IAM yang sensitif untuk AI

Untuk temuan Event Threat Detection yang terkait dengan ancaman AI, peran sensitif didefinisikan secara berbeda dibandingkan dengan peran sensitif untuk ancaman non-AI.

• Peran sensitivitas tinggi untuk temuan AI mencakup peran dasar, dasar lama, dan bawaan berikut:

  • roles/admin
  • roles/writer
  • roles/owner
  • roles/editor
  • roles/resourcemanager.organizationAdmin
  • roles/iam.securityAdmin

• Peran dengan sensitivitas sedang untuk temuan AI mencakup semua peran administrator, editor, pemilik, dan agen layanan untuk layanan Google Cloud apa pun. Peran berikut juga dianggap sebagai peran sensitivitas sedang:

  • roles/cloudkms.cryptoKeyDecrypter
  • roles/compute.osAdminLogin
  • roles/compute.osLogin
  • roles/iam.serviceAccountTokenCreator
  • roles/iam.serviceAccountUser
  • roles/logging.configWriter
  • roles/logging.privateLogViewer
  • roles/secretmanager.secretAccessor

• Peran dengan sensitivitas rendah untuk temuan AI mencakup hal berikut:

  • roles/cloudfunctions.developer
  • roles/run.developer
  • roles/appengine.deployer
  • roles/iam.workloadIdentityUser
  • roles/iam.serviceAccountOpenIdTokenCreator
  • roles/artifactregistry.createOnPushWriter

Izin AI sensitif mencakup izin yang memungkinkan pembuatan, pembaruan, penghapusan, atau pengeksporan model AI dan data, pengelolaan kontrol akses ke layanan AI (misalnya, setIamPolicy), dan pemanfaatan kapabilitas AI seperti membuat prediksi. Hal ini juga mencakup izin untuk mengelola kredensial sensitif, seperti kunci HMAC Storage, yang sering digunakan bersama dengan workload AI.

Jenis log dan persyaratan aktivasi

Bagian ini mencantumkan log yang digunakan Event Threat Detection, beserta ancaman yang dicari Event Threat Detection di setiap log, dan tindakan yang perlu Anda lakukan, jika ada, untuk mengaktifkan setiap log.

Anda hanya perlu mengaktifkan log untuk Event Threat Detection jika semua hal berikut terpenuhi:

• Anda menggunakan produk atau layanan yang menulis ke log.
• Anda perlu melindungi produk atau layanan dari ancaman yang dideteksi Event Threat Detection dalam log.
• Log tersebut adalah log audit akses data atau log lain yang nonaktif secara default.

Ancaman tertentu dapat dideteksi di beberapa log. Jika Event Threat Detection dapat mendeteksi ancaman dalam log yang sudah diaktifkan, Anda tidak perlu mengaktifkan log lain untuk mendeteksi ancaman yang sama.

Jika log tidak tercantum di bagian ini, Event Threat Detection tidak akan memindainya, meskipun log tersebut diaktifkan. Untuk mengetahui informasi selengkapnya, lihat Pemindaian log yang berpotensi redundan.

Seperti yang dijelaskan dalam tabel berikut, beberapa jenis log hanya tersedia di level organisasi. Jika Anda mengaktifkan Security Command Center di level project, Event Threat Detection tidak akan memindai log ini dan tidak akan menghasilkan temuan apa pun.

Tips: Untuk membantu Anda mengevaluasi log mana yang akan diekspor dan dianalisis untuk memenuhi kebutuhan keamanan dan kepatuhan, gunakan Google Cloud Alat Pencakupan Log.

Sumber log dasar

Event Threat Detection menggunakan sumber data dasar untuk mendeteksi potensi aktivitas berbahaya di jaringan Anda.

• Jika Anda mengaktifkan Event Threat Detection tanpa Log Aliran VPC, Event Threat Detection akan segera mulai menganalisis aliran Log Aliran VPC yang independen, duplikat, dan internal. Untuk menyelidiki lebih lanjut temuan Event Threat Detection yang ada, Anda harus mengaktifkan Log Aliran VPC dan membuka Logs Explorer dan Flow Analyzer secara manual. Jika Anda mengaktifkan Log Aliran VPC di lain waktu, hanya temuan mendatang yang akan berisi link yang relevan untuk penyelidikan lebih lanjut.

• Jika Anda mengaktifkan Event Threat Detection dengan Log Aliran VPC, Event Threat Detection akan segera mulai menganalisis Log Aliran VPC dalam deployment Anda dan menyediakan link ke Logs Explorer dan Flow Analyzer untuk membantu Anda menyelidiki lebih lanjut.

Log untuk deteksi malware di jaringan

Event Threat Detection dapat memberikan deteksi jaringan terhadap malware dengan memindai salah satu log berikut:

• Logging Cloud DNS
• Logging Cloud NAT
• Firewall Rules Logging
• VPC Flow Logs

Anda tidak perlu mengaktifkan lebih dari satu logging Cloud NAT, Firewall Rules Logging, atau Log Aliran VPC.

Jika Anda sudah menggunakan logging Cloud DNS, Event Threat Detection dapat mendeteksi malware menggunakan resolusi domain. Bagi sebagian besar pengguna, log Cloud DNS sudah cukup untuk deteksi malware di jaringan.

Jika Anda memerlukan tingkat visibilitas lain selain resolusi domain, Anda dapat mengaktifkan Log Aliran VPC, tetapi Log Aliran VPC dapat dikenai biaya. Untuk mengelola biaya ini, sebaiknya tingkatkan interval penggabungan menjadi 15 menit dan kurangi frekuensi sampel menjadi antara 5% dan 10%, tetapi ada konsekuensi antara perolehan (sampel lebih tinggi) dan pengelolaan biaya (frekuensi sampel lebih rendah). Untuk mengetahui informasi selengkapnya, lihat Pengambilan sampel dan pemrosesan log.

Jika Anda sudah menggunakan Firewall Rules Logging atau logging Cloud NAT, log ini berguna sebagai pengganti Log Aliran VPC.

Data log yang didukung dan ancaman yang terdeteksi

Bagian ini mencantumkan log Cloud Logging dan Google Workspace yang dapat Anda aktifkan atau konfigurasikan untuk meningkatkan jumlah ancaman yang dapat dideteksi oleh Event Threat Detection.

Ancaman tertentu, seperti ancaman yang ditimbulkan oleh peniruan identitas atau pendelegasian akun layanan yang tidak biasa, dapat ditemukan di sebagian besar log audit. Untuk jenis ancaman ini, Anda menentukan log yang perlu diaktifkan berdasarkan produk dan layanan yang Anda gunakan.

Biaya logging: Sebelum mengaktifkan log untuk dipindai oleh Event Threat Detection, pastikan Anda memahami cara Cloud Logging mengenakan biaya untuk data log. Setelah mengaktifkan log, pantau log selama beberapa hari untuk memastikan bahwa log tidak menimbulkan biaya Logging yang tidak terduga.

Meskipun pemindaian log oleh Event Threat Detection tidak dikenai biaya tambahan, bergantung pada volume data log yang dihasilkan organisasi dan project Anda, Cloud Logging dapat mengenakan biaya untuk penyerapan dan penyimpanan data log.

Untuk mengetahui informasi tentang cara Logging mengenakan biaya untuk logging, lihat Harga Cloud Logging.

Tabel berikut menunjukkan log tertentu yang dapat Anda aktifkan dan jenis ancaman yang dapat dideteksi.

Log type	Threats detected	Configuration required
AlloyDB for PostgreSQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Initial Access: CloudDB Successful login from Anonymizing Proxy IP Privilege Escalation: AlloyDB Database Superuser Writes to User Tables Privilege Escalation: AlloyDB Over-Privileged Grant	Activate Logging Data Access audit logs for AlloyDB for PostgreSQL To detect the Privilege Escalation: AlloyDB Database Superuser Writes to User Tables and Privilege Escalation: AlloyDB Over-Privileged Grant threats, you must also enable the pgAudit extension
authlogs/authlog on virtual machines	Brute force SSH	Install the Ops Agent or the legacy Logging agent on your VM hosts
Cloud DNS logging	Log4j Malware: Bad Domain Malware: bad domain Malware: Cryptomining Bad Domain	Turn on Cloud DNS logging See also Logs for network detection of malware.
Cloud SQL MySQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket Initial Access: CloudDB Successful login from Anonymizing Proxy IP	Activate Logging Data Access audit logs for Cloud SQL for MySQL
Cloud NAT logging	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on Cloud NAT logging See also Logs for network detection of malware.
Cloud SQL PostgreSQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket Exfiltration: Cloud SQL Over-Privileged Grant Initial Access: CloudDB Successful login from Anonymizing Proxy IP	Activate Logging Data Access audit logs for Cloud SQL for PostgreSQL. To detect the Exfiltration: Cloud SQL Over-Privileged Grant threat, you must also enable the pgAudit extension
External Application Load Balancer backend service logs	Initial Access: Log4j Compromise Attempt	Turn on external Application Load Balancer logging
Firewall Rules Logging	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on Firewall Rules Logging See also Logs for network detection of malware.
Generic Data Access audit logs	Initial Access: Leaked Service Account Key Used Privilege Escalation: Anomalous Multistep Service Account Delegation for AI Data Access Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Privilege Escalation: Anomalous Service Account Impersonator for AI Data Access Privilege Escalation: Anomalous Service Account Impersonator for Data Access	Activate Logging Data Access audit logs.
Google Kubernetes Engine (GKE) Data Access audit logs	Discovery: Can get sensitive Kubernetes object check Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials	Activate Logging Data Access audit logs for GKE
Google Workspace Admin Audit logs	Persistence: SSO Enablement Toggle Persistence: SSO Settings Changed Persistence: Strong Authentication Disabled Persistence: Two Step Verification Disabled Privilege Escalation: Privileged Group Opened To Public	Share Google Workspace Admin Audit logs with Cloud Logging This log type can't be scanned in project-level activations.
Google Workspace Login Audit logs	Credential Access: External Member Added To Privileged Group Initial Access: Account Disabled Hijacked Initial Access: Disabled Password Leak Initial Access: Government Based Attack Initial Access: Suspicious Login Blocked Persistence: Two Step Verification Disabled	Share Google Workspace Login Audit logs with Cloud Logging This log type can't be scanned in project-level activations.
IAM Data Access audit logs	Discovery: AI Agent Service Account Self-Investigation Discovery: Service Account Self-Investigation Privilege Escalation: AI Agent Cross-Project Access Token Generation Privilege Escalation: AI Agent Cross-Project OpenID Token Generation Privilege Escalation: AI Agent Token Generation Using Implicit Delegation Privilege Escalation: AI Agent Token Generation Using signJwt	Activate Logging Data Access audit logs for Resource Manager
SQL Server Data Access audit logs	Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket	Activate Logging Data Access audit logs for Cloud SQL for SQL Server
VPC Flow Logs	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on VPC Flow Logs See also Logs for network detection of malware.

Log yang selalu aktif

Tabel berikut mencantumkan log Cloud Logging yang tidak perlu Anda aktifkan atau konfigurasi. Log ini selalu aktif dan Event Threat Detection memindainya secara otomatis.

Jenis log	Ancaman terdeteksi	Konfigurasi diperlukan
Log Agent Engine	Akses Kredensial: Akses Anomali Agen AI ke Layanan Metadata (Pratinjau) Penemuan: Bukti Pemindaian Port dari Agen AI (Pratinjau)	Tidak ada
Log audit Aktivitas Admin Backup and DR	Dampak: Backup and DR Google Cloud mengakhiri masa berlaku semua image Dampak: Pencadangan Google Cloud Backup and DR Dihapus Dampak: Host Backup and DR Google Cloud dihapus Dampak: Penghapusan pengaitan paket Backup and DR Google Cloud Dampak: Vault Backup and DR Google Cloud Dihapus Dampak: Kebijakan penghapusan Google Cloud Backup and DR Dampak: Penghapusan profil Backup and DR Google Cloud Dampak: Penghapusan template Google Cloud Backup and DR Dampak: Masa berlaku image Google Cloud Backup and DR berakhir Dampak: Backup and DR Google Cloud mengurangi masa berlaku cadangan Dampak: Backup and DR Google Cloud mengurangi frekuensi pencadangan Dampak: Backup and DR Google Cloud menghapus peralatan Dampak: Penghapusan paket Google Cloud Backup and DR Menghambat pemulihan sistem: Google Cloud Backup and DR menghapus storage pool	Tidak ada
Log Akses Data BigQueryAuditMetadata	Pemindahan Tidak Sah: Ekstraksi Data BigQuery yang Dimulai oleh Agen AI Pemindahan Tidak Sah: Pemindahan Tidak Sah Data BigQuery yang Dimulai Agen AI ke Tabel Eksternal Pemindahan Tidak Sah: Pelanggaran Perimeter VPC BigQuery yang Dimulai oleh Agen AI Pemindahan Tidak Sah: Pemindahan Tidak Sah Data BigQuery Pemindahan Tidak Sah: Ekstraksi Data BigQuery Pemindahan Tidak Sah: Data BigQuery ke Google Drive Pemindahan yang tidak sah: Memindahkan ke resource BigQuery Publik (Pratinjau)	Tidak ada
Log audit Aktivitas Admin Umum	Penghindaran Pertahanan: Pemfilteran IP Bucket GCS Diubah Penghindaran Pertahanan: Blokir Kebijakan HTTP Project Dinonaktifkan Penghindaran Pertahanan: TokenCreatorRole Tingkat Folder Ditambahkan Penghindaran Pertahanan: Peran TokenCreator Tingkat Folder Diberikan kepada Agen AI Penghindaran Pertahanan: TokenCreatorRole Tingkat Organisasi Ditambahkan Penghindaran Pertahanan: Peran TokenCreator Tingkat Organisasi Diberikan kepada Agen AI Penghindaran Pertahanan: TokenCreatorRole Level Project Ditambahkan Penghindaran Pertahanan: Peran TokenCreator Level Project Diberikan kepada Agen AI Penemuan: Panggilan API Akun Layanan Tidak Sah Agen AI Akses Awal: Tindakan Penolakan Izin Berlebihan Identitas Agen AI Akses Awal: Tindakan Akun Layanan Yang Tidak Aktif Akses Awal: Aktivitas Akun Layanan yang Tidak Aktif di Layanan AI Akses Awal: Kunci Akun Layanan yang Tidak Aktif Dibuat Akses Awal: Tindakan Penolakan Izin yang Berlebihan Akses Awal: Penggunaan Kunci Akun Layanan yang Bocor Pergerakan Lateral: Boot Disk yang Dimodifikasi Terpasang ke Instance (Pratinjau) Persistence: GCE Admin Added SSH Key Persistensi: Admin GCE Menambahkan Skrip Startup Persistensi: Metode AI API Baru Persistensi: Metode API Baru Persistensi: Geografi Baru Persistensi: Geografi Baru untuk Layanan AI Persistensi: Agen Pengguna Baru Persistensi: Izin AI Sensitif Ditambahkan ke Peran Kustom Persistence: Sensitive Role Granted to External AI Agent Persistensi: Peran Sensitif yang Diberikan oleh Agen AI Eskalasi Hak Istimewa: Peniruan Akun Layanan yang Tidak Normal untuk Aktivitas Admin Eskalasi Hak Istimewa: Peniruan Akun Layanan yang Tidak Normal untuk Aktivitas Admin AI Eskalasi Hak Istimewa: Delegasi Akun Layanan Multilangkah yang Tidak Normal untuk Aktivitas Admin Eskalasi Hak Istimewa: Delegasi Akun Layanan Multilangkah yang Tidak Normal untuk Aktivitas Admin AI Eskalasi Hak Istimewa: Peniru Akun Layanan yang Tidak Normal untuk Aktivitas Admin Eskalasi Hak Istimewa: Peniru Akun Layanan yang Tidak Normal untuk Aktivitas Admin AI	Tidak ada
Log audit Aktivitas Admin Google Kubernetes Engine (GKE)	Akses Kredensial: Upaya Gagal untuk Menyetujui Permintaan Penandatanganan Sertifikat (CSR) Kubernetes Akses Kredensial: Permintaan Penandatanganan Sertifikat (CSR) Kubernetes yang Disetujui Secara Manual (Pratinjau) Penghindaran Pertahanan: Sesi Anonim Diberi Akses Admin Cluster Penghindaran Pertahanan: Permintaan Penandatanganan Sertifikat (CSR) yang Dihapus Secara Manual Penghindaran Pertahanan: Potensi Penyamaran Pod Kubernetes Penghindaran Pertahanan: Pod Statis Dibuat Eksekusi: GKE meluncurkan container yang terlalu mumpuni (Pratinjau) Execution: Kubernetes Pod Created with Potential Reverse Shell Arguments Eksekusi: Eksekusi atau Lampiran yang Mencurigakan ke Pod Sistem (Pratinjau) Eksekusi: Workload dipicu di namespace sensitif Dampak: Modifikasi kube-dns GKE terdeteksi (Pratinjau) Dampak: Nama Container Kubernetes yang Mencurigakan - Penambangan Cryptocurrency Akses Awal: Resource GKE Anonim yang Dibuat dari Internet (Pratinjau) Akses Awal: Layanan NodePort GKE dibuat Access Awal: Resource GKE Dimodifikasi Secara Anonim dari Internet (Pratinjau) Akses Awal: Panggilan API berhasil dilakukan dari IP proxy TOR Persistence: GKE Webhook Configuration Detected Persistensi: Akun Layanan Dibuat di namespace sensitif Eskalasi Hak Istimewa: Perubahan pada objek RBAC Kubernetes yang sensitif Eskalasi Hak Istimewa: ClusterRole dengan Kata Kerja Istimewa (Pratinjau) Eskalasi Hak Istimewa: ClusterRoleBinding ke Peran Istimewa Eskalasi Hak Istimewa: Membuat CSR Kubernetes untuk sertifikat master Eskalasi Hak Istimewa: Pembuatan binding Kubernetes yang sensitif Eskalasi Hak Istimewa: Pengguna Anonim yang Efektif Diberi Akses Cluster GKE Eskalasi Hak Istimewa: Peluncuran container Kubernetes dengan hak istimewa Eskalasi Hak Istimewa: Nama Container Kubernetes yang Mencurigakan - Eksploitasi dan Escape (Pratinjau) Eskalasi Hak Istimewa: Workload yang Dibuat dengan Pemasangan Jalur Host Sensitif (Pratinjau) Eskalasi Hak Istimewa: Workload dengan shareProcessNamespace diaktifkan (Pratinjau)	Tidak ada
Log audit Aktivitas Admin IAM	Persistence: Pemberian IAM Tidak Wajar (Pratinjau) Persistence: Unmanaged Account Granted Sensitive Role Eskalasi Hak Istimewa: SetIAMPolicy Akun Layanan Compute Engine Default Eskalasi Hak Istimewa: Akun Layanan yang Tidak Aktif Diberi Peran Sensitif Eskalasi Hak Istimewa: Peran Peniruan Identitas Diberikan Untuk Akun Layanan yang Tidak Aktif Eskalasi Hak Istimewa: Peran Sensitif Diberikan Kepada Grup Hybrid	Tidak ada
Log audit Peristiwa Sistem IAM	Eksekusi: Image Docker Penambangan Kripto Dampak: Perintah Penambangan Kripto	Tidak ada
Log Aktivitas Admin MySQL	Pemindahan yang tidak sah: Pencadangan Pemulihan Cloud SQL ke Organisasi Eksternal	Tidak ada
Log Aktivitas Admin PostgreSQL	Pemindahan yang tidak sah: Pencadangan Pemulihan Cloud SQL ke Organisasi Eksternal	Tidak ada
Log Aktivitas Admin SQL Server	Pemindahan yang tidak sah: Pencadangan Pemulihan Cloud SQL ke Organisasi Eksternal	Tidak ada
Log Audit Kontrol Layanan VPC	Defense Evasion: Modify Kontrol Layanan VPC (Pratinjau)	Tidak ada

Langkah berikutnya

• Pelajari cara menggunakan Event Threat Detection.
• Pelajari cara menyelidiki dan mengembangkan rencana respons untuk ancaman.