Übersicht über Event Threat Detection

Dienststufen für Premium und Enterprise (eingestellt)

Die Security Command Center Enterprise-Dienststufe wird am 21. Mai 2027 eingestellt. Wenn Ihre Organisation die Enterprise-Dienststufe verwendet, wird sie am oder nach dem 21. Mai 2027 automatisch auf die Premium-Dienststufe umgestellt. Wenden Sie sich bei Fragen an Ihren Kundenbetreuer oder einen Google Cloud -Vertriebsspezialisten.

Was ist Event Threat Detection?

Event Threat Detection ist ein integrierter Dienst für die Security Command Center Premium-Stufe, der Ihre Organisation oder Projekte kontinuierlich überwacht und Bedrohungen in Ihren Systemen nahezu in Echtzeit erkennt. Event Threat Detection wird regelmäßig mit neuen Detektoren aktualisiert, um neue Bedrohungen in der Cloud zu erkennen.

Funktionsweise von Event Threat Detection

Event Threat Detection überwacht den Cloud Logging-Stream für Ihre Organisation oder Ihre Projekte. Wenn Sie die Security Command Center Premium-Stufe auf Organisationsebene aktivieren, werden in Event Threat Detection Logs für Ihre Projekte verarbeitet, sobald sie erstellt werden. Außerdem können in Event Threat Detection Google Workspace-Logs überwacht werden. Cloud Logging enthält Logeinträge von API-Aufrufen und anderen Aktionen, die die Konfiguration oder die Metadaten Ihrer Ressourcen erstellen, lesen oder ändern. Google Workspace-Logs erfassen Nutzeranmeldungen in Ihrer Domain und bieten eine Liste der Aktionen, die in der Admin-Konsole von Google Workspace ausgeführt werden.

Logeinträge enthalten Status- und Ereignisinformationen, die Event Threat Detection verwendet, um Bedrohungen schnell zu erkennen. Event Threat Detection wendet Erkennungslogik und proprietäre Methoden zur Bedrohungserkennung an, z. B. die Identifizierung von Kompromittierungsindikatoren (IoC), die Profilerstellung über ein gleitendes Zeitfenster, maschinelles Lernen und die Anomalieerkennung, um Bedrohungen nahezu in Echtzeit zu identifizieren.

Wenn Event Threat Detection eine Bedrohung erkennt, schreibt es ein Ergebnis in Security Command Center. Wenn Sie Security Command Center Premium auf Organisationsebene aktivieren, kann Security Command Center Ergebnisse in ein Cloud Logging-Projekt schreiben. Aus Cloud Logging und Google Workspace-Logging können Sie Ergebnisse mit Pub/Sub in andere Systeme exportieren und mit Cloud Run-Funktionen verarbeiten.

Wenn Sie die Security Command Center Premium-Stufe auf Organisationsebene aktivieren, können Sie zusätzlich Google Security Operations verwenden, um einige Ergebnisse zu untersuchen. Google SecOps ist ein Dienst von Google Cloud , mit dem Sie Bedrohungen untersuchen und verwandte Entitäten in einer einheitlichen Zeitachse durchblättern können. Eine Anleitung zum Senden von Ergebnissen an Google SecOps finden Sie unter Ergebnisse in Google SecOps untersuchen.

Ob Sie Ergebnisse und Logs aufrufen und bearbeiten können, hängt von den IAM-Rollen (Identity and Access Management) ab, die Ihnen zugewiesen wurden. Weitere Informationen zu Rollen im Security Command Center finden Sie unter Zugriffssteuerung.

Anreicherung sensibler Daten

Event Threat Detection ist in Sensitive Data Protection eingebunden, um Ergebnisse zu sensiblen Ressourcen anzureichern. Wenn Sie Sensitive Data Protection-Erkennungsscans aktiviert und so konfiguriert haben, dass Ergebnisse an Security Command Center gesendet werden, kann Event Threat Detection die Sensitivitätsmetadaten Ihrer BigQuery- und Cloud Storage-Ressourcen verwenden, um Ergebnisse anzupassen:

• Kategorieänderungen: Wenn eine Ressource von Sensitive Data Protection als hoch oder mäßig sensibel eingestuft wird, wird die Ergebniskategorie in eine bestimmte Kategorie geändert, die angibt, dass die Ressource sensibel ist. Wenn beispielsweise ein geleakter Dienstkontoschlüssel für den Zugriff auf einen sensiblen Bucket verwendet wird, ändert sich die Ergebniskategorie von Initial Access: Leaked Service Account Key Used in Initial Access: Leaked Service Account Key Affecting Sensitive Data.
• Schweregrad-Upgrades: Wenn der Standardschweregrad des Ergebnisses niedriger als Hoch ist (also Niedrig oder Mittel), wird der Schweregrad um eine Stufe erhöht (z. B. von Mittel auf Hoch).

Eine Liste der Regeln, die die Datenanreicherung sensibler Daten unterstützen, finden Sie unter Standardregeln für Event Threat Detection.

Event Threat Detection-Regeln

Regeln definieren den Typ von Bedrohungen, die Event Threat Detection erkennt, und die Logtypen, die aktiviert werden müssen, damit Detektoren funktionieren. Audit-Logs für Administratoraktivitäten werden immer geschrieben. Sie können sie nicht konfigurieren oder deaktivieren.

Derzeit umfasst Event Threat Detection folgende Standardregeln:

Aktiver Scan Brute-Force Command-and-Control-Aktivitäten Zugriff auf Anmeldedaten Vernichtung von Daten Umgehung von Abwehrmaßnahmen DoS (Denial of Service) Discovery Exfiltration Auswirkungen Beeinträchtigung von Abwehrmaßnahmen Beeinträchtigung der Systemwiederherstellung Eindringen ins Netzwerk oder System Lateral Movement Malware Persistenz Rechteausweitung Ressourcenentwicklung Alle löschen

Anzeigename	API-Name	Logquelltypen	Beschreibung	Anreicherung sensibler Daten
Aktiver Scan: Log4j-Sicherheitslücken für RCE	Nicht verfügbar	Cloud DNS-Logs	Scanner für Log4j-Sicherheitslücken haben DNS-Abfragen für nicht verschleierte Domains initiiert und identifiziert. Diese Sicherheitslücke kann zur Code-Ausführung per Fernzugriff (Remote Code Execution, RCE) führen. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Auswirkung: Google Cloud Backup und DR-Host gelöscht	BACKUP_HOSTS_DELETE_HOST	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten im Backup- und DR-Dienst	Ein Host wurde aus der Backup und DR-Verwaltungskonsole gelöscht. Anwendungen, die mit dem gelöschten Host verknüpft sind, sind möglicherweise nicht geschützt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Auswirkung: Google Cloud Backup und DR – Image ablaufen lassen	BACKUP_EXPIRE_IMAGE	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Ein Nutzer hat das Löschen eines Sicherungs-Images über die Backup und DR-Verwaltungskonsole angefordert. Das Löschen eines Sicherungs-Images verhindert keine zukünftigen Sicherungen. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Auswirkung: Google Cloud Backup und DR, Plan entfernen	BACKUP_REMOVE_PLAN	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Ein Sicherungsplan mit mehreren Richtlinien für eine Anwendung wurde aus Backup und DR gelöscht. Das Löschen eines Sicherungsplans kann zukünftige Sicherungen verhindern. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Auswirkung: Google Cloud Backup und DR lassen alle Images ablaufen	BACKUP_EXPIRE_IMAGES_ALL	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Ein Nutzer hat das Löschen aller Sicherungs-Images für eine geschützte Anwendung über die Backup und DR-Verwaltungskonsole angefordert. Das Löschen von Sicherungs-Images verhindert keine zukünftigen Sicherungen. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Auswirkung: Google Cloud Backup und DR – Vorlage löschen	BACKUP_TEMPLATES_DELETE_TEMPLATE	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Eine vordefinierte Sicherungsvorlage, die zum Einrichten von Sicherungen für mehrere Anwendungen verwendet wird, wurde aus der Backup- und DR-Verwaltungskonsole gelöscht. Die Möglichkeit, in Zukunft Backups einzurichten, ist möglicherweise eingeschränkt. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Auswirkungen: Google Cloud Backup und DR-Richtlinie zum Löschen	BACKUP_TEMPLATES_DELETE_POLICY	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Eine Backup- und DR-Richtlinie, die definiert, wie eine Sicherung erstellt und wo sie gespeichert wird, wurde aus der Backup- und DR-Verwaltungskonsole gelöscht. Zukünftige Sicherungen, für die die Richtlinie verwendet wird, können fehlschlagen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Auswirkung: Google Cloud Backup und DR – Profil löschen	BACKUP_PROFILES_DELETE_PROFILE	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Ein Backup- und DR-Profil, das definiert, welche Speicherpools zum Speichern von Sicherungen verwendet werden sollen, wurde aus der Backup- und DR-Verwaltungskonsole gelöscht. Zukünftige Sicherungen, für die das Profil verwendet wird, können fehlschlagen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Auswirkungen: Google Cloud Backup und DR, Appliance entfernen	BACKUP_APPLIANCES_REMOVE_APPLIANCE	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Eine Sicherungs-Appliance wurde aus der Backup und DR-Verwaltungskonsole gelöscht. Anwendungen, die mit der gelöschten Sicherungs-Appliance verknüpft sind, sind möglicherweise nicht geschützt. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Auswirkung: Google Cloud Backup und DR – Speicherpool löschen	BACKUP_STORAGE_POOLS_DELETE	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Ein Speicherpool, der einen Cloud Storage-Bucket mit Backup und DR verknüpft, wurde aus der Backup und DR-Verwaltungskonsole entfernt. Zukünftige Sicherungen an diesem Speicherziel schlagen fehl. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Auswirkung: Google Cloud Backup und DR – Ablauf von Sicherungen verkürzen	BACKUP_REDUCE_BACKUP_EXPIRATION	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Das Ablaufdatum für eine Sicherung, die durch Backup und DR geschützt ist, wurde über die Backup und DR-Verwaltungskonsole verkürzt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Auswirkung: Google Cloud Backup und DR – Häufigkeit von Sicherungen verringert	BACKUP_REDUCE_BACKUP_FREQUENCY	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Der Backup und DR-Sicherungszeitplan wurde über die Verwaltungskonsole für Backup und DR geändert, um die Sicherungshäufigkeit zu verringern. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Auswirkung: Google Cloud Backup- und DR-Vault gelöscht	BACKUP_DELETE_VAULT	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Ein Backup Vault wurde gelöscht. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Auswirkung: Google Cloud Backup und DR gelöscht	BACKUP_DELETE_VAULT_BACKUP	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Eine in einem Backup Vault gespeicherte Sicherung wurde manuell gelöscht. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Auswirkung: Verknüpfung des Google Cloud Backup und DR-Plans gelöscht	BACKUP_DELETE_BACKUP_PLAN_ASSOCIATION	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Ein Sicherungsplan aus Backup und DR wurde aus einer Arbeitslast entfernt. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Brute-Force-SSH	BRUTE_FORCE_SSH	authlog	Ein Akteur hat sich über Brute-Force-Techniken SSH-Zugriff auf einen Host verschafft. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Cloud IDS: THREAT_IDENTIFIER	CLOUD_IDS_THREAT_ACTIVITY	Cloud IDS-Logs	Von Cloud IDS erkannte Bedrohungsereignisse. Cloud IDS erkennt Layer-7-Angriffe durch die Analyse gespiegelter Pakete und sendet ein Ergebnis der Bedrohungsklasse an Security Command Center, wenn ein Bedrohungsereignis erkannt wird. Die Namen der Ergebniskategorien beginnen mit „Cloud IDS“, gefolgt von der Cloud IDS-Bedrohungskennung. Die Einbindung von Cloud IDS in Event Threat Detection umfasst keine Cloud IDS-Sicherheitslücken. Ergebnisse werden standardmäßig als Niedrig eingestuft. Weitere Informationen zu Cloud IDS-Erkennungen finden Sie unter Cloud IDS-Logging-Informationen.	–
Rechteausweitung: Externes Mitglied zur privilegierten Gruppe hinzugefügt	EXTERNAL_MEMBER_ADDED_TO_PRIVILEGED_GROUP	Google Workspace-Logs: Audit-Log zu Anmeldeaktivitäten Berechtigungen: DATA_READ	Ein externes Mitglied wurde einer privilegierten Google-Gruppe hinzugefügt (einer Gruppe, der vertrauliche Rollen oder Berechtigungen gewährt wurden). Ein Ergebnis wird nur generiert, wenn die Gruppe nicht bereits andere externe Mitglieder derselben Organisation wie das neu hinzugefügte Mitglied enthält. Weitere Informationen finden Sie unter Unsichere Änderungen an Google-Gruppen. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden je nach Sensitivität der mit der Gruppenänderung verbundenen Rollen als Hoch oder Mittel eingestuft. Weitere Informationen finden Sie unter Vertrauliche IAM-Rollen und -Berechtigungen.	–
Rechteausweitung: Privilegierte Gruppe öffentlich zugänglich gemacht	PRIVILEGED_GROUP_OPENED_TO_PUBLIC	Google Workspace: Admin-Audit Berechtigungen: DATA_READ	Eine privilegierte Google-Gruppe (eine Gruppe mit vertraulichen Rollen oder Berechtigungen) wurde so geändert, dass sie öffentlich zugänglich ist. Weitere Informationen finden Sie unter Unsichere Änderungen an Google-Gruppen. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden je nach Sensitivität der mit der Gruppenänderung verknüpften Rollen als Hoch oder Mittel eingestuft. Weitere Informationen finden Sie unter Vertrauliche IAM-Rollen und -Berechtigungen.	–
Rechteausweitung: Sensible Rolle der Hybridgruppe gewährt	SENSITIVE_ROLE_TO_GROUP_WITH_EXTERNAL_MEMBER	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Einer Google-Gruppe mit externen Mitgliedern wurden sensible Rollen zugewiesen. Weitere Informationen finden Sie unter Unsichere Änderungen an Google-Gruppen. Ergebnisse werden je nach Sensibilität der mit der Gruppenänderung verbundenen Rollen als Hoch oder Mittel eingestuft. Weitere Informationen finden Sie unter Vertrauliche IAM-Rollen und -Berechtigungen.	–
Defense Evasion: Break-Glass-Arbeitslastbereitstellung erstellt (Vorschau)	BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_CREATE	Cloud-Audit-Logs: Administratoraktivitätslogs	Arbeitslasten wurden mithilfe des Break-Glass-Flags bereitgestellt, um Einstellungen für die Binärautorisierung zu überschreiben. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Defense Evasion: Break-Glass-Arbeitslastbereitstellung aktualisiert (Vorschau)	BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_UPDATE	Cloud-Audit-Logs: Administratoraktivitätslogs	Arbeitslasten wurden mithilfe des Break-Glass-Flags aktualisiert, um Einstellungen für die Binärautorisierung zu überschreiben. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Discovery: Hinweise auf Scannen von Ports durch KI-Agenten (Vorschau)	AGENT_ENGINE_PORT_SCANNING_EVIDENCE	Agent Engine-Logs: Agent Engine-Logs	Ein KI-Agent hat horizontales oder vertikales Port-Scanning durchgeführt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Erkennung: Nicht autorisierter API-Aufruf des Dienstkontos durch KI-Agenten (Vorschau)	AGENT_ENGINE_UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten	Ein Dienstkonto hat über einen KI-Agenten einen nicht autorisierten API-Aufruf an ein externes Projekt gesendet. Dieses Verhalten kann darauf hindeuten, dass ein nicht autorisierter Nutzer versucht, Details zu Ressourcen zu erhalten, Dienste zu aktivieren oder zu deaktivieren oder andere nicht autorisierte Aktionen über einen KI-Agenten auszuführen. Ergebnisse werden standardmäßig als Niedrig klassifiziert.	Kategorie: Discovery: AI Agent Unauthorized Service Account API Call Affecting Sensitive Data Schweregrad: Niedrig bis mittel
Umgehung von Abwehrmaßnahmen: Filterung der IP-Adressen von GCS-Buckets geändert	GCS_BUCKET_IP_FILTERING_MODIFIED	Cloud-Audit-Logs: Administratoraktivitätslogs	Ein Nutzer oder Dienstkonto hat die IP-Filterkonfiguration für einen Cloud Storage-Bucket geändert. Ergebnisse werden standardmäßig als Niedrig klassifiziert.	–
Defense Evasion: VPC Service Control modifizieren	DEFENSE_EVASION_MODIFY_VPC_SERVICE_CONTROL	Cloud-Audit-Logs Audit-Logs für VPC Service Controls	Ein vorhandener VPC Service Controls-Perimeter wurde geändert, was zu einer Reduzierung des Schutzes durch diesen Perimeter führen würde. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Umgehung von Abwehrmaßnahmen: HTTP-Richtlinienblockierung des Projekts deaktiviert	PROJECT_HTTP_POLICY_BLOCK_DISABLED	Cloud-Audit-Logs: Administratoraktivitätslogs	Ein Nutzer- oder Dienstkonto hat erfolgreich eine Aktion zum Deaktivieren von storage.secureHttpTransport für ein Projekt ausgelöst. Dies gilt auch, wenn die Aktion auf Organisations- oder Ordnerebene ausgeführt wird, da auf dieser Ebene angewendete Richtlinien standardmäßig von untergeordneten Projekten übernommen werden. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Erkennung: Selbstprüfung des Dienstkontos des KI-Agenten (Vorschau)	AGENT_ENGINE_IAM_ANOMALOUS_BEHAVIOR_SERVICE_ACCOUNT_GETS_OWN_IAM_POLICY	Cloud-Audit-Logs: IAM-Datenzugriffs-Audit-Logs Berechtigungen: DATA_READ	Eine mit einem KI-Agenten verknüpfte Identität wurde verwendet, um die Rollen und Berechtigungen zu untersuchen, die mit diesem Dienstkonto verknüpft sind. Ergebnisse werden als Niedrig eingestuft, wenn die Anfrage autorisiert wurde, oder als Hoch, wenn die Anfrage nicht autorisiert wurde.	–
Erkennung: Abrufen der Prüfung eines vertraulichen Kubernetes-Objekts	GKE_CONTROL_PLANE_CAN_GET_SENSITIVE_OBJECT	Cloud-Audit-Logs: GKE-Datenzugriffslogs	Ein potenziell böswilliger Akteur hat mithilfe des Befehls kubectl auth can-i get ermittelt, welche vertraulichen Objekte in GKE abgefragt werden können. Die Regel erkennt, ob der Nutzer nach API-Zugriff auf die folgenden Objekte gesucht hat: * (alle) cluster-admin ClusterRole Secret Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Erkennung: Dienstkonto-Prüfung	SERVICE_ACCOUNT_SELF_INVESTIGATION	Cloud-Audit-Logs: IAM-Datenzugriffs-Audit-Logs Berechtigungen: DATA_READ	Die Anmeldedaten eines IAM-Dienstkontos wurden verwendet, um die Rollen und Berechtigungen zu untersuchen, die mit diesem Dienstkonto verknüpft sind. Vertrauliche Rollen Ergebnisse werden je nach Vertraulichkeit der zugewiesenen Rollen als Hoch oder Mittel eingestuft. Weitere Informationen finden Sie unter Vertrauliche IAM-Rollen und -Berechtigungen.	–
Zugriff auf Anmeldedaten: KI-Agent: anomaler Zugriff auf Metadatendienst (Vorabversion)	AGENT_ENGINE_ANOMALOUS_ACCESS_TO_METADATA_SERVICE	Agent Engine-Logs: Agent Engine-Logs	Ein KI-Agent hat ein Dienstkontotoken von einem Metadatenserver abgerufen. Ergebnisse werden standardmäßig als Niedrig klassifiziert.	–
E-Mail: Zugriff vom Anonymisierungs-Proxy	ANOMALOUS_ACCESS	Cloud-Audit-Logs: Administratoraktivitätslogs	Google Cloud -Dienständerungen stammen von einer IP-Adresse, die mit dem Tor-Netzwerk verknüpft ist. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Exfiltration: BigQuery-Daten-Exfiltration	DATA_EXFILTRATION_BIG_QUERY	Cloud-Audit-Logs: BigQueryAuditMetadata-Datenzugriffslogs Berechtigungen: DATA_READ	Erkennt folgende Szenarien: Ressourcen, die Eigentum der geschützten Organisation sind, wurden außerhalb der Organisation gespeichert, einschließlich Kopier- oder Übertragungsvorgängen. Dieses Szenario wird durch eine Unterregel von exfil_to_external_table und den Schweregrad Hoch gekennzeichnet. Es wurde versucht, auf BigQuery-Ressourcen zuzugreifen, die durch VPC Service Controls geschützt sind. Dieses Szenario wird durch eine Unterregel von vpc_perimeter_violation und den Schweregrad Niedrig gekennzeichnet.	Kategorie: Exfiltration: Sensitive BigQuery Data Exfiltration Schweregrad: Niedrig bis mittel
Exfiltration: BigQuery-Datenextraktion	DATA_EXFILTRATION_BIG_QUERY_EXTRACTION	Cloud-Audit-Logs: BigQueryAuditMetadata-Datenzugriffslogs Berechtigungen: DATA_READ	Erkennt folgende Szenarien: Eine BigQuery-Ressource, die Eigentum der Organisation ist, wurde durch Extraktionsvorgänge in einem Cloud Storage-Bucket außerhalb der Organisation gespeichert. Eine BigQuery-Ressource, die Eigentum der geschützten Organisation ist, wurde durch Extraktionsvorgänge in einem öffentlich zugänglichen Cloud Storage-Bucket gespeichert, der Eigentum dieser Organisation ist. Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Ergebnisse werden standardmäßig als Niedrig eingestuft.	Kategorie: Exfiltration: Sensitive BigQuery Data Extraction Schweregrad: Niedrig bis mittel
Exfiltration: KI-Agent: BigQuery-VPC-Perimeterverstoß initiiert (Vorschau)	AGENT_ENGINE_BIG_QUERY_EXFIL_VPC_PERIMETER_VIOLATION	Cloud-Audit-Logs: BigQueryAuditMetadata-Datenzugriffslogs Berechtigungen: DATA_READ	Erkennt den Versuch eines KI-Agenten, auf BigQuery-Ressourcen zuzugreifen, die durch VPC Service Controls geschützt sind. Ergebnisse werden standardmäßig als Niedrig klassifiziert.	–
Exfiltration: KI-Agent: BigQuery-Daten-Exfiltration in externe Tabelle initiiert (Vorschau)	AGENT_ENGINE_BIG_QUERY_EXFIL_TO_EXTERNAL_TABLE	Cloud-Audit-Logs: BigQueryAuditMetadata-Datenzugriffslogs Berechtigungen: DATA_READ	Erkennt, wenn Ressourcen, die der geschützten Organisation gehören, von einem KI-Agenten außerhalb der Organisation gespeichert wurden, einschließlich Kopier- oder Übertragungsvorgängen. Ergebnisse werden standardmäßig als Hoch eingestuft.	Kategorie: Exfiltration: AI Agent Initiated Sensitive BigQuery Data Exfiltration to External Table Schweregrad: Keine Änderung (standardmäßig „Hoch“)
Exfiltration: KI-Agent: Cloud SQL-Exfiltration in öffentlichen Bucket initiiert (Vorabversion)	AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS	Cloud-Audit-Logs: MySQL-Datenzugriffslogs PostgreSQL-Datenzugriffslogs SQL Server-Datenzugriffslogs	Erkennt, wenn Live-Instanzdaten von einem KI-Agenten in einen Cloud Storage-Bucket exportiert wurden, der der Organisation gehört und öffentlich zugänglich ist. Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Exfiltration: KI-Agent: Cloud SQL-Exfiltration in externen Bucket initiiert (Vorabversion)	AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS	Cloud-Audit-Logs: MySQL-Datenzugriffslogs PostgreSQL-Datenzugriffslogs SQL Server-Datenzugriffslogs	Erkennt, wenn Live-Instanzdaten von einem KI-Agenten in einen Cloud Storage-Bucket außerhalb der Organisation exportiert wurden. Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Exfiltration: KI-Agent: BigQuery-Datenextraktion initiiert (Vorabversion)	AGENT_ENGINE_BIG_QUERY_EXFIL_TO_CLOUD_STORAGE	Cloud-Audit-Logs: BigQueryAuditMetadata-Datenzugriffslogs Berechtigungen: DATA_READ	Erkennt die folgenden Szenarien einer BigQuery-Datenextraktion, die von einem KI-Agenten initiiert wurde: Eine BigQuery-Ressource, die Eigentum der geschützten Organisation ist, wurde durch Extraktionsvorgänge in einem Cloud Storage-Bucket außerhalb der Organisation gespeichert. Eine BigQuery-Ressource, die Eigentum der geschützten Organisation ist, wurde durch Extraktionsvorgänge in einem öffentlich zugänglichen Cloud Storage-Bucket gespeichert, der Eigentum dieser Organisation ist. Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Ergebnisse werden standardmäßig als Niedrig eingestuft.	Kategorie: Exfiltration: AI Agent Initiated Sensitive BigQuery Data Extraction Schweregrad: Niedrig bis mittel
Exfiltration: BigQuery-Daten in Google Drive	DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE	Cloud-Audit-Logs: BigQueryAuditMetadata-Datenzugriffslogs Berechtigungen: DATA_READ	Eine BigQuery-Ressource, die der geschützten Organisation gehört, wurde durch Extraktionsvorgänge in einem Google Drive-Ordner gespeichert. Ergebnisse werden standardmäßig als Niedrig eingestuft.	Kategorie: Exfiltration: Sensitive BigQuery Data to Google Drive Schweregrad: Niedrig bis mittel
Exfiltration: In öffentliche BigQuery-Ressource verschieben	DATA_EXFILTRATION_BIG_QUERY_TO_PUBLIC_RESOURCE	Cloud-Audit-Logs: BigQueryAuditMetadata-Datenzugriffslogs Berechtigungen: DATA_READ	Eine BigQuery-Ressource wurde in einer öffentlichen Ressource gespeichert, die Ihrer Organisation gehört. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Exfiltration: Cloud SQL-Daten-Exfiltration	CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS	Cloud-Audit-Logs: MySQL-Datenzugriffslogs PostgreSQL-Datenzugriffslogs SQL Server-Datenzugriffslogs	Erkennt folgende Szenarien: Live-Instanzdaten wurden in einen Cloud Storage-Bucket außerhalb der Organisation exportiert. Live-Instanzdaten wurden in einen Cloud Storage-Bucket exportiert, der der Organisation gehört und öffentlich zugänglich ist. Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Exfiltration: Wiederherstellung von Cloud SQL-Sicherung in externer Organisation	CLOUDSQL_EXFIL_RESTORE_BACKUP_TO_EXTERNAL_INSTANCE	Cloud-Audit-Logs: MySQL-Administratoraktivitätslogs PostgreSQL-Administratoraktivitätslogs SQL Server-Administratoraktivitätslogs	Die Sicherung einer Cloud SQL-Instanz wurde auf einer Instanz außerhalb der Organisation wiederhergestellt. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Exfiltration: Cloud SQL Überprivilegierte Berechtigung	CLOUDSQL_EXFIL_USER_GRANTED_ALL_PERMISSIONS	Cloud-Audit-Logs: PostgreSQL-Datenzugriffslogs Hinweis: Sie müssen die Erweiterung pgAudit aktivieren, um diese Regel zu verwenden.	Einem Cloud SQL for PostgreSQL-Nutzer oder einer Cloud SQL-Rolle wurden alle Berechtigungen für eine Datenbank oder für alle Tabellen, Verfahren oder Funktionen in einem Schema gewährt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Anfänglicher Zugriff: Datenbank-Superuser schreibt in Nutzertabellen	CLOUDSQL_SUPERUSER_WRITES_TO_USER_TABLES	Cloud-Audit-Logs: Cloud SQL for PostgreSQL-Datenzugriffslogs Cloud SQL for MySQL-Datenzugriffslogs Hinweis: Sie müssen die pgAudit-Erweiterung für PostgreSQL oder das Datenbank-Auditing für MySQL aktivieren, um diese Regel zu verwenden.	Ein Cloud SQL-Superuser (postgres für PostgreSQL-Server oder root für MySQL-Nutzer) hat in Nicht-Systemtabellen geschrieben. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: AlloyDB Überprivilegierte Berechtigung	ALLOYDB_USER_GRANTED_ALL_PERMISSIONS	Cloud-Audit-Logs: AlloyDB for PostgreSQL-Datenzugriffslogs Hinweis: Sie müssen die Erweiterung pgAudit aktivieren, um diese Regel zu verwenden.	Einem AlloyDB for PostgreSQL-Nutzer oder einer AlloyDB for PostgreSQL-Rolle wurden alle Berechtigungen für eine Datenbank oder für alle Tabellen, Verfahren oder Funktionen in einem Schema gewährt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: AlloyDB-Datenbank-Superuser schreibt in Nutzertabellen	ALLOYDB_SUPERUSER_WRITES_TO_USER_TABLES	Cloud-Audit-Logs: AlloyDB for PostgreSQL-Datenzugriffslogs Hinweis: Sie müssen die Erweiterung pgAudit aktivieren, um diese Regel zu verwenden.	Ein AlloyDB for PostgreSQL-Superuser (postgres) hat in Nicht-Systemtabellen geschrieben. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Anfänglicher Zugriff: Häufung von „Berechtigung verweigert“-Aktionen für die Identität des KI-Agenten (Vorabversion)	AGENT_ENGINE_EXCESSIVE_FAILED_ATTEMPT	Cloud-Audit-Logs: Administratoraktivitätslogs	Eine mit einem KI-Agenten verknüpfte Identität hat wiederholt Fehler vom Typ Berechtigung verweigert ausgelöst, indem sie versucht hat, Änderungen über mehrere Methoden und Dienste hinweg vorzunehmen. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Anfänglicher Zugriff: Aktion über inaktives Dienstkonto	DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION	Cloud-Audit-Logs: Administratoraktivitätslogs	Ein inaktives nutzerverwaltetes Dienstkonto hat eine Aktion ausgelöst. In diesem Kontext gilt ein Dienstkonto als inaktiv, wenn es seit mehr als 180 Tagen inaktiv ist. Ergebnisse werden standardmäßig als Hoch eingestuft.	Kategorie: Initial Access: Dormant Service Account Action taken Affecting Sensitive Data Schweregrad: Keine Änderung (standardmäßig „Hoch“)
Rechteausweitung: Inaktivem Dienstkonto wurde vertrauliche Rolle gewährt	DORMANT_SERVICE_ACCOUNT_ADDED_IN_IAM_ROLE	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Einem inaktiven vom Nutzer verwalteten Dienstkonto wurden eine oder mehrere vertrauliche IAM-Rollen zugewiesen. In diesem Kontext gilt ein Dienstkonto als inaktiv, wenn es seit mehr als 180 Tagen inaktiv ist. Vertrauliche Rollen Ergebnisse werden je nach Vertraulichkeit der zugewiesenen Rollen als Hoch oder Mittel eingestuft. Ergebnisse werden standardmäßig als mittel eingestuft. Weitere Informationen finden Sie unter Vertrauliche IAM-Rollen und -Berechtigungen.	–
Rechteausweitung: Rolle „Impersonation“ für inaktives Dienstkonto gewährt	DORMANT_SERVICE_ACCOUNT_IMPERSONATION_ROLE_GRANTED	Cloud-Audit-Logs: IAM-Administratoraktivitäts-Audit-Logs	Einem Hauptkonto wurden Berechtigungen zur Identitätsübernahme eines inaktiven, nutzerverwalteten Dienstkontos gewährt. In diesem Kontext gilt ein Dienstkonto als inaktiv, wenn es seit mehr als 180 Tagen inaktiv ist. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Erstzugriff: Inaktiver Dienstkontoschlüssel erstellt	DORMANT_SERVICE_ACCOUNT_KEY_CREATED	Cloud-Audit-Logs: Administratoraktivitätslogs	Für ein inaktives nutzerverwaltetes Dienstkonto wurde ein Schlüssel erstellt. In diesem Kontext gilt ein Dienstkonto als inaktiv, wenn es seit mehr als 180 Tagen inaktiv ist. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Erstzugriff: Gehackter Dienstkontoschlüssel verwendet	LEAKED_SA_KEY_USED	Cloud-Audit-Logs: Administratoraktivitätslogs Datenzugriffslogs	Zur Authentifizierung der Aktion wurde ein gehackter Dienstkontoschlüssel verwendet. In diesem Kontext ist ein gehackter Dienstkontoschlüssel ein Schlüssel, der im öffentlichen Internet gepostet wurde. Ergebnisse werden standardmäßig als Hoch eingestuft.	Kategorie: Initial Access: Leaked Service Account Key Affecting Sensitive Data Schweregrad: Keine Änderung (standardmäßig „Hoch“)
Erstzugriff: Abgelehnte Aktionen aufgrund übermäßiger Berechtigungen	EXCESSIVE_FAILED_ATTEMPT	Cloud-Audit-Logs: Administratoraktivitätslogs	Ein Hauptkonto hat wiederholt Fehler vom Typ Berechtigung verweigert ausgelöst, indem es versucht hat, Änderungen über mehrere Methoden und Dienste hinweg vorzunehmen. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Persistenz: Starke Authentifizierung deaktiviert	ENFORCE_STRONG_AUTHENTICATION	Google Workspace: Admin-Audit	Die Bestätigung in zwei Schritten wurde für die Organisation deaktiviert. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Persistenz: Bestätigung in zwei Schritten deaktiviert	2SV_DISABLE	Google Workspace-Logs: Audit-Log zu Anmeldeaktivitäten Berechtigungen: DATA_READ	Ein Nutzer hat die Option "Bestätigung in zwei Schritten" deaktiviert. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Erstzugriff: Konto deaktiviert – Gehackt	ACCOUNT_DISABLED_HIJACKED	Google Workspace-Logs: Audit-Log zu Anmeldeaktivitäten Berechtigungen: DATA_READ	Das Konto eines Nutzers wurde aufgrund verdächtiger Aktivitäten gesperrt. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Erstzugriff: Deaktiviert – Passwortleck	ACCOUNT_DISABLED_PASSWORD_LEAK	Google Workspace-Logs: Audit-Log zu Anmeldeaktivitäten Berechtigungen: DATA_READ	Das Konto eines Nutzers wurde deaktiviert, weil ein Passwortleck erkannt wurde. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Erstzugriff: Von staatlichen Stellen unterstützter Angriff	GOV_ATTACK_WARNING	Google Workspace-Logs: Audit-Log zu Anmeldeaktivitäten Berechtigungen: DATA_READ	Angreifer, die von staatlichen Stellen unterstützt werden, haben möglicherweise versucht, ein Nutzerkonto oder einen Computer zu manipulieren. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Anfangszugriff: Log4j-Kompromittierungsversuch	Nicht verfügbar	Cloud Load Balancing-Logs: Cloud-HTTP-Load-Balancer Hinweis: Sie müssen das Logging für externe Application Load Balancer aktivieren, um diese Regel zu verwenden.	Es wurden JNDI-Lookups (Java Naming and Directory Interface) in Headern oder URL-Parametern erkannt. Diese Lookups können auf Versuche der Ausnutzung von Log4Shell-Exploits hinweisen. Diese Ergebnisse haben einen niedrigen Schweregrad, da sie nur auf eine Erkennung oder einen Ausnutzungsversuch hinweisen, nicht auf eine Sicherheitslücke oder eine Beeinträchtigung. Diese Regel ist immer aktiviert. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Erstzugriff: Verdächtige Anmeldung blockiert	SUSPICIOUS_LOGIN	Google Workspace-Logs: Audit-Log zu Anmeldeaktivitäten Berechtigungen: DATA_READ	Es wurde eine verdächtige Anmeldung im Konto eines Nutzers erkannt und blockiert. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Log4j-Malware: Schädliche Domain	LOG4J_BAD_DOMAIN	Cloud DNS-Logs	Log4j-Exploit-Traffic wurde anhand einer Verbindung mit oder einer Suche nach einer bekannten Domain erkannt, die bei Log4j-Angriffen verwendet wird. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Log4j-Malware: Ungültige IP-Adresse	LOG4J_BAD_IP	VPC-Flusslogs Firewallregel-Logs Cloud NAT-Logs	Log4j-Exploit-Traffic wurde anhand einer Verbindung zu einer bekannten IP-Adresse erkannt, die bei Log4j-Angriffen verwendet wird. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Malware: Schädliche Domain	MALWARE_BAD_DOMAIN	Cloud DNS-Logs	Malware wurde anhand einer Verbindung mit oder einer Suche nach einer bekannten schädlichen Domain erkannt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Malware: Schädliche IP-Adresse	MALWARE_BAD_IP	VPC-Flusslogs Firewallregel-Logs Cloud NAT-Logs	Malware wurde anhand einer Verbindung zu einer bekannten schädlichen IP-Adresse erkannt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Malware: Schädliche Kryptomining-Domain	CRYPTOMINING_POOL_DOMAIN	Cloud DNS-Logs	Kryptomining wurde anhand einer Verbindung mit oder einer Suche nach einer bekannten Mining-Domain erkannt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Malware: Schädliche Kryptomining-IP-Adresse	CRYPTOMINING_POOL_IP	VPC-Flusslogs Firewallregel-Logs Cloud NAT-Logs	Kryptomining wurde anhand einer Verbindung zu einer bekannten Mining-IP-Adresse erkannt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Persistenz: GCE-Administrator hat SSH-Schlüssel hinzugefügt	GCE_ADMIN_ADD_SSH_KEY	Cloud-Audit-Logs: Compute Engine-Audit-Logs zu Administratoraktivitäten	Der SSH-Schlüsselwert der Compute Engine-Instanzmetadaten wurde auf einer vorhandenen Instanz (älter als 1 Woche) geändert. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Persistenz: GCE-Administrator hat Startskript hinzugefügt	GCE_ADMIN_ADD_STARTUP_SCRIPT	Cloud-Audit-Logs: Compute Engine-Audit-Logs zu Administratoraktivitäten	Der Startskriptwert der Compute Engine-Instanzmetadaten wurde für eine vorhandene Instanz (älter als 1 Woche) geändert. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Persistenz: IAM Anomalous Grant	IAM_ANOMALOUS_GRANT	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Dieses Ergebnis enthält Unterregeln, die genauere Informationen zu jeder Instanz dieses Ergebnisses liefern. In der folgenden Liste sind alle möglichen Unterregeln aufgeführt: external_service_account_added_to_policy, external_member_added_to_policy: IAM-Nutzern und -Dienstkonten, die nicht zu Ihrer Organisation gehören, wurden Berechtigungen gewährt. Wenn Security Command Center nur auf Projektebene aktiviert ist, wurden Berechtigungen für Ihr Projekt gewährt. Hinweis: Wenn Security Command Center auf Organisationsebene auf einer beliebigen Stufe aktiviert ist, verwendet dieser Detektor die vorhandenen IAM-Richtlinien einer Organisation als Kontext. Wenn Security Command Center nur auf Projektebene aktiviert ist, verwendet der Detektor nur die IAM-Richtlinien des Projekts als Kontext. Wenn ein externes Mitglied eine vertrauliche IAM-Gewährung erhält und weniger als drei vorhandene IAM-Richtlinien ihr ähneln, generiert dieser Detektor ein Ergebnis. Vertrauliche Rollen Ergebnisse werden je nach Vertraulichkeit der zugewiesenen Rollen als Hoch oder Mittel eingestuft. Ergebnisse werden standardmäßig als Hoch eingestuft. Weitere Informationen finden Sie unter Vertrauliche IAM-Rollen und -Berechtigungen. external_member_invited_to_policy: Ein externes Mitglied wurde über die InsertProjectOwnershipInvite API als Inhaber des Projekts eingeladen. custom_role_given_sensitive_permissions: Die Berechtigung setIAMPolicy wurde einer benutzerdefinierten Rolle hinzugefügt. service_account_granted_sensitive_role_to_member: Mitgliedern wurden über ein Dienstkonto privilegierte Rollen zugewiesen. Diese Unterregel wird durch eine Teilmenge sensibler Rollen ausgelöst, die nur einfache IAM-Rollen und bestimmte Datenspeicherrollen enthält. Weitere Informationen finden Sie unter Vertrauliche IAM-Rollen und -Berechtigungen. policy_modified_by_default_compute_service_account: Ein Compute Engine-Standarddienstkonto wurde verwendet, um die IAM-Einstellungen des Projekts zu ändern.	–
Persistenz: Sensible KI-Berechtigung zu benutzerdefinierter Rolle hinzugefügt (Vorschau)	SENSITIVE_AI_PERMISSION_ADDED_TO_CUSTOM_ROLE	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Eine sensible KI-Berechtigung wurde einer benutzerdefinierten IAM-Rolle hinzugefügt. Weitere Informationen finden Sie unter Vertrauliche IAM-Rollen und -Berechtigungen für KI. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Persistenz: Vom KI-Agenten gewährte sensible Rolle (Vorabversion)	SENSITIVE_ROLE_GRANTED_BY_AI_AGENT	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Ein KI-Agent hat eine sensible IAM-Rolle gewährt. Ergebnisse werden für Rollen mit mittlerer Sensitivität als Mittel und für Rollen mit hoher Sensitivität als Hoch eingestuft. Weitere Informationen finden Sie unter Vertrauliche IAM-Rollen und -Berechtigungen für KI.	–
Persistenz: Sensible Rolle für externen KI-Agenten gewährt (Vorabversion)	EXTERNAL_AI_AGENT_GRANTED_SENSITIVE_ROLE	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Einem KI-Agenten einer externen Organisation wurde eine sensible IAM-Rolle zugewiesen. Ergebnisse werden für Rollen mit mittlerer Sensitivität als Mittel oder für Rollen mit hoher Sensitivität als Hoch eingestuft. Weitere Informationen finden Sie unter Vertrauliche IAM-Rollen und -Berechtigungen für KI.	–
Persistenz: Nicht verwaltetem Konto wurde eine sensible Rolle gewährt (Vorabversion)	UNMANAGED_ACCOUNT_ADDED_IN_IAM_ROLE	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Einem nicht verwalteten Konto wurde eine sensible Rolle zugewiesen. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Persistenz: Neue API-Methode	ANOMALOUS_BEHAVIOR_NEW_API_METHOD	Cloud-Audit-Logs: Administratoraktivitätslogs	IAM-Dienstkonten haben anomal auf Google Cloud -Dienste zugegriffen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	Kategorie: Persistence: New API Method Affecting Sensitive Data Schweregrad: Niedrig bis mittel
Persistenz: Neue Region	IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION	Cloud-Audit-Logs: Administratoraktivitätslogs	IAM-Nutzer und -Dienstkonten, auf die von ungewöhnlichen Standorten aus zugegriffen wurde, basierend auf der Standortbestimmung der anfragenden IP-Adressen. Google Cloud Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar und wird standardmäßig als Niedrig eingestuft.	–
Persistenz: Neuer User-Agent	IAM_ANOMALOUS_BEHAVIOR_USER_AGENT	Cloud-Audit-Logs: Administratoraktivitätslogs	IAM-Dienstkonten, auf die über anomale oder verdächtige User-Agents zugegriffen wurde. Google Cloud Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Persistenz: Umschalter für SSO-Aktivierung	TOGGLE_SSO_ENABLED	Google Workspace: Admin-Audit	Die Einstellung "SSO (Einmalanmeldung) aktivieren" für das Administratorkonto wurde deaktiviert. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Persistenz: SSO-Einstellungen geändert	CHANGE_SSO_SETTINGS	Google Workspace: Admin-Audit	Die SSO-Einstellungen für das Administratorkonto wurden geändert. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Rechteausweitung: Anomale Dienstkonto-Identitätsübernahme für Administratoraktivitäten	ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY	Cloud-Audit-Logs: Administratoraktivitätslogs	Ein potenziell anormales Dienstkonto mit Identitätsübernahme wurde für eine administrative Aktivität verwendet. Ergebnisse werden standardmäßig als mittel eingestuft.	Kategorie: Privilege Escalation: Anomalous Impersonation of Service Account for Admin Activity Affecting Sensitive Data Schweregrad: Mittel bis hoch
Rechteausweitung: Anomale mehrstufige Dienstkontodelegierung für Administratoraktivitäten	ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY	Cloud-Audit-Logs: Administratoraktivitätslogs	Für eine Administratoraktivität wurde eine anomale mehrstufige delegierte Anfrage gefunden. Ergebnisse werden standardmäßig als mittel eingestuft.	Kategorie: Privilege Escalation: Anomalous Multistep Service Account Delegation for Admin Activity Affecting Sensitive Data Schweregrad: Mittel bis hoch
Rechteausweitung: Anomale mehrstufige Dienstkontodelegierung für Datenzugriff	ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS	Cloud-Audit-Logs: Datenzugriffslogs	Für eine Datenzugriffsaktivität wurde eine anomale mehrstufige delegierte Anfrage gefunden. Ergebnisse werden standardmäßig als mittel eingestuft.	Kategorie: Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Affecting Sensitive Data Schweregrad: Mittel bis hoch
Rechteausweitung: Anomale Identitätsübernahme des Dienstkontos bei Administratoraktivität	ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY	Cloud-Audit-Logs: Administratoraktivitätslogs	Ein potenziell anomaler Aufrufer oder Identitätsübernehmer in einer Delegierungskette wurde für eine administrative Aktivität verwendet. Ergebnisse werden standardmäßig als mittel eingestuft.	Kategorie: Privilege Escalation: Anomalous Service Account Impersonator for Admin Activity Affecting Sensitive Data Schweregrad: Mittel bis hoch
Rechteausweitung: Anomale Dienstkonto-Identitätsübernahme für Datenzugriff	ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS	Cloud-Audit-Logs: Datenzugriffslogs	Ein potenziell anomaler Aufrufer oder Identitätsübernehmer in einer Delegierungskette wurde für eine Datenzugriffsaktivität verwendet. Ergebnisse werden standardmäßig als mittel eingestuft.	Kategorie: Privilege Escalation: Anomalous Service Account Impersonator for Data Access Affecting Sensitive Data Schweregrad: Mittel bis hoch
Rechteausweitung: Änderungen an vertraulichen Kubernetes-RBAC-Objekten	GKE_CONTROL_PLANE_EDIT_SENSITIVE_RBAC_OBJECT	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Zur Ausweitung der Rechte hat ein potenziell böswilliger Akteur versucht, ein ClusterRole-, RoleBinding- oder ClusterRoleBinding-Objekt der rollenbasierten Zugriffssteuerung (RBAC) der vertraulichen Rolle cluster-admin zu ändern, indem er eine PUT- oder PATCH-Anfrage stellte. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: Erstellen einer Kubernetes-CSR für Masterzertifikat	GKE_CONTROL_PLANE_CSR_FOR_MASTER_CERT	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Ein potenziell böswilliger Akteur hat eine Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) für das Kubernetes-Masterzertifikat erstellt, die ihm die Zugriffsrechte der Rolle cluster-admin gewährt. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Rechteausweitung: Erstellen vertraulicher Kubernetes-Bindungen	GKE_CONTROL_PLANE_CREATE_SENSITIVE_BINDING	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Zur Ausweitung der Rechte hat ein potenziell böswilliger Akteur versucht, ein neues RoleBinding- oder ClusterRoleBinding-Objekt für die Rolle cluster-admin zu erstellen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: Abrufen einer Kubernetes-CSR mit manipulierten Bootstrap-Anmeldedaten	GKE_CONTROL_PLANE_GET_CSR_WITH_COMPROMISED_BOOTSTRAP_CREDENTIALS	Cloud-Audit-Logs: GKE-Datenzugriffslogs	Ein potenziell böswilliger Akteur hat mit dem Befehl kubectl die Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) abgefragt und dazu manipulierte Bootstrap-Anmeldedaten verwendet. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Rechteausweitung: Start eines privilegierten Kubernetes-Containers	GKE_CONTROL_PLANE_LAUNCH_PRIVILEGED_CONTAINER	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Ein potenziell böswilliger Akteur hat einen Pod erstellt, der privilegierte Container oder Container mit der Fähigkeit zur Rechteausweitung enthält. Bei einem privilegierten Container ist das Feld privileged auf true gesetzt. Bei einem Container mit Funktionen zur Rechteausweitung ist das Feld allowPrivilegeEscalation auf true gesetzt. Weitere Informationen finden Sie unter SecurityContext v1 Core in der API-Referenz der Kubernetes-Dokumentation. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Persistenz: Dienstkontoschlüssel erstellt	SERVICE_ACCOUNT_KEY_CREATION	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Ein Dienstkontoschlüssel wurde erstellt. Dienstkontoschlüssel sind langlebige Anmeldedaten, die das Risiko eines unbefugten Zugriffs auf Ressourcen von Google Clouderhöhen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: Globales Shutdown-Script hinzugefügt	GLOBAL_SHUTDOWN_SCRIPT_ADDED	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Einem Projekt wurde ein globales Shutdownscript hinzugefügt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Persistenz: Globales Startscript hinzugefügt	GLOBAL_STARTUP_SCRIPT_ADDED	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Einem Projekt wurde ein globales Startscript hinzugefügt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Umgehung von Abwehrmaßnahmen: TokenCreatorRole auf Organisationsebene hinzugefügt	ORG_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Die IAM-Rolle „Ersteller von Dienstkonto-Tokens“ wurde auf Organisationsebene zugewiesen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Umgehung von Abwehrmaßnahmen: Rolle „TokenCreator“ auf Ordnerebene hinzugefügt	FOLDER_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Die IAM-Rolle „Service Account Token Creator“ wurde auf Ordnerebene gewährt. Ergebnisse werden standardmäßig als Niedrig klassifiziert.	–
Umgehung von Sicherheitsvorkehrungen: TokenCreatorRole auf Projektebene hinzugefügt	PROJECT_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Die IAM-Rolle „Ersteller von Dienstkonto-Tokens“ wurde auf Projektebene zugewiesen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Defense Evasion: Rolle „TokenCreator“ auf Organisationsebene für KI-Agenten gewährt (Vorschau)	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_ORG	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Einem KI-Agenten wurde die IAM-Rolle „Service Account Token Creator“ auf Organisationsebene zugewiesen. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Defense Evasion: Rolle „TokenCreator“ auf Ordnerebene für KI-Agenten gewährt (Vorschau)	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_FOLDER	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Einem KI-Agenten wurde die IAM-Rolle „Service Account Token Creator“ auf Ordnerebene zugewiesen. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Umgehung von Abwehrmaßnahmen: Rolle „TokenCreator“ auf Projektebene für KI-Agenten gewährt	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_PROJECT	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Einem KI-Agenten wurde die IAM-Rolle „Service Account Token Creator“ auf Projektebene zugewiesen. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Lateral Movement: Ausführung von Betriebssystempatch über Dienstkonto ^Vorübergehend nicht verfügbar	OS_PATCH_EXECUTION_FROM_SERVICE_ACCOUNT	Cloud-Audit-Logs. VM Manager-Audit-Logs	Ein Dienstkonto hat die Compute Engine-Patchfunktion verwendet, um das Betriebssystem einer derzeit ausgeführten Compute Engine-Instanz zu aktualisieren. Ergebnisse werden standardmäßig als Niedrig eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Verwenden Sie VM Manager-Audit-Logs, um die VM Manager-Aktivität zu überwachen.	–
Lateral Movement: Geändertes Bootlaufwerk an Instanz angehängt (Vorabversion)	MODIFY_BOOT_DISK_ATTACH_TO_INSTANCE	Cloud-Audit-Logs: Compute Engine-Audit-Logs	Ein Bootlaufwerk wurde von einer Compute Engine-Instanz getrennt und an eine andere angehängt. Dies könnte auf einen böswilligen Versuch hindeuten, das System mit einem modifizierten Bootlaufwerk zu kompromittieren. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Zugriff auf Anmeldedaten: Secrets, auf die im Kubernetes-Namespace zugegriffen wurde	SECRETS_ACCESSED_IN_KUBERNETES_NAMESPACE	Cloud-Audit-Logs: GKE-Datenzugriffslogs	Ein Dienstkonto im aktuellen Kubernetes-Namespace hat auf Secrets oder Dienstkonto-Tokens zugegriffen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Ressourcenentwicklung: Angriffsaktivität in Sicherheitsdistribution	OFFENSIVE_SECURITY_DISTRO_ACTIVITY	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Eine Google Cloud -Ressource wurde erfolgreich über bekannte Penetrationstests oder offensive Sicherheitsdistributionen manipuliert. Ergebnisse werden standardmäßig als Niedrig eingestuft.	Kategorie: Resource Development: Offensive Security Distro Activity Affecting Sensitive Data Schweregrad: Niedrig bis mittel
Rechteausweitung: KI-Agent: Tokengenerierung mit signJwt (Vorschau)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT	Cloud-Audit-Logs: IAM-Datenzugriffs-Audit-Logs	Ein mit einem KI-Agenten verknüpftes Dienstkonto hat die Methode serviceAccounts.signJwt verwendet, um ein Zugriffstoken für ein anderes Dienstkonto zu generieren. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: KI-Agent: Tokengenerierung mit impliziter Delegierung (Vorschau)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION	Cloud-Audit-Logs: IAM-Datenzugriffs-Audit-Logs	Die Berechtigung iam.serviceAccounts.implicitDelegation wurde missbraucht, um Zugriffstokens von einem Dienstkonto mit höheren Berechtigungen über einen KI-Agenten zu generieren. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: KI-Agent: projektübergreifende OpenID-Tokengenerierung (Vorabversion)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID	Cloud-Audit-Logs: IAM-Datenzugriffs-Audit-Logs	Die IAM-Berechtigung iam.serviceAccounts.getOpenIdToken wurde über einen KI-Agenten projektübergreifend verwendet. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Niedrig klassifiziert.	–
Rechteausweitung: KI-Agent: projektübergreifende Zugriffstokengenerierung (Vorabversion)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN	Cloud-Audit-Logs: IAM-Datenzugriffs-Audit-Logs	Die IAM-Berechtigung iam.serviceAccounts.getAccessToken wurde über einen KI-Agenten projektübergreifend verwendet. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: Neues Dienstkonto ist „Owner“ oder „Editor“ ^Vorübergehend nicht verfügbar	SERVICE_ACCOUNT_EDITOR_OWNER	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Ein neues Dienstkonto wurde mit der Rolle „Editor“ oder „Owner“ für ein Projekt erstellt. Ergebnisse werden standardmäßig als Niedrig eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Audit-Logs zur IAM-Administratoraktivität, um IAM-Änderungen zu überwachen.	–
Erkennung: Tool zur Informationserfassung verwendet	INFORMATION_GATHERING_TOOL_USED	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Die Verwendung von ScoutSuite wurde erkannt. ScoutSuite ist ein Tool zur Prüfung der Cloud-Sicherheit, das bekanntermaßen von Bedrohungsakteuren verwendet wird. Ergebnisse werden standardmäßig als Niedrig eingestuft.	Kategorie: Discovery: Information Gathering Tool Affecting Sensitive Data Schweregrad: Niedrig bis mittel
Rechteausweitung: Verdächtige Tokengenerierung ^Vorübergehend nicht verfügbar	SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION	Cloud-Audit-Logs: IAM-Audit-Logs	Die Berechtigung iam.serviceAccounts.implicitDelegation wurde missbraucht, um Zugriffstokens von einem Dienstkonto mit mehr Berechtigungen zu generieren. Ergebnisse werden standardmäßig als Niedrig eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Verwenden Sie IAM-Audit-Logs, um die IAM-Aktivität zu überwachen.	–
Rechteausweitung: Verdächtige Tokengenerierung ^Vorübergehend nicht verfügbar	SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT	Cloud-Audit-Logs: IAM-Audit-Logs	Ein Dienstkonto hat die Methode serviceAccounts.signJwt verwendet, um ein Zugriffstoken für ein anderes Dienstkonto zu generieren. Ergebnisse werden standardmäßig als Niedrig eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Verwenden Sie IAM-Audit-Logs, um die IAM-Aktivität zu überwachen.	–
Rechteausweitung: Verdächtige Tokengenerierung ^Vorübergehend nicht verfügbar	SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID	Cloud-Audit-Logs: IAM-Audit-Logs	Die IAM-Berechtigung iam.serviceAccounts.getOpenIdToken wurde projektübergreifend verwendet. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Niedrig eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Verwenden Sie IAM-Audit-Logs, um die IAM-Aktivität zu überwachen.	–
Rechteausweitung: Verdächtige Tokengenerierung ^Vorübergehend nicht verfügbar	SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN	Cloud-Audit-Logs: IAM-Audit-Logs	Die IAM-Berechtigung iam.serviceAccounts.getAccessToken wurde projektübergreifend verwendet. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Niedrig eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Verwenden Sie IAM-Audit-Logs, um die IAM-Aktivität zu überwachen.	–
Rechteausweitung: Verdächtige Verwendung projektübergreifender Berechtigungen	SUSPICIOUS_CROSS_PROJECT_PERMISSION_DATAFUSION	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Die IAM-Berechtigung datafusion.instances.create wurde projektübergreifend verwendet. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Command and Control: DNS-Tunneling ^Vorübergehend nicht verfügbar	DNS_TUNNELING_IODINE_HANDSHAKE	Cloud DNS-Logs	Der Handshake des DNS-Tunneling-Tools Iodine wurde erkannt. Ergebnisse werden standardmäßig als Niedrig eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Verwenden Sie Cloud DNS-Logs, um die DNS-Aktivität zu überwachen.	–
Umgehung von Abwehrmaßnahmen: Versuch einer VPC-Routen-Masquerade	VPC_ROUTE_MASQUERADE	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	VPC-Routen, die sich als Standardrouten von Google Cloud ausgeben, wurden manuell erstellt, sodass ausgehender Traffic an externe IP-Adressen möglich ist. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Auswirkung: Abrechnung deaktiviert ^Vorübergehend nicht verfügbar	BILLING_DISABLED_SINGLE_PROJECT	Cloud-Audit-Logs: Cloud Billing-Audit-Logs zu Administratoraktivitäten	Die Abrechnung für ein Projekt wurde deaktiviert. Ergebnisse werden standardmäßig als Niedrig eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Wenn Sie Änderungen an der Abrechnung überwachen möchten, verwenden Sie Audit-Logs zu Administratoraktivitäten in Cloud Billing.	–
Auswirkung: Abrechnung deaktiviert ^Vorübergehend nicht verfügbar	BILLING_DISABLED_MULTIPLE_PROJECTS	Cloud-Audit-Logs: Cloud Billing-Audit-Logs zu Administratoraktivitäten	Die Abrechnung wurde für mehrere Projekte in einer Organisation innerhalb eines kurzen Zeitraums deaktiviert. Ergebnisse werden standardmäßig als Niedrig eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Wenn Sie Änderungen an der Abrechnung überwachen möchten, verwenden Sie die Audit-Logs für Administratoraktivitäten in Cloud Billing.	–
Auswirkung: Block mit hoher Priorität der VPC-Firewall	VPC_FIREWALL_HIGH_PRIORITY_BLOCK	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Eine VPC-Firewallregel, die den gesamten ausgehenden Traffic blockiert, wurde mit Priorität 0 hinzugefügt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Auswirkungen: Massenlöschung von VPC-Firewallregeln ^vorübergehend nicht verfügbar	VPC_FIREWALL_MASS_RULE_DELETION	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	VPC-Firewallregeln wurden von Nicht-Dienstkonten massenhaft gelöscht. Diese Regel ist vorübergehend nicht verfügbar. Verwenden Sie die Cloud-Audit-Logs, um Aktualisierungen Ihrer Firewallregeln zu überwachen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Auswirkung: Service API deaktiviert	SERVICE_API_DISABLED	Cloud-Audit-Logs: IAM-Audit-Logs zu Administratoraktivitäten	Eine Google Cloud -Dienst-API wurde in einer Produktionsumgebung deaktiviert. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Auswirkung: Autoscaling verwalteter Instanzgruppen auf Maximum festgelegt ^Vorübergehend nicht verfügbar	MIG_AUTOSCALING_SET_TO_MAX	Cloud-Audit-Logs: Compute Engine-Audit-Logs zu Administratoraktivitäten	Eine verwaltete Instanzgruppe wurde für maximales Autoscaling konfiguriert. Ergebnisse werden standardmäßig als Niedrig eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Wenn Sie Änderungen an Compute Engine-Assets überwachen möchten, verwenden Sie die Audit-Logs zu Administratoraktivitäten in Compute Engine.	–
Erkennung: Nicht autorisierter API-Aufruf des Dienstkontos ^Vorübergehend nicht verfügbar	UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL	Cloud-Audit-Logs: Audit-Logs zu Administratoraktivitäten	Ein Dienstkonto hat einen nicht autorisierten projektübergreifenden API-Aufruf ausgeführt. Ergebnisse werden standardmäßig als Niedrig eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Verwenden Sie Audit-Logs für Administratoraktivitäten, um die Dienstkontonutzung zu überwachen.	–
Umgehung von Abwehrmaßnahmen: Anonymen Sitzungen wurde Cluster-Adminzugriff gewährt	ANONYMOUS_SESSIONS_GRANTED_CLUSTER_ADMIN	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Es wurde ein ClusterRoleBinding-Objekt für die rollenbasierte Zugriffssteuerung (RBAC) erstellt, das anonymen Nutzern das Verhalten root-cluster-admin-binding hinzufügt. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Persistenz: Neue geografische Region für KI-Dienst	AI_IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION	Cloud-Audit-Logs: Administratoraktivitätslogs	IAM-Nutzer und -Dienstkonten haben von ungewöhnlichen Standorten aus auf Google Cloud AI-Dienste zugegriffen, basierend auf der Standortbestimmung der anfragenden IP-Adressen. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar und wird standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: Anomale mehrstufige Dienstkontodelegierung bei KI-Administratoraktivität	AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY	Cloud-Audit-Logs: Administratoraktivitätslogs	Für eine administrative Aktivität eines KI-Dienstes wurde eine anomale mehrstufige delegierte Anfrage gefunden. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Rechteausweitung: Anomale mehrstufige Dienstkontodelegierung bei KI-Datenzugriff	AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS	Cloud-Audit-Logs: Datenzugriffslogs	Für eine Datenzugriffsaktivität eines KI-Dienstes wurde eine anomale mehrstufige delegierte Anfrage gefunden. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Rechteausweitung: Anomale Identitätsübernahme des Dienstkontos bei KI-Administratoraktivität	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY	Cloud-Audit-Logs: Administratoraktivitätslogs	Ein potenziell anomaler Aufrufer oder Identitätsübernehmer in einer Delegierungskette wurde für eine administrative Aktivität eines KI-Dienstes verwendet. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Rechteausweitung: Anomale Identitätsübernahme des Dienstkontos bei KI-Datenzugriff	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS	Cloud-Audit-Logs: Datenzugriffslogs	Ein potenziell anomaler Aufrufer oder Identitätsübernehmer in einer Delegierungskette wurde für eine Datenzugriffsaktivität eines KI-Dienstes verwendet. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Rechteausweitung: Anomale Identitätsübernahme des Dienstkontos bei KI-Administratoraktivität	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY	Cloud-Audit-Logs: Administratoraktivitätslogs	Ein potenziell anomales Dienstkonto mit Identitätsübernahme wurde für eine administrative Aktivität eines KI-Dienstes verwendet. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Persistenz: Neue KI-API-Methode	AI_ANOMALOUS_BEHAVIOR_NEW_API_METHOD	Cloud-Audit-Logs: Administratoraktivitätslogs	IAM-Dienstkonten haben anomalen Zugriff auf Google Cloud KI-Dienste verwendet. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Erstzugriff: Inaktives Dienstkonto im KI-Dienst	AI_DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION	Cloud-Audit-Logs: Administratoraktivitätslogs	Ein inaktives nutzerverwaltetes Dienstkonto hat eine Aktion in KI-Diensten ausgelöst. In diesem Kontext gilt ein Dienstkonto als inaktiv, wenn es seit mehr als 180 Tagen inaktiv ist. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Anfänglicher Zugriff: Anonyme GKE-Ressource, die über das Internet erstellt wurde (Vorschau)	GKE_RESOURCE_CREATED_ANONYMOUSLY_FROM_INTERNET	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs.	Eine Ressource wurde von einem effektiv anonymen Internetnutzer erstellt. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Anfänglicher Zugriff: GKE-Ressource, die anonym über das Internet geändert wurde (Vorabversion)	GKE_RESOURCE_MODIFIED_ANONYMOUSLY_FROM_INTERNET	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Eine Ressource wurde von einem praktisch anonymen Internetnutzer manipuliert. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Rechteausweitung: Effektiv anonymen Nutzern wird GKE-Clusterzugriff gewährt	GKE_ANONYMOUS_USERS_GRANTED_ACCESS	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat eine RBAC-Bindung erstellt, die auf einen der folgenden Nutzer oder eine der folgenden Gruppen verweist: system:anonymous system:unauthenticated system:authenticated Diese Nutzer und Gruppen sind im Grunde anonym und sollten beim Erstellen von Rollenbindungen oder Clusterrollenbindungen an RBAC-Rollen vermieden werden. Prüfen Sie die Bindung, um sicherzustellen, dass sie erforderlich ist. Wenn die Bindung nicht erforderlich ist, entfernen Sie sie. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Ausführung: Verdächtiges Ausführen oder Anhängen an einen System-Pod (Vorabversion)	GKE_SUSPICIOUS_EXEC_ATTACH	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat die Befehle exec oder attach verwendet, um eine Shell abzurufen oder einen Befehl in einem Container auszuführen, der im Namespace kube-system ausgeführt wird. Diese Methoden werden manchmal für legitime Debugging-Zwecke verwendet. Der Namespace kube-system ist jedoch für von Kubernetes erstellte Systemobjekte vorgesehen. Unerwartete Befehlsausführungen oder Shell-Erstellungen sollten überprüft werden. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Rechteausweitung: Arbeitslast mit sensibler Hostpfadbereitstellung erstellt (Vorschau)	GKE_SENSITIVE_HOSTPATH	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat eine Arbeitslast erstellt, die eine hostPath-Volume-Bereitstellung für einen sensiblen Pfad im Dateisystem des Hostknotens enthält. Der Zugriff auf diese Pfade im Host-Dateisystem kann verwendet werden, um auf privilegierte oder vertrauliche Informationen auf dem Knoten zuzugreifen und Container-Escapes durchzuführen. Lassen Sie nach Möglichkeit keine hostPath-Volumes in Ihrem Cluster zu. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: Arbeitslast mit aktiviertem „shareProcessNamespace“ (Vorschau)	GKE_SHAREPROCESSNAMESPACE_POD	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat eine Arbeitslast mit der Option shareProcessNamespace auf true bereitgestellt, sodass alle Container denselben Linux-Prozess-Namespace gemeinsam nutzen können. Dies könnte es einem nicht vertrauenswürdigen oder manipulierten Container ermöglichen, Berechtigungen zu erweitern, indem er auf Umgebungsvariablen, Arbeitsspeicher und andere sensible Daten von Prozessen zugreift, die in anderen Containern ausgeführt werden, und diese steuert. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: ClusterRole mit privilegierten Verben (Vorschau)	GKE_CLUSTERROLE_PRIVILEGED_VERBS	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat eine RBAC-ClusterRole erstellt, die die Verben bind, escalate oder impersonate enthält. Ein Subjekt, das an eine Rolle mit diesen Verben gebunden ist, kann die Identität anderer Nutzer mit höheren Berechtigungen annehmen, sich an zusätzliche Roles oder ClusterRoles binden, die zusätzliche Berechtigungen enthalten, oder seine eigenen ClusterRole-Berechtigungen ändern. Dies kann dazu führen, dass diese Subjekte Clusteradministratorberechtigungen erhalten. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Rechteausweitung: ClusterRoleBinding für privilegierte Rolle	GKE_CRB_CLUSTERROLE_AGGREGATION_CONTROLLER	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat eine RBAC-ClusterRoleBinding erstellt, die auf das Standard-system:controller:clusterrole-aggregation-controller-ClusterRole verweist. Diese Standard-ClusterRole hat das Verb escalate, mit dem Subjekte die Berechtigungen ihrer eigenen Rollen ändern können, was eine Rechteausweitung ermöglicht. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Defense Evasion: Manuell gelöschte Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR)	GKE_MANUALLY_DELETED_CSR	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat eine Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) manuell gelöscht. CSRs werden automatisch von einem Garbage-Collection-Controller entfernt, aber böswillige Akteure können sie manuell löschen, um einer Erkennung zu entgehen. Wenn die gelöschte CSR für ein genehmigtes und ausgestelltes Zertifikat war, hat der potenziell böswillige Akteur jetzt eine zusätzliche Authentifizierungsmethode, um auf den Cluster zuzugreifen. Die mit dem Zertifikat verknüpften Berechtigungen variieren je nach enthaltenem Subjekt, können aber sehr weitreichend sein. Kubernetes unterstützt den Widerruf von Zertifikaten nicht. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Zugriff auf Anmeldedaten: Kubernetes-Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) konnte nicht genehmigt werden	GKE_APPROVE_CSR_FORBIDDEN	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat versucht, eine Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) manuell zu genehmigen, aber die Aktion ist fehlgeschlagen. Das Erstellen eines Zertifikats für die Clusterauthentifizierung ist eine gängige Methode für Angreifer, um dauerhaften Zugriff auf einen manipulierten Cluster zu erhalten. Die mit dem Zertifikat verknüpften Berechtigungen variieren je nach enthaltenem Subjekt, können aber sehr weitreichend sein. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Zugriff auf Anmeldedaten: Manuell genehmigte Kubernetes-Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) (Vorschau)	GKE_CSR_APPROVED	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat eine Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) manuell genehmigt. Das Erstellen eines Zertifikats für die Clusterauthentifizierung ist eine gängige Methode für Angreifer, um dauerhaften Zugriff auf einen manipulierten Cluster zu erhalten. Die mit dem Zertifikat verknüpften Berechtigungen variieren je nach enthaltenem Subjekt, können aber sehr weitreichend sein. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Execution: Kubernetes Pod Created with Potential Reverse Shell Arguments	GKE_REVERSE_SHELL_POD	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat einen Pod erstellt, der Befehle oder Argumente enthält, die häufig mit einem Reverse-Shell-Angriff in Verbindung gebracht werden. Angreifer verwenden Reverse-Shell-Angriffe, um ihren anfänglichen Zugriff auf einen Cluster zu erweitern oder aufrechtzuerhalten und beliebige Befehle auszuführen. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Umgehung von Sicherheitsvorkehrungen: Mögliches Kubernetes-Pod-Masquerading	GKE_POD_MASQUERADING	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat einen Pod mit einer Namenskonvention bereitgestellt, die den Standardarbeitslasten ähnelt, die GKE für den regulären Clustervorgang erstellt. Diese Technik wird als Masquerading bezeichnet. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Rechteausweitung: Verdächtige Kubernetes-Containernamen – Ausnutzung und Escape (Vorschau)	GKE_SUSPICIOUS_EXPLOIT_POD	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat einen Pod mit einer Namenskonvention bereitgestellt, die gängigen Tools ähnelt, die für Container-Escapes oder andere Angriffe auf den Cluster verwendet werden. Ergebnisse werden standardmäßig als mittel eingestuft.	–
Persistenz: Dienstkonto in sensiblem Namespace erstellt	GKE_SERVICE_ACCOUNT_CREATION_SENSITIVE_NAMESPACE	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat ein Dienstkonto in einem sensiblen Namespace erstellt. Die Namespaces kube-system und kube-public sind für GKE-Clustervorgänge von entscheidender Bedeutung. Nicht autorisierte Dienstkonten könnten die Stabilität und Sicherheit des Clusters beeinträchtigen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Auswirkung: Verdächtige Kubernetes-Containernamen – Mining von Kryptowährungen ^Derzeit nicht verfügbar	GKE_SUSPICIOUS_CRYPTOMINING_POD	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat einen Pod mit einer Namenskonvention bereitgestellt, die gängigen Coin-Minern für Kryptowährungen ähnelt. Dies kann ein Versuch eines Angreifers sein, der sich ersten Zugriff auf den Cluster verschafft hat, um die Ressourcen des Clusters für das Mining von Kryptowährungen zu nutzen. Ergebnisse werden standardmäßig als Hoch eingestuft. Diese Regel ist vorübergehend nicht verfügbar. Verwenden Sie zum Überwachen der Kubernetes-Aktivität die GKE-Administratoraktivitätslogs.	–
Ausführung: Arbeitslast in sensiblem Namespace ausgelöst	GKE_SENSITIVE_NAMESPACE_WORKLOAD_TRIGGERED	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat eine Arbeitslast (z. B. einen Pod oder ein Deployment) in den Namespaces kube-system oder kube-public bereitgestellt. Diese Namespaces sind für den GKE-Clusterbetrieb von entscheidender Bedeutung. Nicht autorisierte Arbeitslasten könnten die Stabilität oder Sicherheit des Clusters beeinträchtigen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Ausführung: GKE startet übermäßig leistungsfähigen Container (Vorschau)	GKE_EXCESSIVELY_CAPABLE_CONTAINER_CREATED	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat einen Container mit einer oder mehreren der folgenden Funktionen in einem Cluster mit einem erhöhten Sicherheitskontext erstellt: CAP_SYS_MODULE CAP_SYS_RAWIO CAP_SYS_PTRACE CAP_SYS_BOOT CAP_DAC_READ_SEARCH CAP_NET_ADMIN CAP_BPF Diese Funktionen können verwendet werden, um aus Containern auszubrechen. Seien Sie vorsichtig, wenn Sie diese Funktionen bereitstellen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Persistenz: GKE-Webhook-Konfiguration erkannt	GKE_WEBHOOK_CONFIG_CREATED	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	In Ihrem GKE-Cluster wurde eine Webhook-Konfiguration erkannt. Webhooks können Kubernetes API-Anfragen abfangen und ändern, sodass Angreifer möglicherweise in Ihrem Cluster verbleiben oder Ressourcen manipulieren können. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Umgehung von Sicherheitsvorkehrungen: Statischer Pod erstellt	GKE_STATIC_POD_CREATED	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	In Ihrem GKE-Cluster wurde ein statischer Pod erstellt. Statische Pods werden direkt auf dem Knoten ausgeführt und umgehen den Kubernetes API-Server, was das Monitoring und die Steuerung erschwert. Angreifer können statische Pods verwenden, um der Erkennung zu entgehen oder sich dauerhaft Zugang zu verschaffen. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Erstzugriff: Erfolgreicher API-Aufruf über eine TOR-Proxy-IP-Adresse	GKE_TOR_PROXY_IP_REQUEST	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Es wurde ein erfolgreicher API-Aufruf von einer IP-Adresse, die mit dem Tor-Netzwerk verknüpft ist, an Ihren GKE-Cluster gesendet. Tor bietet Anonymität, die Angreifer oft ausnutzen, um ihre Identität zu verbergen. Ergebnisse werden standardmäßig als Hoch eingestuft.	Kategorie: Initial Access: Successful API call made from a TOR proxy IP Affecting Sensitive Data Schweregrad: Keine Änderung (standardmäßig „Hoch“)
Anfänglicher Zugriff: GKE-NodePort-Dienst erstellt	GKE_NODEPORT_SERVICE_CREATED	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat einen NodePort-Dienst erstellt. NodePort-Dienste stellen Pods direkt über die IP-Adresse und den statischen Port eines Knotens bereit, sodass die Pods von außerhalb des Clusters zugänglich sind. Dies kann ein erhebliches Sicherheitsrisiko darstellen, da ein Angreifer Sicherheitslücken im freigegebenen Dienst ausnutzen könnte, um Zugriff auf den Cluster oder sensible Daten zu erhalten. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Auswirkung: GKE-kube-dns-Änderung erkannt (Vorschau)	GKE_KUBE_DNS_MODIFICATION	Cloud-Audit-Logs: GKE-Administratoraktivitätslogs	Jemand hat die kube-dns-Konfiguration in Ihrem GKE-Cluster geändert. GKE kube-dns ist eine wichtige Komponente des Netzwerks Ihres Clusters. Eine Fehlkonfiguration kann zu einer Sicherheitsverletzung führen. Ergebnisse werden standardmäßig als Mittel eingestuft.	–
Auswirkungen: Cryptomining-Befehle	CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS	Cloud-Audit-Logs: IAM-Systemereignis-Audit-Logs	Während der Ausführung wurden einem Cloud Run-Job bestimmte Cryptomining-Befehle angehängt. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Ausführung: Docker-Image für Cryptomining	CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES	Cloud-Audit-Logs: IAM-Systemereignis-Audit-Logs	Bestimmte bekannte schädliche Docker-Images wurden an einen neuen oder vorhandenen Cloud Run-Dienst oder -Job angehängt. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Rechteausweitung: SetIAMPolicy für Compute Engine-Standarddienstkonto	CLOUD_RUN_SERVICES_SET_IAM_POLICY	Cloud-Audit-Logs: Administratoraktivitätslogs	Das Compute Engine-Standarddienstkonto wurde verwendet, um die IAM-Richtlinie für einen Cloud Run-Dienst festzulegen. Dies ist eine potenzielle Aktion nach einem Exploit, wenn ein Compute Engine-Token von einem serverlosen Dienst manipuliert wird. Ergebnisse werden standardmäßig als Niedrig eingestuft.	–
Anfänglicher Zugriff: CloudDB: Erfolgreiche Anmeldung über IP-Adresse des Anonymisierungs-Proxys	CLOUD_DB_LOGIN_SUCCEEDED_ANON_IP	Cloud-Audit-Logs: AlloyDB for PostgreSQL-Datenzugriffslogs Cloud SQL for PostgreSQL-Datenzugriffslogs Cloud SQL for MySQL-Datenzugriffslogs Hinweis: Sie müssen das IP-Logging in PostgreSQL aktivieren, um diese Regel für AlloyDB und Postgres zu verwenden.	In Ihrer Datenbankinstanz wurde eine erfolgreiche Anmeldung von einer bekannten anonymisierenden IP-Adresse erkannt. Dies könnte darauf hindeuten, dass ein Angreifer ersten Zugriff auf Ihre Instanz erlangt hat. Ergebnisse werden standardmäßig als Hoch eingestuft.	–
Zugriff auf Anmeldedaten: CloudDB: Fehlgeschlagene Anmeldung über IP-Adresse des Anonymisierungs-Proxys	CLOUD_DB_LOGIN_FAILED_ANON_IP	Cloud-Audit-Logs: AlloyDB for PostgreSQL-Datenzugriffslogs Cloud SQL for PostgreSQL-Datenzugriffslogs Cloud SQL for MySQL-Datenzugriffslogs Hinweis: Sie müssen das IP-Logging in PostgreSQL aktivieren, um diese Regel für AlloyDB und Postgres zu verwenden.	In Ihrer Datenbankinstanz wurde ein fehlgeschlagener Anmeldeversuch von einer bekannten anonymisierenden IP-Adresse erkannt. Dies könnte darauf hindeuten, dass ein Angreifer versucht, unbefugten Zugriff auf Ihre Instanz zu erhalten. Ergebnisse werden standardmäßig als Mittel eingestuft.	–

Informationen zu veralteten und deaktivierten Regeln finden Sie unter Einstellungen.

Benutzerdefinierte Module für Event Threat Detection

Zusätzlich zu den integrierten Erkennungsregeln bietet Event Threat Detection Modulvorlagen, mit denen Sie benutzerdefinierte Erkennungsregeln erstellen können. Weitere Informationen finden Sie unter Übersicht über benutzerdefinierte Module für Event Threat Detection.

Wenn Sie Erkennungsregeln erstellen möchten, für die keine benutzerdefinierten Modulvorlagen verfügbar sind, können Sie Ihre Logdaten nach BigQuery exportieren und anschließend einmalige oder wiederkehrende SQL-Abfragen ausführen, die Ihre Bedrohungsmodelle erfassen.

Unsichere Änderungen an Google-Gruppen

In diesem Abschnitt wird erläutert, wie Event Threat Detection Google Workspace-Logs, Cloud-Audit-Logs und IAM-Richtlinien verwendet, um unsichere Änderungen an Google Groups zu erkennen. Das Erkennen von Änderungen an Google Groups wird nur unterstützt, wenn Sie Security Command Center auf Organisationsebene aktivieren.

Google Cloud -Kunden können Google Groups verwenden, um Rollen und Berechtigungen für Mitglieder in ihren Organisationen zu verwalten oder Zugriffsrichtlinien auf Sammlungen von Nutzern anzuwenden. Administratoren können Google Groups Rollen und Berechtigungen zuweisen und Mitglieder dann bestimmten Gruppen hinzufügen, statt Rollen direkt an Mitglieder zu erteilen. Gruppenmitglieder übernehmen alle Rollen und Berechtigungen einer Gruppe, wodurch sie auf bestimmte Ressourcen und Dienste zugreifen können.

Google Groups sind eine praktische Möglichkeit, die Zugriffssteuerung in großem Umfang zu verwalten. Sie können jedoch ein Risiko darstellen, wenn externe Nutzer von außerhalb Ihrer Organisation oder Domain zu privilegierten Gruppen hinzugefügt werden, also Gruppen, denen sensible Rollen oder Berechtigungen gewährt werden. Sensible Rollen steuern den Zugriff auf Sicherheits- und Netzwerkeinstellungen, Logs und personenidentifizierbare Informationen (PII) und werden für externe Gruppenmitglieder nicht empfohlen.

In großen Organisationen wissen Administratoren möglicherweise nicht, wann externe Mitglieder privilegierten Gruppen hinzugefügt werden. In Cloud-Audit-Logs werden Rollenzuweisungen für Gruppen aufgezeichnet. Diese Logereignisse enthalten jedoch keine Informationen zu Gruppenmitgliedern, was die potenziellen Auswirkungen einiger Gruppenänderungen verschleiern kann.

Wenn Sie Ihre Google Workspace-Protokolle für Google Cloudfreigeben, überwacht Event Threat Detection Ihre Logging-Streams auf neue Mitglieder, die den Google Groups Ihrer Organisation hinzugefügt wurden. Da sich die Logs auf Organisationsebene befinden, kann Event Threat Detection Google Workspace-Logs nur scannen, wenn Sie Security Command Center auf Organisationsebene aktivieren. Event Threat Detection kann diese Logs nicht scannen, wenn Sie Security Command Center auf Projektebene aktivieren.

Event Threat Detection identifiziert externe Gruppenmitglieder und prüft mithilfe von Cloud-Audit-Logs die IAM-Rollen der einzelnen betroffenen Gruppen, um festzustellen, ob den Gruppen vertrauliche Rollen zugewiesen wurden. Anhand dieser Informationen können die folgenden unsicheren Änderungen an privilegierten Google-Gruppen erkannt werden:

• Externe Gruppenmitglieder zu privilegierten Gruppen hinzugefügt
• Vertrauliche Rollen oder Berechtigungen, die Gruppen mit externen Gruppenmitgliedern gewährt wurden
• Privilegierte Gruppen, die geändert werden, damit jeder der allgemeinen Öffentlichkeit der Domain beitreten kann

Event Threat Detection schreibt Ergebnisse ins Security Command Center. Die Ergebnisse enthalten die E-Mail-Adressen von neu hinzugefügten externen Mitgliedern, internen Gruppenmitgliedern, die Ereignisse initiieren, Gruppennamen und die mit Gruppen verbundenen sensiblen Rollen. Anhand dieser Informationen können Sie externe Mitglieder aus Gruppen entfernen oder sensible Rollen widerrufen, die Gruppen zugewiesen wurden.

Weitere Informationen zu Event Threat Detection-Ergebnissen finden Sie unter Event Threat Detection-Regeln.

Vertrauliche IAM-Rollen und -Berechtigungen

In diesem Abschnitt wird erläutert, wie Event Threat Detection sensible IAM-Rollen definiert. Informationen zu sensiblen Rollen und Berechtigungen für KI-Bedrohungen finden Sie unter Sensible IAM-Rollen und -Berechtigungen für KI.

Erkennungen wie „IAM Anomalous Grant“ und „Unsafe Google Group“ generieren nur dann Ergebnisse, wenn die Änderungen Rollen mit hoher oder mittlerer Sensitivität betreffen. Die Sensibilität von Rollen wirkt sich auf die Schweregradbewertung aus, die Ergebnissen zugewiesen wird.

• Rollen mit hoher Vertraulichkeit steuern wichtige Dienste in Organisationen, einschließlich Abrechnung, Firewalleinstellungen und Logging. Ergebnisse, die diesen Rollen entsprechen, werden als Hoch eingestuft.
• Rollen mit mittlerer Sensitivität haben Bearbeitungsberechtigungen, mit denen Hauptkonten Änderungen an Google Cloud -Ressourcen vornehmen können, sowie Berechtigungen zum Ansehen und Ausführen von Datenspeicherdiensten, die häufig sensible Daten enthalten. Der den Ergebnissen zugewiesene Schweregrad hängt von der Ressource ab:
  • Wenn Rollen mit mittlerer Vertraulichkeit auf Organisationsebene gewährt werden, werden die Ergebnisse als Hoch eingestuft.
  • Wenn Rollen mit durchschnittlicher Vertraulichkeit auf niedrigerer Ebene in Ihrer Ressourcenhierarchie zugewiesen werden (unter anderem Ordner, Projekte und Buckets), erhalten Ergebnisse den Schweregrad Mittel.

Das Gewähren dieser sensiblen Rollen gilt als gefährlich, wenn der Empfänger ein externes Mitglied oder eine anormale Identität ist, z. B. ein Hauptkonto, das lange Zeit inaktiv war.

Wenn Sie externen Mitgliedern sensible Rollen zuweisen, entsteht eine potenzielle Bedrohung, da diese Rollen für die Kompromittierung von Konten und die Exfiltration von Daten missbraucht werden können.

Beispiele für Kategorien, in denen diese sensiblen Rollen verwendet werden:

• Persistenz: Ungewöhnliche IAM-Gewährung
  • Unterregel: external_service_account_added_to_policy
  • Unterregel: external_member_added_to_policy
• Rechteausweitung: Sensible Rolle der Hybridgruppe gewährt
• Rechteausweitung: Inaktivem Dienstkonto wurde vertrauliche Rolle gewährt

Beispiele für Kategorien, die eine Teilmenge der sensiblen Rollen verwenden:

• Persistenz: Ungewöhnliche IAM-Gewährung
  • Unterregel: service_account_granted_sensitive_role_to_member

Die Unterregel service_account_granted_sensitive_role_to_member gilt sowohl für externe als auch für interne Mitglieder und verwendet daher nur eine Teilmenge sensibler Rollen, wie unter Event Threat Detection-Regeln erläutert.

Kategorie	Rolle	Beschreibung
Einfache Rollen: enthalten Tausende von Berechtigungen für alle Google Cloud -Dienste.	roles/owner	Einfache Rollen
	roles/editor
Sicherheitsrollen: Zugriff auf Sicherheitseinstellungen steuern	roles/cloudkms.*	Alle Cloud Key Management Service-Rollen
	roles/cloudsecurityscanner.*	Alle Web Security Scanner-Rollen
	roles/dlp.*	Alle Sensitive Data Protection-Rollen
	roles/iam.*	Alle IAM-Rollen
	roles/secretmanager.*	Alle Secret Manager-Rollen
	roles/securitycenter.*	Alle Security Command Center-Rollen
Logging-Rollen: Steuern den Zugriff auf die Logs einer Organisation.	roles/errorreporting.*	Alle Error Reporting-Rollen
	roles/logging.*	Alle Cloud Logging-Rollen
	roles/stackdriver.*	Alle Cloud Monitoring-Rollen
Rollen für personenbezogene Daten: Steuern den Zugriff auf Ressourcen, die personenidentifizierbare Informationen enthalten, einschließlich Bank- und Kontaktdaten.	roles/billing.*	Alle Cloud Billing-Rollen
	roles/healthcare.*	Alle Cloud Healthcare API-Rollen
	roles/essentialcontacts.*	Alle Rollen für wichtige Kontakte
Netzwerkrollen: Steuern den Zugriff auf die Netzwerkeinstellungen einer Organisation	roles/dns.*	Alle Cloud DNS-Rollen
	roles/domains.*	Alle Cloud Domains-Rollen
	roles/networkconnectivity.*	Alle Network Connectivity Center-Rollen
	roles/networkmanagement.*	Alle NCC-Rollen
	roles/privateca.*	Alle Certificate Authority Service-Rollen
Dienstrollen: Steuern den Zugriff auf Dienstressourcen in Google Cloud.	roles/cloudasset.*	Alle Cloud Asset Inventory-Rollen
	roles/servicedirectory.*	Alle Service Directory-Rollen
	roles/servicemanagement.*	Alle Service Management-Rollen
	roles/servicenetworking.*	Alle Service Networking-Rollen
	roles/serviceusage.*	Alle Service Usage-Rollen
Compute Engine-Rollen: Steuern den Zugriff auf virtuelle Compute Engine-Maschinen, die langlebige Jobs ausführen und mit Firewallregeln verknüpft sind.	roles/compute.admin roles/compute.instanceAdmin roles/compute.instanceAdmin.v1 roles/compute.loadBalancerAdmin roles/compute.networkAdmin roles/compute.orgFirewallPolicyAdmin roles/compute.orgFirewallPolicyUser roles/compute.orgSecurityPolicyAdmin roles/compute.orgSecurityPolicyUser roles/compute.orgSecurityResourceAdmin roles/compute.osAdminLogin roles/compute.publicIpAdmin roles/compute.securityAdmin roles/compute.storageAdmin roles/compute.xpnAdmin	Alle Compute Engine-Administrator- und Bearbeiterrollen

Kategorie	Rolle	Beschreibung
Bearbeitungsrollen: IAM-Rollen, die Berechtigungen zum Vornehmen von Änderungen an Google Cloud -Ressourcen enthalten	Beispiele: roles/storage.objectAdmin roles/file.editor roles/source.writer roles/container.developer	Rollennamen enden in der Regel mit Titeln wie Administrator, Inhaber, Bearbeiter oder Autor. Maximieren Sie den Knoten in der letzten Zeile der Tabelle, um Alle Rollen mit mittlerer Sensitivität zu sehen.
Datenspeicherrollen: IAM-Rollen, die Berechtigungen zum Aufrufen und Ausführen von Datenspeicherdiensten enthalten	Beispiele: roles/cloudsql.viewer roles/cloudsql.client roles/bigquery.dataViewer roles/bigquery.user roles/spanner.databaseReader roles/spanner.databaseUser	Maximieren Sie den Knoten in der letzten Zeile der Tabelle, um Alle Rollen mit mittlerer Vertraulichkeit zu sehen.
Alle Rollen mit mittlerer Vertraulichkeit Access Approval roles/accessapproval.approver roles/accessapproval.configEditor Access Context Manager roles/accesscontextmanager.gcpAccessAdmin roles/accesscontextmanager.policyAdmin roles/accesscontextmanager.policyEditor Aktionen roles/actions.Admin AI Platform roles/ml.admin roles/ml.developer roles/ml.jobOwner roles/ml.modelOwner roles/ml.modelUser API Gateway roles/apigateway.admin App Engine roles/appengine.appAdmin roles/appengine.appCreator roles/appengine.serviceAdmin Artefaktanalyse roles/containeranalysis.admin roles/containeranalysis.notes.attacher roles/containeranalysis.notes.editor roles/containeranalysis.occurrences.editor AutoML roles/automl.admin roles/automl.editor BigQuery roles/bigquery.admin roles/bigquery.dataEditor roles/bigquery.dataOwner roles/bigquery.dataViewer roles/bigquery.resourceAdmin roles/bigquery.resourceEditor roles/bigquery.resourceViewer roles/bigquery.user Bigtable roles/bigtable.admin roles/bigtable.reader roles/bigtable.user Binärautorisierung roles/binaryauthorization.attestorsAdmin roles/binaryauthorization.attestorsEditor roles/binaryauthorization.policyAdmin roles/binaryauthorization.policyEditor Cloud Autoscaling roles/autoscaling.metricsWriter roles/autoscaling.sitesAdmin roles/autoscaling.stateWriter Cloud Build roles/cloudbuild.builds.builder roles/cloudbuild.builds.editor Cloud Deployment Manager roles/deploymentmanager.editor roles/deploymentmanager.typeEditor Cloud Endpoints roles/endpoints.portalAdmin^Beta Cloud Monitoring roles/monitoring.admin roles/monitoring.alertPolicyEditor roles/monitoring.dashboardEditor roles/monitoring.editor roles/monitoring.metricWriter roles/monitoring.notificationChannelEditor roles/monitoring.servicesEditor roles/monitoring.uptimeCheckConfigEditor Cloud Run roles/run.admin roles/run.developer Cloud Run Functions roles/cloudfunctions.admin roles/cloudfunctions.developer roles/cloudfunctions.invoker Cloud Runtime Configuration API roles/runtimeconfig.admin Cloud Scheduler roles/cloudscheduler.admin Cloud Source Repositories roles/source.admin roles/source.writer Cloud SQL roles/cloudsql.admin roles/cloudsql.editor roles/cloudsql.client roles/cloudsql.instanceUser roles/cloudsql.viewer Cloud Storage roles/storage.admin roles/storage.hmacKeyAdmin roles/storage.objectAdmin roles/storage.objectCreator roles/storage.objectViewer roles/storage.legacyBucketOwner roles/storage.legacyBucketWriter roles/storage.legacyBucketReader roles/storage.legacyObjectOwner roles/storage.legacyObjectReader Cloud Tasks roles/cloudtasks.admin roles/cloudtasks.enqueuer roles/cloudtasks.queueAdmin roles/cloudtasks.taskDeleter Cloud TPU tpu.admin Cloud Trace roles/cloudtrace.admin roles/cloudtrace.agent Compute Engine roles/compute.imageUser roles/compute.osLoginExternalUser roles/osconfig.guestPolicyAdmin roles/osconfig.guestPolicyEditor roles/osconfig.osPolicyAssignmentAdmin roles/osconfig.osPolicyAssignmentEditor roles/osconfig.patchDeploymentAdmin Verarbeitung von Kundennutzungsdaten roles/dataprocessing.admin Dataflow roles/dataflow.admin roles/dataflow.developer Managed Service for Apache Spark roles/dataproc.admin roles/dataproc.editor Dataproc Metastore roles/metastore.admin roles/metastore.editor Datastore roles/datastore.importExportAdmin roles/datastore.indexAdmin roles/datastore.owner roles/datastore.user Eventarc roles/eventarc.admin roles/eventarc.developer roles/eventarc.eventReceiver Filestore roles/file.editor Firebase roles/firebase.admin roles/firebase.analyticsAdmin roles/firebase.developAdmin roles/firebase.growthAdmin roles/firebase.qualityAdmin roles/firebaseabt.admin roles/firebaseappcheck.admin roles/firebaseappdistro.admin roles/firebaseauth.admin roles/firebasecrash.symbolMappingsAdmin roles/firebasecrashlytics.admin roles/firebasedatabase.admin roles/firebasedynamiclinks.admin roles/firebasehosting.admin roles/firebaseinappmessaging.admin roles/firebaseml.admin roles/firebasenotifications.admin roles/firebaseperformance.admin roles/firebasepredictions.admin roles/firebaserules.admin roles/firebasestorage.admin roles/cloudconfig.admin roles/cloudtestservice.testAdmin Google Cloud VMware Engine vmwareengine.vmwareengineAdmin Google Kubernetes Engine roles/container.admin roles/container.clusterAdmin roles/container.developer Google Kubernetes Engine Hub roles/gkehub.admin roles/gkehub.gatewayAdmin roles/gkehub.connect Google Security Operations Service Management roles/chroniclesm.admin Google Workspace roles/gsuiteaddons.developer Identity-Aware Proxy roles/iap.admin roles/iap.settingsAdmin Identity Platform roles/identityplatform.admin Identity Toolkit roles/identitytoolkit.admin Managed Service for Microsoft Active Directory roles/managedidentities.admin roles/managedidentities.domainAdmin roles/managedidentities.viewer Memorystore for Redis roles/redis.admin roles/redis.editor OAuthConfig roles/oauthconfig.editor On-Demand Scanning API roles/ondemandscanning.admin Ops-Config-Monitoring roles/opsconfigmonitoring.resourceMetadata.writer Organisationsrichtliniendienst roles/axt.admin roles/orgpolicy.policyAdmin Proximity-Beacon roles/proximitybeacon.attachmentEditor roles/proximitybeacon.beaconEditor Pub/Sub roles/pubsub.admin roles/pubsub.editor Pub/Sub Lite roles/pubsublite.admin roles/pubsublite.editor roles/pubsublite.publisher reCAPTCHA roles/recaptchaenterprise.admin roles/recaptchaenterprise.agent Empfehlungen roles/automlrecommendations.admin roles/automlrecommendations.editor Recommender roles/recommender.billingAccountCudAdmin roles/recommender.cloudAssetInsightsAdmin roles/recommender.cloudsqlAdmin roles/recommender.computeAdmin roles/recommender.firewallAdmin roles/recommender.iamAdmin roles/recommender.productSuggestionAdmin roles/recommender.projectCudAdmin Resource Manager roles/resourcemanager.folderAdmin roles/resourcemanager.folderCreator roles/resourcemanager.folderEditor roles/resourcemanager.folderIamAdmin roles/resourcemanager.folderMover roles/resourcemanager.lienModifier roles/resourcemanager.organizationAdmin roles/resourcemanager.projectCreator roles/resourcemanager.projectDeleter roles/resourcemanager.projectIamAdmin roles/resourcemanager.projectMover roles/resourcemanager.tagAdmin Ressourceneinstellungen roles/resourcesettings.admin AI Commerce Search API roles/retail.admin roles/retail.editor Serverloser VPC-Zugriff roles/vpcaccess.admin Dienstnutzerverwaltung roles/serviceconsumermanagement.tenancyUnitsAdmin Spanner roles/spanner.admin roles/spanner.backupAdmin roles/spanner.backupWriter roles/spanner.databaseAdmin roles/spanner.restoreAdmin roles/spanner.databaseReader roles/spanner.databaseUser Storage Transfer Service roles/storagetransfer.admin roles/storagetransfer.user Gemini Enterprise Agent Platform roles/aiplatform.admin roles/aiplatform.featurestoreAdmin roles/aiplatform.migrator roles/aiplatform.user Vertex AI Workbench: Nutzerverwaltete Notebooks roles/notebooks.admin roles/notebooks.legacyAdmin Workflows roles/workflows.admin roles/workflows.editor

Sensible IAM-Rollen und ‑Berechtigungen für KI

Bei Event Threat Detection-Ergebnissen im Zusammenhang mit KI-Bedrohungen werden sensible Rollen anders definiert als sensible Rollen für nicht KI-bezogene Bedrohungen.

• Zu den Rollen mit hoher Sensitivität für KI-Ergebnisse gehören die folgenden einfachen, einfachen Legacy- und vordefinierten Rollen:

  • roles/admin
  • roles/writer
  • roles/owner
  • roles/editor
  • roles/resourcemanager.organizationAdmin
  • roles/iam.securityAdmin

• Rollen mit mittlerer Sensitivität für KI-Ergebnisse umfassen alle Administrator-, Bearbeiter-, Inhaber- und Dienst-Agent-Rollen für alle Google Cloud -Dienste. Die folgenden Rollen gelten ebenfalls als Rollen mit mittlerer Sensitivität:

  • roles/cloudkms.cryptoKeyDecrypter
  • roles/compute.osAdminLogin
  • roles/compute.osLogin
  • roles/iam.serviceAccountTokenCreator
  • roles/iam.serviceAccountUser
  • roles/logging.configWriter
  • roles/logging.privateLogViewer
  • roles/secretmanager.secretAccessor

• Zu den Rollen mit geringer Sensitivität für KI-Ergebnisse gehören:

  • roles/cloudfunctions.developer
  • roles/run.developer
  • roles/appengine.deployer
  • roles/iam.workloadIdentityUser
  • roles/iam.serviceAccountOpenIdTokenCreator
  • roles/artifactregistry.createOnPushWriter

Zu den sensiblen KI-Berechtigungen gehören Berechtigungen, die das Erstellen, Aktualisieren, Löschen oder Exportieren von KI-Modellen und -Daten, das Verwalten der Zugriffssteuerung für KI-Dienste (z. B. setIamPolicy) und das Nutzen von KI-Funktionen wie das Erstellen von Vorhersagen ermöglichen. Dazu gehören auch Berechtigungen zum Verwalten sensibler Anmeldedaten, z. B. Storage-HMAC-Schlüssel, die häufig in Verbindung mit KI-Arbeitslasten verwendet werden.

Logtypen und Aktivierungsanforderungen

In diesem Abschnitt werden die Logs aufgeführt, die Event Threat Detection verwendet, sowie die Bedrohungen, nach denen Event Threat Detection in den einzelnen Logs sucht, und was Sie gegebenenfalls tun müssen, um die einzelnen Logs zu aktivieren.

Sie müssen ein Log für Event Threat Detection nur aktivieren, wenn alle der folgenden Bedingungen erfüllt sind:

• Sie verwenden das Produkt oder den Dienst, der in das Log schreibt.
• Sie müssen das Produkt oder den Dienst vor den Bedrohungen schützen, die Event Threat Detection im Log erkennt.
• Das Log ist ein Audit-Log für den Datenzugriff oder ein anderes Log, das standardmäßig deaktiviert ist.

Bestimmte Bedrohungen können in mehreren Logs erkannt werden. Wenn Event Threat Detection eine Bedrohung in einem bereits aktivierten Log erkennen kann, müssen Sie kein weiteres Log aktivieren, um dieselbe Bedrohung zu erkennen.

Wenn ein Log nicht in diesem Abschnitt aufgeführt ist, wird es von Event Threat Detection nicht gescannt, auch wenn es aktiviert ist. Weitere Informationen finden Sie unter Potenziell redundante Logscans.

Wie in der folgenden Tabelle beschrieben, sind einige Logtypen nur auf Organisationsebene verfügbar. Wenn Sie Security Command Center auf Projektebene aktivieren, werden diese Logs von Event Threat Detection nicht gescannt und es werden keine Ergebnisse generiert.

Tipp: Verwenden Sie das Logbereichstool von Google Cloud, um herauszufinden, welche Logs Sie exportieren und analysieren sollten, um Ihre Sicherheits- und Compliance-Anforderungen zu erfüllen.

Grundlegende Logquellen

Event Threat Detection verwendet grundlegende Datenquellen, um potenziell schädliche Aktivitäten in Ihrem Netzwerk zu erkennen.

• Wenn Sie Event Threat Detection ohne VPC-Flusslogs aktivieren, beginnt Event Threat Detection sofort mit der Analyse eines unabhängigen, duplizierten und internen Streams von VPC-Flusslogs. Wenn Sie ein vorhandenes Event Threat Detection-Ergebnis genauer untersuchen möchten, müssen Sie VPC-Flusslogs aktivieren und manuell zum Log-Explorer und Flow Analyzer wechseln. Wenn Sie VPC-Flusslogs zu einem späteren Zeitpunkt aktivieren, enthalten nur zukünftige Ergebnisse die relevanten Links für weitere Untersuchungen.

• Wenn Sie Event Threat Detection mit VPC-Flusslogs aktivieren, beginnt Event Threat Detection sofort mit der Analyse der VPC-Flusslogs in Ihrer Bereitstellung und stellt Links zum Log-Explorer und Flow Analyzer bereit, damit Sie weitere Untersuchungen durchführen können.

Logs für die Netzwerkerkennung von Malware

Event Threat Detection kann Malware im Netzwerk erkennen, indem eines der folgenden Logs gescannt wird:

• Cloud DNS-Logging
• Cloud NAT-Logging
• Firewallregel-Logging
• VPC-Flusslogs

Sie müssen nicht mehr als eine der folgenden Optionen aktivieren: Cloud NAT-Logging, Firewallregel-Logging oder VPC-Flusslogs.

Wenn Sie bereits Cloud DNS-Logging verwenden, kann Event Threat Detection Malware mithilfe der Domainauflösung erkennen. Für die meisten Nutzer sind die Cloud DNS-Logs für die Netzwerkerkennung von Malware ausreichend.

Wenn Sie über die Domainauflösung hinaus eine weitere Ebene der Sichtbarkeit benötigen, können Sie VPC-Flusslogs aktivieren. Dabei können jedoch Kosten anfallen. Zur Verwaltung dieser Kosten empfehlen wir, das Aggregationsintervall auf 15 Minuten zu erhöhen und die Abtastrate auf 5% bis 10 % zu reduzieren, allerdings ist dies ein Kompromiss zwischen Recall (höhere Abtastrate) und Kostenmanagement (niedrigere Abtastrate). Weitere Informationen finden Sie unter Stichprobenerhebung und Verarbeitung von Logs.

Wenn Sie bereits das Firewallregel-Logging oder Cloud NAT-Logging verwenden, können Sie diese Logs anstelle von VPC-Flusslogs verwenden.

Unterstützte Logdaten und erkannte Bedrohungen

In diesem Abschnitt sind die Cloud Logging- und Google Workspace-Logs aufgeführt, die Sie aktivieren oder anderweitig konfigurieren können, um die Anzahl der Bedrohungen zu erhöhen, die Event Threat Detection erkennen kann.

Bestimmte Bedrohungen, z. B. Bedrohungen durch die anomale Identitätsübernahme oder Delegierung eines Dienstkontos, finden sich in den meisten Audit-Logs. Für diese Arten von Bedrohungen bestimmen Sie anhand der von Ihnen verwendeten Produkte und Dienste, welche Logs Sie aktivieren müssen.

Logging-Kosten: Bevor Sie ein Log für Event Threat Detection aktivieren, sollten Sie sich darüber informieren, wie Cloud Logging die Logdaten in Rechnung stellt. Beobachten Sie das Log nach dem Aktivieren einige Tage lang, um sicherzustellen, dass keine unerwarteten Logging-Kosten anfallen.

Obwohl das Scannen von Logs durch Event Threat Detection keine zusätzlichen Kosten verursacht, kann Cloud Logging Ihnen je nach der Menge der Logdaten, die Ihre Organisationen und Projekte generieren, Kosten für die Aufnahme und Speicherung der Logdaten in Rechnung stellen.

Informationen zu den Logging-Gebühren finden Sie unter Cloud Logging – Preise.

In der folgenden Tabelle sind bestimmte Logs aufgeführt, die Sie aktivieren können, sowie die Art der Bedrohungen, die erkannt werden können.

Log type	Threats detected	Configuration required
AlloyDB for PostgreSQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Initial Access: CloudDB Successful login from Anonymizing Proxy IP Privilege Escalation: AlloyDB Database Superuser Writes to User Tables Privilege Escalation: AlloyDB Over-Privileged Grant	Activate Logging Data Access audit logs for AlloyDB for PostgreSQL To detect the Privilege Escalation: AlloyDB Database Superuser Writes to User Tables and Privilege Escalation: AlloyDB Over-Privileged Grant threats, you must also enable the pgAudit extension
authlogs/authlog on virtual machines	Brute force SSH	Install the Ops Agent or the legacy Logging agent on your VM hosts
Cloud DNS logging	Log4j Malware: Bad Domain Malware: bad domain Malware: Cryptomining Bad Domain	Turn on Cloud DNS logging See also Logs for network detection of malware.
Cloud SQL MySQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket Initial Access: CloudDB Successful login from Anonymizing Proxy IP	Activate Logging Data Access audit logs for Cloud SQL for MySQL
Cloud NAT logging	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on Cloud NAT logging See also Logs for network detection of malware.
Cloud SQL PostgreSQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket Exfiltration: Cloud SQL Over-Privileged Grant Initial Access: CloudDB Successful login from Anonymizing Proxy IP	Activate Logging Data Access audit logs for Cloud SQL for PostgreSQL. To detect the Exfiltration: Cloud SQL Over-Privileged Grant threat, you must also enable the pgAudit extension
External Application Load Balancer backend service logs	Initial Access: Log4j Compromise Attempt	Turn on external Application Load Balancer logging
Firewall Rules Logging	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on Firewall Rules Logging See also Logs for network detection of malware.
Generic Data Access audit logs	Initial Access: Leaked Service Account Key Used Privilege Escalation: Anomalous Multistep Service Account Delegation for AI Data Access Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Privilege Escalation: Anomalous Service Account Impersonator for AI Data Access Privilege Escalation: Anomalous Service Account Impersonator for Data Access	Activate Logging Data Access audit logs.
Google Kubernetes Engine (GKE) Data Access audit logs	Discovery: Can get sensitive Kubernetes object check Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials	Activate Logging Data Access audit logs for GKE
Google Workspace Admin Audit logs	Persistence: SSO Enablement Toggle Persistence: SSO Settings Changed Persistence: Strong Authentication Disabled Persistence: Two Step Verification Disabled Privilege Escalation: Privileged Group Opened To Public	Share Google Workspace Admin Audit logs with Cloud Logging This log type can't be scanned in project-level activations.
Google Workspace Login Audit logs	Credential Access: External Member Added To Privileged Group Initial Access: Account Disabled Hijacked Initial Access: Disabled Password Leak Initial Access: Government Based Attack Initial Access: Suspicious Login Blocked Persistence: Two Step Verification Disabled	Share Google Workspace Login Audit logs with Cloud Logging This log type can't be scanned in project-level activations.
IAM Data Access audit logs	Discovery: AI Agent Service Account Self-Investigation Discovery: Service Account Self-Investigation Privilege Escalation: AI Agent Cross-Project Access Token Generation Privilege Escalation: AI Agent Cross-Project OpenID Token Generation Privilege Escalation: AI Agent Token Generation Using Implicit Delegation Privilege Escalation: AI Agent Token Generation Using signJwt	Activate Logging Data Access audit logs for Resource Manager
SQL Server Data Access audit logs	Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket	Activate Logging Data Access audit logs for Cloud SQL for SQL Server
VPC Flow Logs	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on VPC Flow Logs See also Logs for network detection of malware.

Immer aktivierte Logs

In der folgenden Tabelle sind die Cloud Logging-Logs aufgeführt, die Sie nicht aktivieren oder konfigurieren müssen. Diese Logs sind immer aktiviert und Event Threat Detection scannt sie automatisch.

Logtyp	Erkannte Bedrohungen	Konfiguration erforderlich
Agent Engine-Logs	Zugriff auf Anmeldedaten: KI-Agent: anomaler Zugriff auf Metadatendienst (Vorabversion) Discovery: Hinweise auf Scannen von Ports durch KI-Agenten (Vorschau)	Keine
Audit-Logs für Administratoraktivitäten für Sicherung und Notfallwiederherstellung	Auswirkung: Google Cloud Backup und DR lassen alle Images ablaufen Auswirkung: Google Cloud Backup und DR gelöscht Auswirkung: Google Cloud Backup und DR-Host gelöscht Auswirkung: Verknüpfung des Google Cloud Backup und DR-Plans gelöscht Auswirkung: Google Cloud Backup- und DR-Vault gelöscht Auswirkungen: Google Cloud Backup und DR-Richtlinie zum Löschen Auswirkung: Google Cloud Backup und DR – Profil löschen Auswirkung: Google Cloud Backup und DR – Vorlage löschen Auswirkung: Google Cloud Backup und DR – Image ablaufen lassen Auswirkung: Google Cloud Backup und DR verkürzen den Ablauf von Sicherungen Auswirkung: Google Cloud Backup und DR reduzieren die Häufigkeit von Sicherungen Auswirkungen: Google Cloud Backup und DR, Appliance entfernen Auswirkung: Google Cloud Backup und DR, Plan entfernen Systemwiederherstellung verhindern: Google Cloud Backup und DR – Speicherpool löschen	Keine
BigQueryAuditMetadata-Datenzugriffslogs	Exfiltration: KI-Agent: BigQuery-Datenextraktion initiiert Exfiltration: KI-Agent: BigQuery-Daten-Exfiltration in externe Tabelle initiiert Exfiltration: KI-Agent: BigQuery-VPC-Perimeterverstoß initiiert Exfiltration: BigQuery-Daten-Exfiltration Exfiltration: BigQuery-Datenextraktion Exfiltration: BigQuery-Daten in Google Drive Exfiltration: In öffentliche BigQuery-Ressource verschieben (Vorschau)	Keine
Allgemeine Audit-Logs zur Administratoraktivität	Umgehung von Abwehrmaßnahmen: Filterung der IP-Adressen von GCS-Buckets geändert Umgehung von Abwehrmaßnahmen: HTTP-Richtlinienblockierung des Projekts deaktiviert Umgehung von Abwehrmaßnahmen: Rolle „TokenCreator“ auf Ordnerebene hinzugefügt Umgehung von Abwehrmaßnahmen: Rolle „TokenCreator“ auf Ordnerebene für KI-Agenten gewährt Umgehung von Abwehrmaßnahmen: TokenCreatorRole auf Organisationsebene hinzugefügt Umgehung von Abwehrmaßnahmen: Rolle „TokenCreator“ auf Organisationsebene für KI-Agenten gewährt Umgehung von Sicherheitsvorkehrungen: TokenCreatorRole auf Projektebene hinzugefügt Umgehung von Abwehrmaßnahmen: Rolle „TokenCreator“ auf Projektebene für KI-Agenten gewährt Erkennung: KI-Agent – nicht autorisierter API-Aufruf des Dienstkontos Anfänglicher Zugriff: Häufung von „Berechtigung verweigert“-Aktionen der KI-Agentenidentität Anfänglicher Zugriff: Aktion über inaktives Dienstkonto Erstzugriff: Inaktives Dienstkonto im KI-Dienst aktiv Erstzugriff: Inaktiver Dienstkontoschlüssel erstellt Erstzugriff: Abgelehnte Aktionen aufgrund übermäßiger Berechtigungen Erstzugriff: Gehackter Dienstkontoschlüssel verwendet Lateral Movement: Geändertes Bootlaufwerk an Instanz angehängt (Vorabversion) Persistenz: GCE-Administrator hat SSH-Schlüssel hinzugefügt Persistenz: GCE-Administrator hat Startskript hinzugefügt Persistenz: Neue KI-API-Methode Persistenz: Neue API-Methode Persistenz: Neue Region Persistenz: Neue geografische Region für KI-Dienst Persistenz: Neuer User-Agent Persistenz: Sensible KI-Berechtigung zu benutzerdefinierter Rolle hinzugefügt Persistenz: Sensible Rolle für externen KI-Agenten gewährt Persistenz: Vom KI-Agenten gewährte sensible Rolle Rechteausweitung: Anomale Dienstkonto-Identitätsübernahme für Administratoraktivitäten Rechteausweitung: Anomale Identitätsübernahme des Dienstkontos bei KI-Administratoraktivität Rechteausweitung: Anomale mehrstufige Dienstkontodelegierung für Administratoraktivitäten Rechteausweitung: Anomale mehrstufige Dienstkontodelegierung bei KI-Administratoraktivität Rechteausweitung: Anomale Identitätsübernahme des Dienstkontos bei Administratoraktivität Rechteausweitung: Anomale Identitätsübernahme des Dienstkontos bei KI-Administratoraktivität	Keine
Audit-Logs zu Administratoraktivitäten in der Google Kubernetes Engine (GKE)	Zugriff auf Anmeldedaten: Kubernetes-Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) konnte nicht genehmigt werden Zugriff auf Anmeldedaten: Manuell genehmigte Kubernetes-Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) (Vorschau) Umgehung von Abwehrmaßnahmen: Anonymen Sitzungen wurde Cluster-Adminzugriff gewährt Defense Evasion: Manuell gelöschte Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) Umgehung von Sicherheitsvorkehrungen: Mögliches Kubernetes-Pod-Masquerading Umgehung von Sicherheitsvorkehrungen: Statischer Pod erstellt Ausführung: GKE startet einen übermäßig leistungsfähigen Container (Vorschau) Execution: Kubernetes Pod Created with Potential Reverse Shell Arguments Ausführung: Verdächtiges Ausführen oder Anhängen an einen System-Pod (Vorabversion) Ausführung: Arbeitslast in sensiblem Namespace ausgelöst Auswirkung: GKE-kube-dns-Änderung erkannt (Vorschau) Auswirkung: Verdächtige Kubernetes-Containernamen – Mining von Kryptowährungen Anfänglicher Zugriff: Anonyme GKE-Ressource, die über das Internet erstellt wurde (Vorschau) Anfänglicher Zugriff: GKE-NodePort-Dienst erstellt Anfänglicher Zugriff: GKE-Ressource, die anonym über das Internet geändert wurde (Vorschau) Erstzugriff: Erfolgreicher API-Aufruf über eine TOR-Proxy-IP-Adresse Persistenz: GKE-Webhook-Konfiguration erkannt Persistenz: Dienstkonto in sensiblem Namespace erstellt Rechteausweitung: Änderungen an vertraulichen Kubernetes-RBAC-Objekten Rechteausweitung: ClusterRole mit privilegierten Verben (Vorschau) Rechteausweitung: ClusterRoleBinding für privilegierte Rolle Rechteausweitung: Erstellen einer Kubernetes-CSR für Masterzertifikat Rechteausweitung: Erstellen vertraulicher Kubernetes-Bindungen Rechteausweitung: Effektiv anonymen Nutzern wird GKE-Clusterzugriff gewährt Rechteausweitung: Start eines privilegierten Kubernetes-Containers Rechteausweitung: Verdächtige Kubernetes-Containernamen – Ausnutzung und Escape (Vorschau) Rechteausweitung: Arbeitslast mit sensibler Hostpfadbereitstellung erstellt (Vorschau) Rechteausweitung: Arbeitslast mit aktiviertem „shareProcessNamespace“ (Vorschau)	Keine
IAM-Audit-Logs zur Administratoraktivität	Persistenz: IAM Anomalous Grant (Vorschau) Persistenz: Nicht verwaltetem Konto wurde sensible Rolle gewährt Rechteausweitung: SetIAMPolicy für Compute Engine-Standarddienstkonto Rechteausweitung: Inaktivem Dienstkonto wurde vertrauliche Rolle gewährt Rechteausweitung: Rolle „Impersonation“ für inaktives Dienstkonto gewährt Rechteausweitung: Sensible Rolle der Hybridgruppe gewährt	Keine
IAM-Audit-Logs zu Systemereignissen	Ausführung: Docker-Image für Cryptomining Auswirkungen: Cryptomining-Befehle	Keine
MySQL-Administratoraktivitätslogs	Exfiltration: Wiederherstellung von Cloud SQL-Sicherung in externer Organisation	Keine
PostgreSQL-Administratoraktivitätslogs	Exfiltration: Wiederherstellung von Cloud SQL-Sicherung in externer Organisation	Keine
SQL Server-Administratoraktivitätslogs	Exfiltration: Wiederherstellung von Cloud SQL-Sicherung in externer Organisation	Keine
Audit-Logs für VPC Service Controls	Defense Evasion: VPC Service Control modifizieren (Vorabversion)	Keine

Nächste Schritte

• Event Threat Detection verwenden
• Bedrohungen untersuchen und Reaktionspläne entwickeln