Panoramica di Event Threat Detection

Livelli di servizio Premium ed Enterprise (deprecati)

Il livello di servizio Security Command Center Enterprise verrà chiuso il 21 maggio 2027. Se la tua organizzazione utilizza il livello di servizio Enterprise, verrà eseguito automaticamente il passaggio al livello di servizio Premium a partire dal 21 maggio 2027. Contatta il tuo rappresentante dell'account o uno Google Cloud specialista delle vendite se hai domande.

Che cos'è Event Threat Detection?

Event Threat Detection è un servizio integrato per il livello Security Command Center Premium che monitora continuamente la tua organizzazione o i tuoi progetti e identifica le minacce all'interno dei tuoi sistemi quasi in tempo reale. Event Threat Detection viene aggiornato regolarmente con nuovi rilevatori per identificare le minacce emergenti su scala cloud.

Come funziona Event Threat Detection

Event Threat Detection monitora lo stream Cloud Logging per la tua organizzazione o i tuoi progetti. Se attivi il livello Security Command Center Premium a livello di organizzazione, Event Threat Detection utilizza i log dei tuoi progetti man mano che vengono creati e può monitorare i log di Google Workspace. Cloud Logging contiene voci di log di chiamate API e altre azioni che creano, leggono o modificano la configurazione o i metadati delle tue risorse. I log di Google Workspace monitorano gli accessi degli utenti al tuo dominio e forniscono un record delle azioni eseguite nella Console di amministrazione Google Workspace.

Le voci di log contengono informazioni su stato ed eventi che Event Threat Detection utilizza per rilevare rapidamente le minacce. Event Threat Detection applica la logica di rilevamento e metodi di intelligence sulle minacce proprietari, come l'identificazione di indicatori di compromissione (IoC), la profilazione su una finestra temporale scorrevole, il machine learning e il rilevamento di anomalie, per identificare le minacce quasi in tempo reale.

Quando Event Threat Detection rileva una minaccia, scrive un risultato in Security Command Center. Se attivi il livello Security Command Center Premium a livello di organizzazione, Security Command Center può scrivere i risultati in un progetto Cloud Logging. Da Cloud Logging e dalla registrazione di Google Workspace, puoi esportare i risultati in altri sistemi con Pub/Sub ed elaborarli con Cloud Run Functions.

Se attivi il livello Security Command Center Premium a livello di organizzazione, puoi utilizzare anche Google Security Operations per esaminare alcuni risultati. Google SecOps è un Google Cloud servizio che ti consente di esaminare le minacce e spostarti tra le entità correlate in una cronologia unificata. Per istruzioni sull'invio dei risultati a Google SecOps, vedi Indagare sui risultati in Google SecOps.

La tua capacità di visualizzare e modificare risultati e log è determinata dai ruoli Identity and Access Management (IAM) che ti vengono concessi. Per saperne di più sui ruoli IAM di Security Command Center, consulta Controllo dell'accesso.

Arricchimento dei dati sensibili

Event Threat Detection è integrato con Sensitive Data Protection per arricchire i risultati delle risorse sensibili. Se hai attivato le analisi di rilevamento di Sensitive Data Protection e le hai configurate per inviare i risultati a Security Command Center, Event Threat Detection può utilizzare i metadati di sensibilità delle tue risorse BigQuery e Cloud Storage per modificare i risultati:

• Modifiche alla categoria: se una risorsa viene identificata da Sensitive Data Protection come avente sensibilità alta o moderata, la categoria del risultato viene aggiornata a una categoria specifica che indica che la risorsa è sensibile. Ad esempio, se una chiave del account di servizio compromessa viene utilizzata per accedere a un bucket sensibile, la categoria del risultato cambia da Initial Access: Leaked Service Account Key Used a Initial Access: Leaked Service Account Key Affecting Sensitive Data.
• Aumento della gravità: se la gravità predefinita del risultato è inferiore a Alta (ovvero Bassa o Media), la gravità viene aumentata di un livello (ad esempio, da Media ad Alta).

Per un elenco delle regole che supportano l'arricchimento dei dati sensibili, consulta Regole predefinite di Event Threat Detection.

Regole di Event Threat Detection

Le regole definiscono il tipo di minacce rilevate da Event Threat Detection e i tipi di log che devono essere abilitati per il funzionamento dei rilevatori. Gli audit log relativi all'attività di amministrazione vengono sempre scritti; non puoi configurarli o disabilitarli.

Event Threat Detection include le seguenti regole predefinite:

Scansione attiva Forza bruta Comando e controllo Accesso alle credenziali distruzione dei dati Evasione della difesa Denial of Service Discovery Esfiltrazione Impatto compromissione delle difese blocco del recupero del sistema Accesso iniziale Movimento laterale Malware Persistenza Escalation dei privilegi sviluppo delle risorse Cancella tutto

Nome visualizzato	Nome API	Tipi di sorgenti log	Descrizione	Arricchimento dei dati sensibili
Scansione attiva: Log4j vulnerabile a RCE	Non disponibile	Log di Cloud DNS	Gli scanner di vulnerabilità Log4j hanno avviato e identificato query DNS per domini non offuscati. Questa vulnerabilità può portare all'esecuzione di codice da remoto (RCE). Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Impatto: host di Backup e RE di Google Cloud eliminato	BACKUP_HOSTS_DELETE_HOST	Audit log di Cloud: Audit log dell'attività di amministrazione del servizio di backup e DR	Un host è stato eliminato dalla console di gestione di Backup e RE. Le applicazioni associate all'host eliminato potrebbero non essere protette. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Impatto: l'immagine di Google Cloud Backup e RE scade	BACKUP_EXPIRE_IMAGE	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	Un utente ha richiesto l'eliminazione di un'immagine di backup dalla console di gestione di Backup e RE. L'eliminazione di un'immagine di backup non impedisce i backup futuri. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Impatto: rimozione del piano di backup e RE di Google Cloud	BACKUP_REMOVE_PLAN	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	Un piano di backup con più criteri per un'applicazione è stato eliminato da Backup e DR. L'eliminazione di un piano di backup può impedire i backup futuri. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Impatto: il servizio di Backup e RE di Google Cloud fa scadere tutte le immagini	BACKUP_EXPIRE_IMAGES_ALL	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	Un utente ha richiesto l'eliminazione di tutte le immagini di backup per un'applicazione protetta dalla console di gestione di Backup eRER. L'eliminazione delle immagini di backup non impedisce i backup futuri. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Impatto: modello di eliminazione di backup e RE di Google Cloud	BACKUP_TEMPLATES_DELETE_TEMPLATE	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	Un modello di backup predefinito, utilizzato per configurare i backup per più applicazioni, è stato eliminato dalla console di gestione di Backup eRER. La possibilità di configurare i backup in futuro potrebbe essere interessata. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Impatto: policy di eliminazione di Backup e RE di Google Cloud	BACKUP_TEMPLATES_DELETE_POLICY	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	Una policy di backup e RE, che definisce come viene eseguito un backup e dove viene archiviato, è stata eliminata dalla console di gestione di backup e RE. I backup futuri che utilizzano la policy potrebbero non riuscire. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Impatto: eliminazione del profilo di backup e RE di Google Cloud	BACKUP_PROFILES_DELETE_PROFILE	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	Un profilo Backup e RE, che definisce quali pool di archiviazione devono essere utilizzati per archiviare i backup, è stato eliminato dalla console di gestione di Backup eRER. I backup futuri che utilizzano il profilo potrebbero non riuscire. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Impatto: rimozione dell'appliance di backup e RE di Google Cloud	BACKUP_APPLIANCES_REMOVE_APPLIANCE	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	Un'appliance di backup è stata eliminata dalla console di gestione di Backup e RE. Le applicazioni associate all'appliance di backup eliminata potrebbero non essere protette. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Impatto: Google Cloud Backup e RE elimina il pool di archiviazione	BACKUP_STORAGE_POOLS_DELETE	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	Un pool di archiviazione, che associa un bucket Cloud Storage a Backup e RE, è stato rimosso dalla console di gestione di Backup e RE. I backup futuri in questa destinazione di archiviazione non riusciranno. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Impatto: il servizio di backup e RE di Google Cloud ha ridotto la scadenza del backup	BACKUP_REDUCE_BACKUP_EXPIRATION	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	La data di scadenza di un backup protetto da Backup e RE è stata ridotta tramite la console di gestione di Backup eRER. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Impatto: Backup e RE di Google Cloud ha ridotto la frequenza di backup	BACKUP_REDUCE_BACKUP_FREQUENCY	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	La pianificazione dei backup di Backup e RE è stata modificata per ridurre la frequenza dei backup tramite la console di gestione di Backup e RE. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Impatto: eliminazione del vault di backup e DR di Google Cloud	BACKUP_DELETE_VAULT	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	È stato eliminato un vault di backup. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Impatto: backup di Google Cloud Backup e DR eliminato	BACKUP_DELETE_VAULT_BACKUP	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	Un backup archiviato in un vault di backup è stato eliminato manualmente. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Impatto: associazione del piano di Backup e RE di Google Cloud eliminata	BACKUP_DELETE_BACKUP_PLAN_ASSOCIATION	Cloud Audit Logs: Audit log dell'attività di amministrazione di Backup e DR	Un piano di backup di Backup e RE è stato rimosso da un carico di lavoro. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Forza bruta SSH	BRUTE_FORCE_SSH	authlog	Un attore ha ottenuto l'accesso SSH a un host tramite tecniche di attacco di forza bruta. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Cloud IDS: THREAT_IDENTIFIER	CLOUD_IDS_THREAT_ACTIVITY	Log di Cloud IDS	Cloud IDS ha rilevato eventi di minaccia. Cloud IDS rileva gli attacchi di livello 7 analizzando i pacchetti mirror e, quando viene rilevato un evento di minaccia, invia un risultato di classe di minaccia a Security Command Center. I nomi delle categorie dei risultati iniziano con "Cloud IDS" seguito dall'identificatore della minaccia Cloud IDS. L'integrazione di Cloud IDS con Event Threat Detection non include i rilevamenti delle vulnerabilità di Cloud IDS. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Per saperne di più sui rilevamenti di Cloud IDS, consulta Informazioni sul logging di Cloud IDS.	—
Elevazione dei privilegi: membro esterno aggiunto al gruppo con privilegi	EXTERNAL_MEMBER_ADDED_TO_PRIVILEGED_GROUP	Log di Google Workspace: Audit dei login Autorizzazioni: DATA_READ	Un membro esterno è stato aggiunto a un gruppo Google con privilegi (un gruppo a cui sono stati concessi ruoli o autorizzazioni sensibili). Un risultato viene generato solo se il gruppo non contiene già altri membri esterni della stessa organizzazione del membro appena aggiunto. Per saperne di più, vedi Modifiche non sicure a Google Gruppi. Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati vengono classificati come gravità Alta o Media, a seconda della sensibilità dei ruoli associati alla modifica del gruppo. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.	—
Escalation dei privilegi: gruppo con privilegi aperto al pubblico	PRIVILEGED_GROUP_OPENED_TO_PUBLIC	Google Workspace: Audit amministratore Autorizzazioni: DATA_READ	Un gruppo Google con privilegi (un gruppo a cui sono stati concessi ruoli o autorizzazioni sensibili) è stato modificato in modo da essere accessibile al pubblico. Per saperne di più, vedi Modifiche non sicure a Google Gruppi. Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati vengono classificati come gravità alta o media, a seconda della sensibilità dei ruoli associati alla modifica del gruppo. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.	—
Escalation dei privilegi: ruolo sensibile concesso al gruppo ibrido	SENSITIVE_ROLE_TO_GROUP_WITH_EXTERNAL_MEMBER	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Sono stati concessi ruoli sensibili a un gruppo Google con membri esterni. Per saperne di più, vedi Modifiche non sicure a Google Gruppi. I risultati sono classificati come gravità Alta o Media, a seconda della sensibilità dei ruoli associati alla modifica del gruppo. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.	—
Evasione della difesa: deployment di emergenza del workload creato (anteprima)	BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_CREATE	Cloud Audit Logs: Log attività di amministrazione	I workload sono stati sottoposti a deployment utilizzando il flag di deployment di emergenza per eseguire l'override dei controlli di Autorizzazione binaria. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Evasione della difesa: deployment di emergenza del workload aggiornato (anteprima)	BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_UPDATE	Cloud Audit Logs: Log attività di amministrazione	I workload sono stati aggiornati utilizzando il flag di deployment di emergenza per eseguire l'override dei controlli di Autorizzazione binaria. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Rilevamento: prova di scansione delle porte dall'agente AI (anteprima)	AGENT_ENGINE_PORT_SCANNING_EVIDENCE	Log del motore agente: Log del motore agente	Un agente AI ha mostrato un comportamento di scansione delle porte orizzontale o verticale. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Rilevamento: chiamata non autorizzata all'API del service account dell'agente AI (anteprima)	AGENT_ENGINE_UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL	Cloud Audit Logs: Log di controllo dell'attività di amministrazione	Un account di servizio ha effettuato una chiamata API non autorizzata a un progetto esterno tramite un agente AI. Questo comportamento può indicare che un utente non autorizzato sta tentando di ottenere dettagli sulle risorse, attivare o disattivare i servizi o eseguire altre azioni non autorizzate tramite un agente AI. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	Categoria: Discovery: AI Agent Unauthorized Service Account API Call Affecting Sensitive Data Gravità: da bassa a media
Evasione della difesa: filtro IP del bucket GCS modificato	GCS_BUCKET_IP_FILTERING_MODIFIED	Cloud Audit Logs: Log attività di amministrazione	Un utente o un account di servizio ha modificato la configurazione del filtro IP per un bucket Cloud Storage. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Defense Evasion: Modify VPC Service Control	DEFENSE_EVASION_MODIFY_VPC_SERVICE_CONTROL	Cloud Audit Logs Audit log dei Controlli di servizio VPC	È stato modificato un perimetro dei Controlli di servizio VPC esistente che comporterebbe una riduzione della protezione offerta da questo perimetro. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Evasione della difesa: blocco di policy HTTP del progetto disabilitato	PROJECT_HTTP_POLICY_BLOCK_DISABLED	Cloud Audit Logs: Log attività di amministrazione	Un utente o un account di servizio ha attivato correttamente un'azione per disattivare storage.secureHttpTransport in un progetto. Ciò vale anche quando l'azione viene eseguita a livello di organizzazione o cartella, poiché le policy applicate a questo livello vengono ereditate dai progetti secondari per impostazione predefinita. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Discovery: Auto-indagine sul service account dell'agente AI (anteprima)	AGENT_ENGINE_IAM_ANOMALOUS_BEHAVIOR_SERVICE_ACCOUNT_GETS_OWN_IAM_POLICY	Cloud Audit Logs: Audit log di accesso ai dati IAM Autorizzazioni: DATA_READ	Un'identità associata a un agente AI è stata utilizzata per esaminare i ruoli e le autorizzazioni associati allo stessoaccount di serviziot. I risultati vengono classificati come gravità Bassa se la richiesta è stata autorizzata o Elevata se la richiesta non è stata autorizzata.	—
Scoperta: può ottenere il controllo di oggetti Kubernetes sensibili	GKE_CONTROL_PLANE_CAN_GET_SENSITIVE_OBJECT	Cloud Audit Logs: Log di accesso ai dati GKE	Un utente potenzialmente malintenzionato ha tentato di determinare su quali oggetti sensibili in GKE può eseguire query utilizzando il comando kubectl auth can-i get. In particolare, la regola rileva se l'utente ha verificato l'accesso all'API per i seguenti oggetti: * (tutti) cluster-admin ClusterRole Secret Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Discovery: auto-indagine sul service account	SERVICE_ACCOUNT_SELF_INVESTIGATION	Cloud Audit Logs: Audit log di accesso ai dati IAM Autorizzazioni: DATA_READ	È stata utilizzata una credenziale del account di servizio IAM per esaminare i ruoli e le autorizzazioni associati allo stesso account di servizio. Ruoli sensibili I risultati sono classificati come gravità Alta o Media, a seconda della sensibilità dei ruoli concessi. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.	—
Accesso alle credenziali: accesso anomalo dell'agente AI al servizio di metadati (anteprima)	AGENT_ENGINE_ANOMALOUS_ACCESS_TO_METADATA_SERVICE	Log del motore agente: Log del motore agente	Un agente AI ha recuperato un token del account di servizio da un server di metadati. I risultati sono classificati come gravità Bassa per impostazione predefinita.	—
Evasione: accesso da proxy con anonimizzazione	ANOMALOUS_ACCESS	Cloud Audit Logs: Log attività di amministrazione	Google Cloud modifiche del servizio originate da un indirizzo IP associato alla rete Tor. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Esfiltrazione: esfiltrazione dei dati di BigQuery	DATA_EXFILTRATION_BIG_QUERY	Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata Autorizzazioni: DATA_READ	Rileva i seguenti scenari: Le risorse di proprietà dell'organizzazione protetta sono state salvate al di fuori dell'organizzazione, incluse le operazioni di copia o trasferimento. Questo scenario è indicato da una regola secondaria di exfil_to_external_table e gravità Alta. Sono stati effettuati tentativi di accesso alle risorse BigQuery protette da Controlli di servizio VPC. Questo scenario è indicato da una regola secondaria di vpc_perimeter_violation e gravità Bassa.	Categoria: Exfiltration: Sensitive BigQuery Data Exfiltration Gravità: da bassa a media
Esfiltrazione: estrazione dei dati di BigQuery	DATA_EXFILTRATION_BIG_QUERY_EXTRACTION	Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata Autorizzazioni: DATA_READ	Rileva i seguenti scenari: Una risorsa BigQuery di proprietà dell'organizzazione è stata salvata, tramite operazioni di estrazione, in un bucket Cloud Storage al di fuori dell'organizzazione. Una risorsa BigQuery di proprietà dell'organizzazione protetta è stata salvata, tramite operazioni di estrazione, in un bucket Cloud Storage accessibile pubblicamente di proprietà di questa organizzazione. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard legacy è abilitato nell'organizzazione principale. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	Categoria: Exfiltration: Sensitive BigQuery Data Extraction Gravità: da bassa a media
Esfiltrazione: l'agente AI ha avviato una violazione del perimetro VPC di BigQuery (anteprima)	AGENT_ENGINE_BIG_QUERY_EXFIL_VPC_PERIMETER_VIOLATION	Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata Autorizzazioni: DATA_READ	Rileva un tentativo da parte di un agente AI di accedere alle risorse BigQuery protette dai Controlli di servizio VPC. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Esfiltrazione: l'agente AI ha avviato l'esfiltrazione dei dati di BigQuery nella tabella esterna (anteprima)	AGENT_ENGINE_BIG_QUERY_EXFIL_TO_EXTERNAL_TABLE	Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata Autorizzazioni: DATA_READ	Rileva quando le risorse di proprietà dell'organizzazione protetta sono state salvate al di fuori dell'organizzazione da un agente AI, incluse le operazioni di copia o trasferimento. I risultati sono classificati come gravità Elevata per impostazione predefinita.	Categoria: Exfiltration: AI Agent Initiated Sensitive BigQuery Data Exfiltration to External Table Gravità: nessuna modifica (gravità elevata predefinita)
Esfiltrazione: l'agente AI ha avviato l'esfiltrazione dei dati di Cloud SQL in un bucket pubblico (anteprima)	AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS	Cloud Audit Logs: Log di accesso ai dati MySQL Log di accesso ai dati PostgreSQL Log di accesso ai dati SQL Server	Rileva quando i dati dell'istanza live sono stati esportati da un agente AI in un bucket Cloud Storage di proprietà dell'organizzazione e accessibile pubblicamente. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard legacy è abilitato nell'organizzazione principale. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Esfiltrazione: l'agente AI ha avviato l'esfiltrazione dei dati di Cloud SQL nel bucket esterno (anteprima)	AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS	Cloud Audit Logs: Log di accesso ai dati MySQL Log di accesso ai dati PostgreSQL Log di accesso ai dati SQL Server	Rileva quando i dati dell'istanza live sono stati esportati da un agente AI in un bucket Cloud Storage al di fuori dell'organizzazione. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard legacy è abilitato nell'organizzazione principale. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Esfiltrazione: l'agente AI ha avviato l'estrazione dei dati di BigQuery (anteprima)	AGENT_ENGINE_BIG_QUERY_EXFIL_TO_CLOUD_STORAGE	Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata Autorizzazioni: DATA_READ	Rileva i seguenti scenari di estrazione dei dati di BigQuery avviata da un agente AI: Una risorsa BigQuery di proprietà dell'organizzazione protetta è stata salvata, tramite operazioni di estrazione, in un bucket Cloud Storage al di fuori dell'organizzazione. Una risorsa BigQuery di proprietà dell'organizzazione protetta è stata salvata, tramite operazioni di estrazione, in un bucket Cloud Storage accessibile pubblicamente di proprietà di questa organizzazione. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard legacy è abilitato nell'organizzazione principale. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	Categoria: Exfiltration: AI Agent Initiated Sensitive BigQuery Data Extraction Gravità: da bassa a media
Esfiltrazione: dati di BigQuery su Google Drive	DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE	Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata Autorizzazioni: DATA_READ	Una risorsa BigQuery di proprietà dell'organizzazione protetta è stata salvata, tramite operazioni di estrazione, in una cartella di Google Drive. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	Categoria: Exfiltration: Sensitive BigQuery Data to Google Drive Gravità: da bassa a media
Esfiltrazione: spostamento alla risorsa BigQuery pubblica	DATA_EXFILTRATION_BIG_QUERY_TO_PUBLIC_RESOURCE	Cloud Audit Logs: Log di accesso ai dati BigQueryAuditMetadata Autorizzazioni: DATA_READ	Una risorsa BigQuery è stata salvata in una risorsa pubblica di proprietà della tua organizzazione. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Esfiltrazione: esfiltrazione dei dati di Cloud SQL	CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS	Cloud Audit Logs: Log di accesso ai dati MySQL Log di accesso ai dati PostgreSQL Log di accesso ai dati SQL Server	Rileva i seguenti scenari: I dati dell'istanza live sono stati esportati in un bucket Cloud Storage al di fuori dell'organizzazione. I dati dell'istanza live sono stati esportati in un bucket Cloud Storage di proprietà dell'organizzazione e accessibile pubblicamente. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard legacy è abilitato nell'organizzazione principale. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Esfiltrazione: backup di ripristino di Cloud SQL su un'organizzazione esterna	CLOUDSQL_EXFIL_RESTORE_BACKUP_TO_EXTERNAL_INSTANCE	Cloud Audit Logs: Log attività amministrativa MySQL Log attività amministrativa PostgreSQL Log attività amministrativa SQL Server	Il backup di un'istanza Cloud SQL è stato ripristinato in un'istanza al di fuori dell'organizzazione. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Esfiltrazione: concessione di privilegi eccessivi di Cloud SQL	CLOUDSQL_EXFIL_USER_GRANTED_ALL_PERMISSIONS	Cloud Audit Logs: Log di accesso ai dati PostgreSQL Nota: per utilizzare questa regola, devi attivare l'estensione pgAudit.	A un utente o ruolo Cloud SQL per PostgreSQL sono stati concessi tutti i privilegi per un database o per tutte le tabelle, procedure o funzioni in uno schema. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Accesso iniziale: il super user del database scrive nelle tabelle utente	CLOUDSQL_SUPERUSER_WRITES_TO_USER_TABLES	Cloud Audit Logs: Log di accesso ai dati di Cloud SQL per PostgreSQL Log di accesso ai dati di Cloud SQL per MySQL Nota: per utilizzare questa regola, devi attivare l'estensione pgAudit per PostgreSQL o l'audit del database per MySQL.	Un superuser Cloud SQL (postgres per i server PostgreSQL o root per gli utenti MySQL) ha scritto in tabelle non di sistema. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Escalation dei privilegi: concessione di privilegi eccessivi di AlloyDB	ALLOYDB_USER_GRANTED_ALL_PERMISSIONS	Cloud Audit Logs: Log di accesso ai dati di AlloyDB per PostgreSQL Nota: per utilizzare questa regola, devi attivare l'estensione pgAudit.	A un utente o ruolo AlloyDB per PostgreSQL sono stati concessi tutti i privilegi per un database o per tutte le tabelle, procedure o funzioni in uno schema. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Escalation dei privilegi: il super user del database AlloyDB scrive nelle tabelle utente	ALLOYDB_SUPERUSER_WRITES_TO_USER_TABLES	Cloud Audit Logs: Log di accesso ai dati di AlloyDB per PostgreSQL Nota: per utilizzare questa regola, devi attivare l'estensione pgAudit.	Un superuser AlloyDB per PostgreSQL (postgres) ha scritto in tabelle non di sistema. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Accesso iniziale: azioni negate per autorizzazioni eccessive di AI Agent Identity (anteprima)	AGENT_ENGINE_EXCESSIVE_FAILED_ATTEMPT	Cloud Audit Logs: Log attività di amministrazione	Un'identità associata a un agente AI ha ripetutamente attivato errori di autorizzazione negata tentando modifiche in più metodi e servizi. I risultati sono classificati come gravità Media per impostazione predefinita.	—
Accesso iniziale: azione service account inattivo	DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION	Cloud Audit Logs: Log attività di amministrazione	Un service account gestito dall'utente inattivo ha attivato un'azione. In questo contesto, un account di servizio è considerato inattivo se non è stato utilizzato per più di 180 giorni. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	Categoria: Initial Access: Dormant Service Account Action taken Affecting Sensitive Data Gravità: nessuna modifica (gravità elevata predefinita)
Privilege Escalation: al service account inattivo è stato concesso un ruolo sensibile	DORMANT_SERVICE_ACCOUNT_ADDED_IN_IAM_ROLE	Cloud Audit Logs: Log di controllo dell'attività di amministrazione IAM	A un service account gestito dall'utente inattivo sono stati concessi uno o più ruoli IAM sensibili. In questo contesto, un account di servizio è considerato inattivo se non è stato utilizzato per più di 180 giorni. Ruoli sensibili I risultati sono classificati come gravità Alta o Media, a seconda della sensibilità dei ruoli concessi. Per impostazione predefinita, i risultati sono classificati come gravità Media. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili.	—
Elevazione dei privilegi: ruolo per furto d'identità concesso per service account inattivo	DORMANT_SERVICE_ACCOUNT_IMPERSONATION_ROLE_GRANTED	Cloud Audit Logs: Log di controllo dell'attività di amministrazione IAM	A un'entità sono state concesse autorizzazioni per simulare l'identità di un account di servizio gestito dall'utente inattivo. In questo contesto, un account di servizio è considerato inattivo se non è stato utilizzato per più di 180 giorni. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Accesso iniziale: chiave del service account inattivo creata	DORMANT_SERVICE_ACCOUNT_KEY_CREATED	Cloud Audit Logs: Log attività di amministrazione	È stata creata una chiave per un service account gestito dall'utente inattivo. In questo contesto, un account di servizio viene considerato inattivo se non è stato utilizzato per più di 180 giorni. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Accesso iniziale: chiave service account divulgata utilizzata	LEAKED_SA_KEY_USED	Cloud Audit Logs: Log attività di amministrazione Log di accesso ai dati	Per autenticare l'azione è stata utilizzata una chiave del account di servizio divulgata. In questo contesto, una chiave account di servizio divulgata è una chiave che è stata pubblicata su internet pubblico. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	Categoria: Initial Access: Leaked Service Account Key Affecting Sensitive Data Gravità: nessuna modifica (gravità elevata predefinita)
Accesso iniziale: azioni negate per autorizzazioni eccessive	EXCESSIVE_FAILED_ATTEMPT	Cloud Audit Logs: Log attività di amministrazione	Un principal ha attivato ripetutamente errori di autorizzazione negata tentando modifiche su più metodi e servizi. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Persistenza: autenticazione avanzata disattivata	ENFORCE_STRONG_AUTHENTICATION	Google Workspace: Audit log	La verifica in due passaggi è stata disattivata per l'organizzazione. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Persistenza: verifica in due passaggi disattivata	2SV_DISABLE	Log di Google Workspace: Audit dei login Autorizzazioni: DATA_READ	Un utente ha disattivato la verifica in due passaggi. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Accesso iniziale: account compromesso disattivato	ACCOUNT_DISABLED_HIJACKED	Log di Google Workspace: Audit dei login Autorizzazioni: DATA_READ	L'account di un utente è stato sospeso a causa di attività sospetta. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Accesso iniziale: perdita di password disattivata	ACCOUNT_DISABLED_PASSWORD_LEAK	Log di Google Workspace: Audit dei login Autorizzazioni: DATA_READ	L'account di un utente è stato disattivato perché è stata rilevata una perdita di password. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Accesso iniziale: attacco basato sul governo	GOV_ATTACK_WARNING	Log di Google Workspace: Audit dei login Autorizzazioni: DATA_READ	Gli autori di attacchi sponsorizzati da governi potrebbero aver tentato di compromettere un account utente o un computer. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Accesso iniziale: tentativo di compromissione di Log4j	Non disponibile	Log di Cloud Load Balancing: Bilanciatore del carico HTTP Cloud Nota: per utilizzare questa regola, devi attivare la registrazione del bilanciatore del carico delle applicazioni esterno.	Sono state rilevate ricerche Java Naming and Directory Interface (JNDI) all'interno di intestazioni o parametri URL. Queste ricerche potrebbero indicare tentativi di sfruttamento di Log4Shell. Questi risultati hanno una gravità bassa, perché indicano solo un rilevamento o un tentativo di exploit, non una vulnerabilità o un compromesso. Questa regola è sempre attiva. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Accesso iniziale: accesso sospetto bloccato	SUSPICIOUS_LOGIN	Log di Google Workspace: Audit dei login Autorizzazioni: DATA_READ	È stato rilevato e bloccato un accesso sospetto all'account di un utente. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Malware Log4j: dominio non valido	LOG4J_BAD_DOMAIN	Log di Cloud DNS	Il traffico di exploit Log4j è stato rilevato in base a una connessione a un dominio noto utilizzato negli attacchi Log4j o a una sua ricerca. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Malware Log4j: IP non valido	LOG4J_BAD_IP	Log di flusso VPC Log delle regole firewall Log Cloud NAT	Il traffico di exploit Log4j è stato rilevato in base a una connessione a un indirizzo IP noto utilizzato negli attacchi Log4j. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Malware: dominio dannoso	MALWARE_BAD_DOMAIN	Log di Cloud DNS	È stato rilevato malware in base a una connessione a un dominio dannoso noto o a una ricerca di questo dominio. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Malware: IP non valido	MALWARE_BAD_IP	Log di flusso VPC Log delle regole firewall Log di Cloud NAT	È stato rilevato malware in base a una connessione a un indirizzo IP dannoso noto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Malware: dominio non valido per il cryptomining	CRYPTOMINING_POOL_DOMAIN	Log di Cloud DNS	Il cryptomining è stato rilevato in base a una connessione a un dominio di mining noto o a una sua ricerca. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Malware: IP non valido per il cryptomining	CRYPTOMINING_POOL_IP	Log di flusso VPC Log delle regole firewall Log Cloud NAT	Il cryptomining è stato rilevato in base a una connessione a un indirizzo IP di mining noto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Persistenza: Aggiunta chiave SSH amministratore GCE	GCE_ADMIN_ADD_SSH_KEY	Cloud Audit Logs: Audit log dell'attività di amministrazione di Compute Engine	Il valore della chiave SSH dei metadati dell'istanza Compute Engine è stato modificato su un'istanza stabilita (più vecchia di una settimana). Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Persistenza: script di avvio aggiunto dall'amministratore GCE	GCE_ADMIN_ADD_STARTUP_SCRIPT	Cloud Audit Logs: Audit log dell'attività di amministrazione di Compute Engine	Il valore dello script di avvio dei metadati dell'istanza Compute Engine è stato modificato su un'istanza stabilita (più vecchia di una settimana). Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Persistenza: IAM Anomalous Grant	IAM_ANOMALOUS_GRANT	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Questo risultato include regole secondarie che forniscono informazioni più specifiche su ogni istanza di questo risultato. Il seguente elenco mostra tutte le possibili regole secondarie: external_service_account_added_to_policy, external_member_added_to_policy: i privilegi sono stati concessi a service account e utenti IAM che non sono membri della tua organizzazione o, se Security Command Center è attivato solo a livello di progetto, del tuo progetto. Nota: se Security Command Center è attivato a livello di organizzazione in qualsiasi livello, questo rilevatore utilizza le policy IAM esistenti di un'organizzazione come contesto. Se l'attivazione di Security Command Center avviene solo a livello di progetto, il rilevatore utilizza solo le policy IAM del progetto come contesto. Se si verifica una concessione IAM sensibile a un membro esterno e esistono meno di tre policy IAM simili, questo rilevatore genera un risultato. Ruoli sensibili I risultati sono classificati come gravità Alta o Media, a seconda della sensibilità dei ruoli concessi. Per impostazione predefinita, i risultati sono classificati come gravità Elevata. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili. external_member_invited_to_policy: un membro esterno è stato invitato come proprietario del progetto tramite l'API InsertProjectOwnershipInvite. custom_role_given_sensitive_permissions: L'autorizzazione setIAMPolicy è stata aggiunta a un ruolo personalizzato. service_account_granted_sensitive_role_to_member: i ruoli con privilegi sono stati concessi ai membri tramite un account di servizio. Questa regola secondaria viene attivata da un sottoinsieme di ruoli sensibili che includono solo ruoli IAM di base e determinati ruoli di archiviazione dei dati. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili. policy_modified_by_default_compute_service_account: è stato utilizzato un account di servizio Compute Engine predefinito per modificare le impostazioni IAM del progetto.	—
Persistenza: autorizzazione AI sensibile aggiunta al ruolo personalizzato (anteprima)	SENSITIVE_AI_PERMISSION_ADDED_TO_CUSTOM_ROLE	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	È stata aggiunta un'autorizzazione AI sensibile a un ruolo personalizzato IAM. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili per l'AI. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Persistenza: ruolo sensibile concesso dall'agente AI (anteprima)	SENSITIVE_ROLE_GRANTED_BY_AI_AGENT	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Un agente AI ha concesso un ruolo IAM sensibile. I risultati sono classificati come gravità Media per i ruoli con sensibilità media o Alta per i ruoli con sensibilità elevata. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili per l'IA.	—
Persistenza: ruolo sensibile concesso all'agente AI esterno (anteprima)	EXTERNAL_AI_AGENT_GRANTED_SENSITIVE_ROLE	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	A un agente AI di un'organizzazione esterna è stato concesso un ruolo IAM sensibile. I risultati vengono classificati come gravità Media per i ruoli con sensibilità media o Elevata per i ruoli con sensibilità elevata. Per saperne di più, consulta Ruoli e autorizzazioni IAM sensibili per l'AI.	—
Persistenza: account non gestito a cui è stato concesso un ruolo sensibile (anteprima)	UNMANAGED_ACCOUNT_ADDED_IN_IAM_ROLE	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	È stato concesso un ruolo sensibile a un account non gestito. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Persistenza: nuovo metodo API	ANOMALOUS_BEHAVIOR_NEW_API_METHOD	Cloud Audit Logs: Log attività di amministrazione	I service account IAM hanno utilizzato l'accesso anomalo ai servizi Google Cloud . Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	Categoria: Persistence: New API Method Affecting Sensitive Data Gravità: da bassa a media
Persistenza: nuova area geografica	IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION	Cloud Audit Logs: Log attività di amministrazione	Account utente e service account IAM a cui è stato eseguito l'accesso Google Cloud da località anomale, in base alla geolocalizzazione degli indirizzi IP richiedenti. Questo risultato non è disponibile per le attivazioni a livello di progetto ed è classificato come gravità Bassa per impostazione predefinita.	—
Persistenza: nuovo user agent	IAM_ANOMALOUS_BEHAVIOR_USER_AGENT	Cloud Audit Logs: Log attività di amministrazione	Service account IAM a cui è stato eseguito l'accesso Google Cloud da user agent anomali o sospetti. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Persistenza: attivazione/disattivazione SSO	TOGGLE_SSO_ENABLED	Google Workspace: Audit log	L'impostazione Attiva SSO (Single Sign-On) nell'account amministratore è stata disattivata. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Persistenza: impostazioni SSO modificate	CHANGE_SSO_SETTINGS	Google Workspace: Audit log	Le impostazioni SSO dell'account amministratore sono state modificate. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Elevazione dei privilegi: simulazione anomala dell'identità del service account per l'attività di amministrazione	ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY	Cloud Audit Logs: Log attività di amministrazione	Un service account simulato potenzialmente anomalo è stato utilizzato per un'attività amministrativa. Per impostazione predefinita, i risultati sono classificati come gravità Media.	Categoria: Privilege Escalation: Anomalous Impersonation of Service Account for Admin Activity Affecting Sensitive Data Gravità: da media ad alta
Escalation dei privilegi: delega anomala del service account con più passaggi per l'attività di amministrazione	ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY	Cloud Audit Logs: Log attività di amministrazione	È stata rilevata una richiesta delegata con più passaggi anomala per un'attività amministrativa. Per impostazione predefinita, i risultati sono classificati come gravità Media.	Categoria: Privilege Escalation: Anomalous Multistep Service Account Delegation for Admin Activity Affecting Sensitive Data Gravità: da media ad alta
Elevazione dei privilegi: delega anomala del service account con più passaggi per l'accesso ai dati	ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS	Cloud Audit Logs: Log di accesso ai dati	È stata rilevata una richiesta delegata anomala con più passaggi per un'attività di accesso ai dati. Per impostazione predefinita, i risultati sono classificati come gravità Media.	Categoria: Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Affecting Sensitive Data Gravità: da media ad alta
Privilege Escalation: Anomalous Service Account Impersonator for Admin Activity	ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY	Cloud Audit Logs: Log attività di amministrazione	Per un'attività amministrativa è stato utilizzato un chiamante o un simulatore potenzialmente anomalo in una catena di delega. Per impostazione predefinita, i risultati sono classificati come gravità Media.	Categoria: Privilege Escalation: Anomalous Service Account Impersonator for Admin Activity Affecting Sensitive Data Gravità: da media ad alta
Privilegio Escalation: simulatore anomalo dell'identità di un service account per l'accesso ai dati	ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS	Cloud Audit Logs: Log di accesso ai dati	Per un'attività di accesso ai dati è stato utilizzato un chiamante o un impostore potenzialmente anomalo in una catena di delega. Per impostazione predefinita, i risultati sono classificati come gravità Media.	Categoria: Privilege Escalation: Anomalous Service Account Impersonator for Data Access Affecting Sensitive Data Gravità: da media ad alta
Escalation dei privilegi: modifiche agli oggetti RBAC Kubernetes sensibili	GKE_CONTROL_PLANE_EDIT_SENSITIVE_RBAC_OBJECT	Cloud Audit Logs: Log attività di amministrazione di GKE	Per eseguire l'escalation del privilegio, un utente potenzialmente malintenzionato ha tentato di modificare un oggetto con controllo dell'accesso basato su ruoli (RBAC) ClusterRole, RoleBinding o ClusterRoleBinding del ruolo sensibile cluster-admin utilizzando una richiesta PUT o PATCH. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Escalation dei privilegi: crea una richiesta CSR Kubernetes per il certificato principale	GKE_CONTROL_PLANE_CSR_FOR_MASTER_CERT	Cloud Audit Logs: Log attività di amministrazione di GKE	Un utente potenzialmente malintenzionato ha creato una richiesta di firma del certificato (CSR) master di Kubernetes, che concede l'accesso con il ruolo cluster-admin. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Escalation dei privilegi: creazione di associazioni Kubernetes sensibili	GKE_CONTROL_PLANE_CREATE_SENSITIVE_BINDING	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Per eseguire l'escalation del privilegio, un utente potenzialmente malintenzionato ha tentato di creare un nuovo oggetto RoleBinding o ClusterRoleBinding per il ruolo cluster-admin. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Escalation dei privilegi: recupera informazioni su CSR Kubernetes con credenziali bootstrap compromesse	GKE_CONTROL_PLANE_GET_CSR_WITH_COMPROMISED_BOOTSTRAP_CREDENTIALS	Cloud Audit Logs: Log di accesso ai dati GKE	Un utente potenzialmente malintenzionato ha eseguito una query per ottenere una richiesta di firma del certificato (CSR) con il comando kubectl utilizzando credenziali di bootstrap compromesse. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Escalation dei privilegi: avvia un container Kubernetes con privilegi	GKE_CONTROL_PLANE_LAUNCH_PRIVILEGED_CONTAINER	Cloud Audit Logs: Log attività di amministrazione di GKE	Un utente potenzialmente malintenzionato ha creato un pod contenente container con privilegi o con funzionalità di escalation dei privilegi. Il campo privileged di un container con privilegi è impostato su true. Il campo allowPrivilegeEscalation di un container con funzionalità di escalation dei privilegi è impostato su true. Per saperne di più, consulta il riferimento dell'API principale SecurityContext v1 nella documentazione di Kubernetes. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Persistenza: chiave del service account creata	SERVICE_ACCOUNT_KEY_CREATION	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	È stata creata una chiave del account di servizio. Le chiavi del service account sono credenziali di lunga durata che aumentano il rischio di accesso non autorizzato alle risorse Google Cloud. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Escalation dei privilegi: script di chiusura globale aggiunto	GLOBAL_SHUTDOWN_SCRIPT_ADDED	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Uno script di chiusura globale è stato aggiunto a un progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Persistenza: script di avvio globale aggiunto	GLOBAL_STARTUP_SCRIPT_ADDED	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Uno script di avvio globale è stato aggiunto a un progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Evasione della difesa: ruolo TokenCreator a livello di organizzazione aggiunto	ORG_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Il ruolo IAM Creatore token service account è stato concesso a livello di organizzazione. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Evasione della difesa: ruolo TokenCreator a livello di cartella aggiunto	FOLDER_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Il ruolo IAM Creatore token service account è stato concesso a livello di cartella. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Evasione della difesa: ruolo TokenCreator a livello di progetto aggiunto	PROJECT_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Il ruolo IAM Creatore token service account è stato concesso a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Evasione della difesa: ruolo TokenCreator a livello di organizzazione concesso all'agente AI (anteprima)	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_ORG	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	A un agente AI è stato concesso il ruolo IAM Creatore token service account a livello di organizzazione. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Evasione della difesa: ruolo TokenCreator a livello di cartella concesso all'agente AI (anteprima)	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_FOLDER	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	A un agente AI è stato concesso il ruolo IAM Creatore token service account a livello di cartella. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Evasione della difesa: ruolo TokenCreator a livello di progetto concesso all'agente AI	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_PROJECT	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	A un agente AI è stato concesso il ruolo IAM Creatore token service account a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Movimento laterale: esecuzione patch del sistema operativo dal service account ^Temporaneamente non disponibile	OS_PATCH_EXECUTION_FROM_SERVICE_ACCOUNT	Cloud Audit Logs. Audit log di VM Manager	Un account di servizio ha utilizzato la funzionalità di patch di Compute Engine per aggiornare il sistema operativo di qualsiasi istanza Compute Engine attualmente in esecuzione. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Questa regola non è temporaneamente disponibile. Per monitorare l'attività di VM Manager, utilizza gli audit log di VM Manager.	—
Movimento laterale: disco di avvio modificato collegato all'istanza (anteprima)	MODIFY_BOOT_DISK_ATTACH_TO_INSTANCE	Cloud Audit Logs: Audit log di Compute Engine	Un disco di avvio è stato scollegato da un'istanza Compute Engine e collegato a un'altra, il che potrebbe indicare un tentativo dannoso di compromettere il sistema utilizzando un disco di avvio modificato. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Accesso con credenziali: secret a cui è stato eseguito l'accesso nello spazio dei nomi Kubernetes	SECRETS_ACCESSED_IN_KUBERNETES_NAMESPACE	Cloud Audit Logs: Log di accesso ai dati GKE	È stato eseguito l'accesso a secret o token del account di servizio da parte di un account di servizio nello spazio dei nomi Kubernetes attuale. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Sviluppo delle risorse: attività distro di sicurezza non valida	OFFENSIVE_SECURITY_DISTRO_ACTIVITY	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Una risorsa Google Cloud è stata manipolata correttamente tramite penetration testing noto o distribuzioni di sicurezza offensiva. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	Categoria: Resource Development: Offensive Security Distro Activity Affecting Sensitive Data Gravità: da bassa a media
Elevazione dei privilegi: generazione token dell'agente AI mediante signJwt (anteprima)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT	Cloud Audit Logs: Audit log di accesso ai dati IAM	Un account di servizio associato a un agente AI ha utilizzato il metodo serviceAccounts.signJwt per generare un token di accesso per un altro account di servizio. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Elevazione dei privilegi: generazione token dell'agente AI mediante delega implicita (anteprima)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION	Cloud Audit Logs: Audit log di accesso ai dati IAM	L'autorizzazione iam.serviceAccounts.implicitDelegation è stata utilizzata in modo improprio per generare token di accesso da unaccount di serviziot con privilegi maggiori tramite un agente AI. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Elevazione dei privilegi: generazione token OpenID tra progetti dell'agente AI (anteprima)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID	Cloud Audit Logs: Audit log di accesso ai dati IAM	L'autorizzazione IAM iam.serviceAccounts.getOpenIdToken è stata utilizzata in più progetti tramite un agente AI. Questo risultato non è disponibile per le attivazioni a livello di progetto. I risultati sono classificati come gravità Bassa per impostazione predefinita.	—
Elevazione dei privilegi: generazione token di accesso tra progetti dell'agente AI (anteprima)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN	Cloud Audit Logs: Audit log di accesso ai dati IAM	L'autorizzazione IAM iam.serviceAccounts.getAccessToken è stata utilizzata in più progetti tramite un agente AI. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Escalation dei privilegi: il nuovo service account è il proprietario o l'editor ^Temporaneamente non disponibile	SERVICE_ACCOUNT_EDITOR_OWNER	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	È stato creato un nuovo account di servizio con ruoli Editor o Proprietario per un progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Questa regola non è temporaneamente disponibile. Per monitorare le modifiche IAM, audit log Attività di amministrazione IAM.	—
Discovery: Information Gathering Tool Used	INFORMATION_GATHERING_TOOL_USED	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	È stato rilevato l'utilizzo di ScoutSuite. ScoutSuite è uno strumento di controllo della sicurezza del cloud noto per essere utilizzato da autori di minacce. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	Categoria: Discovery: Information Gathering Tool Affecting Sensitive Data Gravità: da bassa a media
Escalation dei privilegi: generazione token sospetta ^Temporaneamente non disponibile	SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION	Cloud Audit Logs: Log di controllo IAM	L'autorizzazione iam.serviceAccounts.implicitDelegation è stata utilizzata in modo improprio per generare token di accesso da un account di servizio con più privilegi. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Questa regola non è temporaneamente disponibile. Per monitorare l'attività IAM, utilizza i log di controllo IAM.	—
Escalation dei privilegi: generazione token sospetta ^Temporaneamente non disponibile	SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT	Cloud Audit Logs: Log di controllo IAM	Un account di servizio ha utilizzato il metodo serviceAccounts.signJwt per generare un token di accesso per un altro account di servizio. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Questa regola non è temporaneamente disponibile. Per monitorare l'attività IAM, utilizza i log di controllo IAM.	—
Escalation dei privilegi: generazione token sospetta ^Temporaneamente non disponibile	SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID	Cloud Audit Logs: Log di controllo IAM	L'autorizzazione IAM iam.serviceAccounts.getOpenIdToken è stata utilizzata in più progetti. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Questa regola non è temporaneamente disponibile. Per monitorare l'attività IAM, utilizza i log di controllo IAM.	—
Escalation dei privilegi: generazione token sospetta ^Temporaneamente non disponibile	SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN	Cloud Audit Logs: Log di controllo IAM	L'autorizzazione IAM iam.serviceAccounts.getAccessToken è stata utilizzata in più progetti. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Questa regola non è temporaneamente disponibile. Per monitorare l'attività IAM, utilizza i log di controllo IAM.	—
Escalation dei privilegi: utilizzo sospetto delle autorizzazioni tra progetti	SUSPICIOUS_CROSS_PROJECT_PERMISSION_DATAFUSION	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	L'autorizzazione IAM datafusion.instances.create è stata utilizzata in più progetti. Questo risultato non è disponibile per le attivazioni a livello di progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Comando e controllo: DNS Tunneling ^Temporaneamente non disponibile	DNS_TUNNELING_IODINE_HANDSHAKE	Log di Cloud DNS	È stato rilevato l'handshake dello strumento di tunneling DNS Iodine. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Questa regola non è temporaneamente disponibile. Per monitorare l'attività DNS, utilizza i log di Cloud DNS.	—
Evasione della difesa: tentativo di accesso mascherato route VPC	VPC_ROUTE_MASQUERADE	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Le route VPC che si spacciano per route Google Cloud predefinite sono state create manualmente, consentendo il traffico in uscita verso indirizzi IP esterni. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Impatto: fatturazione disabilitata ^Temporaneamente non disponibile	BILLING_DISABLED_SINGLE_PROJECT	Cloud Audit Logs: Audit log dell'attività di amministrazione della fatturazione Cloud	La fatturazione è stata disattivata per un progetto. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Questa regola non è temporaneamente disponibile. Per monitorare le modifiche alla fatturazione, utilizza log di controllo delle attività di amministrazione della fatturazione Cloud.	—
Impatto: fatturazione disabilitata ^Temporaneamente non disponibile	BILLING_DISABLED_MULTIPLE_PROJECTS	Cloud Audit Logs: Audit log dell'attività di amministrazione della fatturazione Cloud	La fatturazione è stata disabilitata per più progetti in un'organizzazione in un breve periodo di tempo. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Questa regola non è temporaneamente disponibile. Per monitorare le modifiche alla fatturazione, utilizza log di controllo delle attività di amministrazione della fatturazione Cloud.	—
Impatto: blocco ad alta priorità per firewall VPC	VPC_FIREWALL_HIGH_PRIORITY_BLOCK	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	È stata aggiunta una regola firewall VPC che blocca tutto il traffico in uscita con priorità 0. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Impatto: eliminazione regola di massa per firewall VPC^Temporaneamente non disponibile	VPC_FIREWALL_MASS_RULE_DELETION	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Le regole firewall VPC sono state eliminate in blocco da account non di servizio. Questa regola non è temporaneamente disponibile. Per monitorare gli aggiornamenti alle regole firewall, utilizza Cloud Audit Logs. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Impatto: API di servizio disabilitata	SERVICE_API_DISABLED	Cloud Audit Logs: Audit log dell'attività di amministrazione IAM	Un'API di servizio Google Cloud è stata disattivata in un ambiente di produzione. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Impatto: scalabilità automatica gruppo di istanze gestite impostata al massimo ^Temporaneamente non disponibile	MIG_AUTOSCALING_SET_TO_MAX	Cloud Audit Logs: Audit log dell'attività di amministrazione di Compute Engine	È stato configurato un gruppo di istanze gestite per la scalabilità automatica massima. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Questa regola non è temporaneamente disponibile. Per monitorare le modifiche agli asset di Compute Engine, utilizza gli audit log Attività di amministrazione di Compute Engine.	—
Discovery: Unauthorized Service Account API Call ^Temporaneamente non disponibile	UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL	Cloud Audit Logs: Log di controllo dell'attività di amministrazione	Un account di servizio ha effettuato una chiamata API cross-project non autorizzata. Per impostazione predefinita, i risultati sono classificati come gravità Bassa. Questa regola non è temporaneamente disponibile. Per monitorare l'utilizzo dei account di servizio, utilizza i log di controllo Attività di amministrazione.	—
Evasione di difesa: accesso amministrativo al cluster concesso da sessioni anonime	ANONYMOUS_SESSIONS_GRANTED_CLUSTER_ADMIN	Cloud Audit Logs: Log attività di amministrazione di GKE	È stato creato un oggetto di controllo dell'accesso dell'accesso basato sui ruoli (RBAC) ClusterRoleBinding, che aggiunge il comportamento root-cluster-admin-binding agli utenti anonimi. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Persistenza: nuova area geografica per il servizio AI	AI_IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION	Cloud Audit Logs: Log attività di amministrazione	Account di servizio e utenti IAM a cui è stato eseguito l'accesso Google Cloud ai servizi di AI da località anomale, in base alla geolocalizzazione degli indirizzi IP richiedenti. Questo risultato non è disponibile per le attivazioni a livello di progetto ed è classificato come gravità Bassa per impostazione predefinita.	—
Privilegio Escalation: Anomalous Multistep Service Account Delegation for AI Admin Activity	AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY	Cloud Audit Logs: Log attività di amministrazione	È stata rilevata una richiesta delegata anomala con più passaggi per un'attività amministrativa di un servizio AI. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Privilegio Escalation: Anomalous Multistep Service Account Delegation for AI Data Access	AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS	Cloud Audit Logs: Log di accesso ai dati	È stata rilevata una richiesta delegata anomala con più passaggi per un'attività di accesso ai dati di un servizio AI. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Elevazione dei privilegi: simulatore anomalo dell'identità del service account per l'attività di amministrazione AI	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY	Cloud Audit Logs: Log attività di amministrazione	Un chiamante o simulatore potenzialmente anomalo in una catena di delega è stato utilizzato per un'attività amministrativa di un servizio AI. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Elevazione dei privilegi: simulatore anomalo dell'identità di un service account per l'accesso ai dati AI	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS	Cloud Audit Logs: Log di accesso ai dati	Un chiamante o simulatore potenzialmente anomalo in una catena di delega è stato utilizzato per un'attività di accesso ai dati di un servizio di AI. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Elevazione dei privilegi: simulazione anomala dell'identità del service account per l'attività di amministrazione AI	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY	Cloud Audit Logs: Log attività di amministrazione	Un service account simulato potenzialmente anomalo è stato utilizzato per un'attività amministrativa di un servizio AI. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Persistenza: nuovo metodo API AI	AI_ANOMALOUS_BEHAVIOR_NEW_API_METHOD	Cloud Audit Logs: Log attività di amministrazione	I service account IAM hanno utilizzato l'accesso anomalo ai servizi Google Cloud AI. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Accesso iniziale: attività del service account inattivo nel servizio AI	AI_DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION	Cloud Audit Logs: Log attività di amministrazione	Un service account gestito dall'utente inattivo ha attivato un'azione nei servizi AI. In questo contesto, un account di servizio è considerato inattivo se non è stato utilizzato per più di 180 giorni. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Accesso iniziale: risorsa GKE anonima creata da internet (anteprima)	GKE_RESOURCE_CREATED_ANONYMOUSLY_FROM_INTERNET	Cloud Audit Logs: Log attività di amministrazione GKE.	Una risorsa è stata creata da un utente internet effettivamente anonimo. I risultati sono classificati come gravità Elevata per impostazione predefinita.	—
Accesso iniziale: risorsa GKE modificata in modo anonimo da internet (anteprima)	GKE_RESOURCE_MODIFIED_ANONYMOUSLY_FROM_INTERNET	Cloud Audit Logs: Log attività di amministrazione di GKE	Una risorsa è stata manipolata da un utente internet effettivamente anonimo. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Elevazione dei privilegi: accesso al cluster GKE concesso a utenti anonimi	GKE_ANONYMOUS_USERS_GRANTED_ACCESS	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha creato un binding RBAC che fa riferimento a uno dei seguenti utenti o gruppi: system:anonymous system:unauthenticated system:authenticated Questi utenti e gruppi sono effettivamente anonimi e devono essere evitati quando si creano associazioni di ruoli o associazioni di ruoli del cluster a qualsiasi ruolo RBAC. Esamina il binding per assicurarti che sia necessario. Se l'associazione non è necessaria, rimuovila. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Esecuzione: esecuzione o collegamento sospetti a un pod di sistema (anteprima)	GKE_SUSPICIOUS_EXEC_ATTACH	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha utilizzato i comandi exec o attach per ottenere una shell o eseguire un comando su un container in esecuzione nello spazio dei nomi kube-system. Questi metodi vengono a volte utilizzati per scopi di debug legittimi. Tuttavia, lo spazio dei nomi kube-system è destinato agli oggetti di sistema creati da Kubernetes e l'esecuzione imprevista di comandi o la creazione di shell devono essere esaminate. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Elevazione dei privilegi: workload creato con un montaggio del percorso host sensibile (anteprima)	GKE_SENSITIVE_HOSTPATH	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha creato un workload che contiene un montaggio del volume hostPath in un percorso sensibile nel file system del nodo host. L'accesso a questi percorsi nel file system host può essere utilizzato per accedere a informazioni privilegiate o sensibili sul nodo e per l'escape dei container. Se possibile, non consentire volumi hostPath nel tuo cluster. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Escalation dei privilegi: workload con shareProcessNamespace abilitato (anteprima)	GKE_SHAREPROCESSNAMESPACE_POD	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha eseguito il deployment di un workload con l'opzione shareProcessNamespace impostata su true, consentendo a tutti i container di condividere lo stesso spazio dei nomi di processo Linux. Ciò potrebbe consentire a un container non attendibile o compromesso di aumentare i privilegi accedendo e controllando le variabili di ambiente, la memoria e altri dati sensibili dei processi in esecuzione in altri container. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Escalation dei privilegi: ClusterRole con verbi con privilegi (anteprima)	GKE_CLUSTERROLE_PRIVILEGED_VERBS	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha creato un RBAC ClusterRole che contiene i verbi bind, escalate o impersonate. Un soggetto associato a un ruolo con questi verbi può impersonare altri utenti con privilegi più elevati, associarsi a ulteriori Roles o ClusterRoles che contengono autorizzazioni aggiuntive o modificare le proprie autorizzazioni ClusterRole. Ciò potrebbe portare a ottenere privilegi di amministratore del cluster. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Escalation dei privilegi: ClusterRoleBinding a ruolo con privilegi	GKE_CRB_CLUSTERROLE_AGGREGATION_CONTROLLER	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha creato un RBAC ClusterRoleBinding che fa riferimento a system:controller:clusterrole-aggregation-controller ClusterRole predefinito. Questo ClusterRole predefinito ha il verbo escalate, che consente ai soggetti di modificare i privilegi dei propri ruoli, consentendo l'escalation dei privilegi. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Evasione di difesa: richiesta di firma del certificato (CSR) eliminata manualmente	GKE_MANUALLY_DELETED_CSR	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha eliminato manualmente una richiesta di firma del certificato (CSR). I CSR vengono rimossi automaticamente da un controller di garbage collection, ma i malintenzionati potrebbero eliminarli manualmente per evitare il rilevamento. Se la CSR eliminata riguardava un certificato approvato ed emesso, l'utente potenzialmente malintenzionato ora dispone di un metodo di autenticazione aggiuntivo per accedere al cluster. Le autorizzazioni associate al certificato variano a seconda del soggetto incluso, ma possono essere altamente privilegiate. Kubernetes non supporta la revoca dei certificati. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Accesso con credenziali: tentativo di approvazione della richiesta di firma del certificato (CSR) di Kubernetes non riuscito	GKE_APPROVE_CSR_FORBIDDEN	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha tentato di approvare manualmente una richiesta di firma del certificato (CSR), ma l'azione non è riuscita. La creazione di un certificato per l'autenticazione del cluster è un metodo comune per gli autori di attacchi per creare un accesso persistente a un cluster compromesso. Le autorizzazioni associate al certificato variano a seconda del soggetto incluso, ma possono essere altamente privilegiate. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Accesso con credenziali: richiesta di firma del certificato (CSR) Kubernetes approvata manualmente (anteprima)	GKE_CSR_APPROVED	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha approvato manualmente una richiesta di firma del certificato (CSR). La creazione di un certificato per l'autenticazione del cluster è un metodo comune per gli autori di attacchi per creare un accesso persistente a un cluster compromesso. Le autorizzazioni associate al certificato variano a seconda del soggetto incluso, ma possono essere altamente privilegiate. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Esecuzione: pod Kubernetes creato con potenziali argomenti reverse shell	GKE_REVERSE_SHELL_POD	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha creato un pod contenente comandi o argomenti comunemente associati a una reverse shell. Gli aggressori utilizzano shell inverse per espandere o mantenere l'accesso iniziale a un cluster ed eseguire comandi arbitrari. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Evasione della difesa: potenziale mascheramento di pod Kubernetes	GKE_POD_MASQUERADING	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha eseguito il deployment di un pod con una convenzione di denominazione simile ai carichi di lavoro predefiniti che GKE crea per il normale funzionamento del cluster. Questa tecnica è chiamata mascheramento. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Escalation dei privilegi: nomi dei container Kubernetes sospetti - Exploit ed escape (anteprima)	GKE_SUSPICIOUS_EXPLOIT_POD	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha eseguito il deployment di un pod con una convenzione di denominazione simile a strumenti comuni utilizzati per l'escape dei container o per eseguire altri attacchi al cluster. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Persistenza: service account creato nello spazio dei nomi sensibile	GKE_SERVICE_ACCOUNT_CREATION_SENSITIVE_NAMESPACE	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha creato un account di servizio in uno spazio dei nomi sensibile. Gli spazi dei nomi kube-system e kube-public sono fondamentali per le operazioni del cluster GKE e i service account non autorizzati potrebbero compromettere la stabilità e la sicurezza del cluster. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Impatto: Nomi dei container Kubernetes sospetti - Mining di criptovaluta ^Temporaneamente non disponibile	GKE_SUSPICIOUS_CRYPTOMINING_POD	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha eseguito il deployment di un pod con una convenzione di denominazione simile a quella dei comuni miner di criptovalute. Questo potrebbe essere un tentativo da parte di un malintenzionato che ha ottenuto l'accesso iniziale al cluster di utilizzare le risorse del cluster per il mining di criptovalute. Per impostazione predefinita, i risultati sono classificati come gravità Elevata. Questa regola non è temporaneamente disponibile. Per monitorare l'attività di Kubernetes, utilizza i log Attività di amministrazione GKE.	—
Esecuzione: workload attivato nello spazio dei nomi sensibile	GKE_SENSITIVE_NAMESPACE_WORKLOAD_TRIGGERED	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha eseguito il deployment di un workload (ad esempio un pod o un deployment) negli spazi dei nomi kube-system o kube-public. Questi spazi dei nomi sono fondamentali per le operazioni del cluster GKE e i workload non autorizzati potrebbero compromettere la stabilità o la sicurezza del cluster. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Esecuzione: avvio del container con funzionalità eccessive GKE (anteprima)	GKE_EXCESSIVELY_CAPABLE_CONTAINER_CREATED	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha creato un container con una o più delle seguenti funzionalità in un cluster con un contesto di sicurezza elevato: CAP_SYS_MODULE CAP_SYS_RAWIO CAP_SYS_PTRACE CAP_SYS_BOOT CAP_DAC_READ_SEARCH CAP_NET_ADMIN CAP_BPF Queste funzionalità possono essere utilizzate per uscire dai container. Presta attenzione quando esegui il provisioning di queste funzionalità. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Persistenza: rilevata configurazione webhook GKE	GKE_WEBHOOK_CONFIG_CREATED	Cloud Audit Logs: Log attività di amministrazione di GKE	Nel tuo cluster GKE è stata rilevata una configurazione webhook. Gli webhook possono intercettare e modificare le richieste API Kubernetes, consentendo potenzialmente agli autori di attacchi di persistere all'interno del cluster o manipolare le risorse. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Evasione della difesa: pod statico creato	GKE_STATIC_POD_CREATED	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha creato un pod statico nel tuo cluster GKE. I pod statici vengono eseguiti direttamente sul nodo e bypassano il server API Kubernetes, il che li rende più difficili da monitorare e controllare. Gli autori degli attacchi possono utilizzare i pod statici per eludere il rilevamento o mantenere la persistenza. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Accesso iniziale: chiamata API riuscita effettuata da un IP proxy TOR	GKE_TOR_PROXY_IP_REQUEST	Cloud Audit Logs: Log attività di amministrazione di GKE	È stata effettuata una chiamata API riuscita al tuo cluster GKE da un indirizzo IP associato alla rete Tor. Tor fornisce l'anonimato, che gli autori degli attacchi spesso sfruttano per nascondere la propria identità. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	Categoria: Initial Access: Successful API call made from a TOR proxy IP Affecting Sensitive Data Gravità: nessuna modifica (gravità elevata predefinita)
Accesso iniziale: servizio NodePort GKE creato	GKE_NODEPORT_SERVICE_CREATED	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha creato un servizio NodePort. I servizi NodePort espongono i pod direttamente sull'indirizzo IP e sulla porta statica di un nodo, rendendoli accessibili dall'esterno del cluster. Ciò può introdurre un rischio significativo per la sicurezza perché potrebbe consentire a un malintenzionato di sfruttare le vulnerabilità del servizio esposto per ottenere l'accesso al cluster o a dati sensibili. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Impatto: rilevata modifica di kube-dns GKE (anteprima)	GKE_KUBE_DNS_MODIFICATION	Cloud Audit Logs: Log attività di amministrazione di GKE	Qualcuno ha modificato la configurazione di kube-dns nel tuo cluster GKE. kube-dns di GKE è un componente fondamentale del networking del cluster e la sua configurazione errata potrebbe causare una violazione della sicurezza. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—
Impatto: comandi di cryptomining	CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS	Cloud Audit Logs: Audit log degli eventi di sistema IAM	Durante l'esecuzione, a un job Cloud Run sono stati allegati comandi di cryptomining specifici. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Esecuzione: immagine Docker per il cryptomining	CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES	Cloud Audit Logs: Audit log degli eventi di sistema IAM	Sono state allegate immagini Docker specifiche note come dannose a un servizio o un job Cloud Run nuovo o esistente. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Escalation dei privilegi: Default Compute Engine Service Account SetIAMPolicy	CLOUD_RUN_SERVICES_SET_IAM_POLICY	Cloud Audit Logs: Log attività di amministrazione	L'account di servizio Compute Engine predefinito è stato utilizzato per impostare il policy IAM per un servizio Cloud Run. Si tratta di una potenziale azione post-exploit quando un token Compute Engine viene compromesso da un servizio serverless. Per impostazione predefinita, i risultati sono classificati come gravità Bassa.	—
Accesso iniziale: accesso riuscito a CloudDB dall'IP del proxy con anonimizzazione	CLOUD_DB_LOGIN_SUCCEEDED_ANON_IP	Cloud Audit Logs: Log di accesso ai dati di AlloyDB per PostgreSQL Log di accesso ai dati di Cloud SQL per PostgreSQL Log di accesso ai dati di Cloud SQL per MySQL Nota: per utilizzare questa regola per AlloyDB e PostgreSQL, devi attivare la registrazione IP in PostgreSQL.	È stato rilevato un accesso riuscito nell'istanza del database da un indirizzo IP di anonimizzazione noto. Ciò potrebbe indicare che un utente malintenzionato ha ottenuto l'accesso iniziale alla tua istanza. Per impostazione predefinita, i risultati sono classificati come gravità Elevata.	—
Accesso con credenziali: accesso a CloudDB non riuscito dall'IP del proxy con anonimizzazione	CLOUD_DB_LOGIN_FAILED_ANON_IP	Cloud Audit Logs: Log di accesso ai dati di AlloyDB per PostgreSQL Log di accesso ai dati di Cloud SQL per PostgreSQL Log di accesso ai dati di Cloud SQL per MySQL Nota: per utilizzare questa regola per AlloyDB e PostgreSQL, devi attivare la registrazione IP in PostgreSQL.	È stato rilevato un accesso non riuscito nell'istanza del database da un indirizzo IP con anonimizzazione noto. Ciò potrebbe indicare che un malintenzionato sta tentando di accedere alla tua istanza senza autorizzazione. Per impostazione predefinita, i risultati sono classificati come gravità Media.	—

Per le regole ritirate e chiuse, consulta Ritiri.

Moduli personalizzati per Event Threat Detection

Oltre alle regole di rilevamento integrate, Event Threat Detection fornisce modelli di moduli che puoi utilizzare per creare regole di rilevamento personalizzate. Per saperne di più, consulta Panoramica dei moduli personalizzati per Event Threat Detection.

Per creare regole di rilevamento per le quali non sono disponibili modelli di moduli personalizzati, puoi esportare i dati di log in BigQuery e poi eseguire query SQL uniche o ricorrenti che acquisiscono i tuoi modelli di minaccia.

Modifiche non sicure al gruppo Google

Questa sezione spiega come Event Threat Detection utilizza i log di Google Workspace, Cloud Audit Logs e le policy IAM per rilevare modifiche non sicure ai gruppi Google. Il rilevamento delle modifiche di Google Gruppi è supportato solo quando attivi Security Command Center a livello di organizzazione.

I clientiGoogle Cloud possono utilizzare i gruppi Google per gestire ruoli e autorizzazioni per i membri delle loro organizzazioni o applicare criteri di accesso a raccolte di utenti. Anziché concedere ruoli direttamente ai membri, gli amministratori possono concedere ruoli e autorizzazioni ai gruppi Google e poi aggiungere i membri a gruppi specifici. I membri del gruppo ereditano tutti i ruoli e le autorizzazioni di un gruppo, il che consente loro di accedere a servizi e risorse specifici.

Sebbene Google Gruppi sia un modo pratico per gestire controllo dell'accesso'accesso su larga scala, può rappresentare un rischio se utenti esterni alla tua organizzazione o al tuo dominio vengono aggiunti a gruppi con privilegi, ovvero gruppi a cui vengono concessi ruoli o autorizzazioni sensibili. I ruoli sensibili controllano l'accesso alle impostazioni di sicurezza e alle impostazioni della rete, ai log e alle informazioni che consentono l'identificazione personale (PII) e non sono consigliati per i membri di gruppi esterni.

Nelle grandi organizzazioni, gli amministratori potrebbero non essere a conoscenza dell'aggiunta di membri esterni a gruppi con privilegi. Cloud Audit Logs registra le concessioni di ruoli ai gruppi, ma questi eventi di log non contengono informazioni sui membri del gruppo, il che può oscurare il potenziale impatto di alcune modifiche al gruppo.

Se condividi i log di Google Workspace con Google Cloud, Event Threat Detection monitora i tuoi flussi di logging per i nuovi membri aggiunti ai Google Gruppi della tua organizzazione. Poiché i log si trovano a livello di organizzazione, Event Threat Detection può analizzare i log di Google Workspace solo quando attivi Security Command Center a livello di organizzazione. Event Threat Detection non può analizzare questi log quando attivi Security Command Center a livello di progetto.

Event Threat Detection identifica i membri esterni del gruppo e, utilizzando Cloud Audit Logs, esamina i ruoli IAM di ogni gruppo interessato per verificare se ai gruppi vengono concessi ruoli sensibili. Queste informazioni vengono utilizzate per rilevare le seguenti modifiche non sicure per i gruppi Google privilegiati:

• Membri esterni del gruppo aggiunti ai gruppi con privilegi
• Ruoli o autorizzazioni sensibili concessi a gruppi con membri esterni
• Gruppi con privilegi modificati per consentire a chiunque nel pubblico generale di partecipare

Event Threat Detection scrive i risultati in Security Command Center. I risultati contengono gli indirizzi email dei membri esterni appena aggiunti, i membri del gruppo interno che avviano eventi, i nomi dei gruppi e i ruoli sensibili associati ai gruppi. Puoi utilizzare le informazioni per rimuovere i membri esterni dai gruppi o revocare i ruoli sensibili concessi ai gruppi.

Per ulteriori informazioni sui risultati di Event Threat Detection, consulta Regole di Event Threat Detection.

Ruoli e autorizzazioni IAM sensibili

Questa sezione spiega come Event Threat Detection definisce i ruoli IAM sensibili. Per ruoli e autorizzazioni sensibili per le minacce dell'AI, consulta Ruoli e autorizzazioni IAM sensibili per l'AI.

I rilevamenti come IAM Anomalous Grant e Unsafe Google Group changes generano risultati solo se le modifiche riguardano ruoli con sensibilità alta o media. La sensibilità dei ruoli influisce sulla classificazione della gravità assegnata ai risultati.

• I ruoli ad alta sensibilità controllano i servizi critici nelle organizzazioni, tra cui fatturazione, impostazioni firewall e logging. I risultati che corrispondono a questi ruoli sono classificati come gravità Elevata.
• I ruoli con sensibilità media dispongono di autorizzazioni di modifica che consentono alle entità di apportare modifiche alle risorse Google Cloud ; e di autorizzazioni di visualizzazione ed esecuzione sui servizi di archiviazione dei dati che spesso contengono dati sensibili. La gravità assegnata ai risultati dipende dalla risorsa:
  • Se i ruoli di sensibilità media vengono concessi a livello di organizzazione, i risultati vengono classificati come gravità Elevata.
  • Se i ruoli di sensibilità media vengono concessi a livelli inferiori della gerarchia delle risorse (cartelle, progetti e bucket, tra gli altri), i risultati vengono classificati come gravità Media.

La concessione di questi ruoli sensibili è considerata pericolosa se il beneficiario è un membro esterno o un'identità anomala, ad esempio un principal inattivo da molto tempo.

La concessione di ruoli sensibili a membri esterni crea una potenziale minaccia perché possono essere usati in modo improprio per compromettere l'account edesfiltrazione di datii.

Le categorie che utilizzano questi ruoli sensibili includono:

• Persistenza: IAM Anomalous Grant
  • Sotto-regola: external_service_account_added_to_policy
  • Sotto-regola: external_member_added_to_policy
• Escalation dei privilegi: ruolo sensibile concesso al gruppo ibrido
• Privilege Escalation: al service account inattivo è stato concesso un ruolo sensibile

Le categorie che utilizzano un sottoinsieme dei ruoli sensibili includono:

• Persistenza: IAM Anomalous Grant
  • Sotto-regola: service_account_granted_sensitive_role_to_member

La regola secondaria service_account_granted_sensitive_role_to_member ha come target in generale sia i membri esterni che quelli interni e pertanto utilizza solo un sottoinsieme di ruoli sensibili, come spiegato in Regole di Event Threat Detection.

Categoria	Ruolo	Descrizione
Ruoli di base: contengono migliaia di autorizzazioni per tutti i servizi Google Cloud .	roles/owner	Ruoli di base
	roles/editor
Ruoli di sicurezza: controlla l'accesso alle impostazioni di sicurezza	roles/cloudkms.*	Tutti Ruoli Cloud Key Management Service
	roles/cloudsecurityscanner.*	Tutti Ruoli Web Security Scanner
	roles/dlp.*	Tutti i ruoli Sensitive Data Protection
	roles/iam.*	Tutti i ruoli IAM
	roles/secretmanager.*	Tutti Ruoli Secret Manager
	roles/securitycenter.*	Tutti i ruoli Security Command Center
Ruoli di logging: controlla l'accesso ai log di un'organizzazione	roles/errorreporting.*	Tutti Ruoli di Error Reporting
	roles/logging.*	Tutti i ruoli Cloud Logging
	roles/stackdriver.*	Tutti i ruoli Cloud Monitoring
Ruoli per le informazioni personali: controlla l'accesso alle risorse che contengono informazioni che consentono l'identificazione personale, inclusi dati bancari e di contatto	roles/billing.*	Tutti i ruoli di fatturazione Cloud
	roles/healthcare.*	Tutti Ruoli dell'API Cloud Healthcare
	roles/essentialcontacts.*	Tutti Ruoli di Contatti fondamentali
Ruoli di networking: controlla l'accesso alle impostazioni di rete di un'organizzazione	roles/dns.*	Tutti i ruoli Cloud DNS
	roles/domains.*	Tutti i ruoli Cloud Domains
	roles/networkconnectivity.*	Tutti Ruoli Network Connectivity Center
	roles/networkmanagement.*	Tutti i ruoli NCC
	roles/privateca.*	Tutti Ruoli Certificate Authority Service
Ruoli di servizio: controlla l'accesso alle risorse di servizio in Google Cloud	roles/cloudasset.*	Tutti Ruoli Cloud Asset Inventory
	roles/servicedirectory.*	Tutti Ruoli Service Directory
	roles/servicemanagement.*	Tutti i ruoli di Service Management
	roles/servicenetworking.*	Tutti Ruoli Service Networking
	roles/serviceusage.*	Tutti i ruoli Service Usage
Ruoli Compute Engine: controlla l'accesso alle macchine virtuali Compute Engine, che eseguono job a lunga esecuzione e sono associate a regole firewall	roles/compute.admin roles/compute.instanceAdmin roles/compute.instanceAdmin.v1 roles/compute.loadBalancerAdmin roles/compute.networkAdmin roles/compute.orgFirewallPolicyAdmin roles/compute.orgFirewallPolicyUser roles/compute.orgSecurityPolicyAdmin roles/compute.orgSecurityPolicyUser roles/compute.orgSecurityResourceAdmin roles/compute.osAdminLogin roles/compute.publicIpAdmin roles/compute.securityAdmin roles/compute.storageAdmin roles/compute.xpnAdmin	Tutti i ruoli Amministratore e Editor di Compute Engine

Categoria	Ruolo	Descrizione
Ruoli di modifica: ruoli IAM che includono autorizzazioni per apportare modifiche alle risorse Google Cloud	Esempi: roles/storage.objectAdmin roles/file.editor roles/source.writer roles/container.developer	I nomi dei ruoli di solito terminano con titoli come Amministratore, Proprietario, Editor o Autore. Espandi il nodo nell'ultima riga della tabella per visualizzare Tutti i ruoli con sensibilità media
Ruoli di archiviazione dati: ruoli IAM che includono autorizzazioni per visualizzare ed eseguire servizi di archiviazione dati	Esempi: roles/cloudsql.viewer roles/cloudsql.client roles/bigquery.dataViewer roles/bigquery.user roles/spanner.databaseReader roles/spanner.databaseUser	Espandi il nodo nell'ultima riga della tabella per visualizzare Tutti i ruoli con sensibilità media
Tutti i ruoli con sensibilità media Approvazione accesso roles/accessapproval.approver roles/accessapproval.configEditor Gestore contesto accesso roles/accesscontextmanager.gcpAccessAdmin roles/accesscontextmanager.policyAdmin roles/accesscontextmanager.policyEditor Azioni roles/actions.Admin AI Platform roles/ml.admin roles/ml.developer roles/ml.jobOwner roles/ml.modelOwner roles/ml.modelUser API Gateway roles/apigateway.admin App Engine roles/appengine.appAdmin roles/appengine.appCreator roles/appengine.serviceAdmin Artifact Analysis roles/containeranalysis.admin roles/containeranalysis.notes.attacher roles/containeranalysis.notes.editor roles/containeranalysis.occurrences.editor AutoML roles/automl.admin roles/automl.editor BigQuery roles/bigquery.admin roles/bigquery.dataEditor roles/bigquery.dataOwner roles/bigquery.dataViewer roles/bigquery.resourceAdmin roles/bigquery.resourceEditor roles/bigquery.resourceViewer roles/bigquery.user Bigtable roles/bigtable.admin roles/bigtable.reader roles/bigtable.user Autorizzazione binaria roles/binaryauthorization.attestorsAdmin roles/binaryauthorization.attestorsEditor roles/binaryauthorization.policyAdmin roles/binaryauthorization.policyEditor Scalabilità automatica di Cloud roles/autoscaling.metricsWriter roles/autoscaling.sitesAdmin roles/autoscaling.stateWriter Cloud Build roles/cloudbuild.builds.builder roles/cloudbuild.builds.editor Cloud Deployment Manager roles/deploymentmanager.editor roles/deploymentmanager.typeEditor Cloud Endpoints roles/endpoints.portalAdmin^Beta Cloud Monitoring roles/monitoring.admin roles/monitoring.alertPolicyEditor roles/monitoring.dashboardEditor roles/monitoring.editor roles/monitoring.metricWriter roles/monitoring.notificationChannelEditor roles/monitoring.servicesEditor roles/monitoring.uptimeCheckConfigEditor Cloud Run roles/run.admin roles/run.developer Cloud Run Functions roles/cloudfunctions.admin roles/cloudfunctions.developer roles/cloudfunctions.invoker API Cloud Runtime Configuration roles/runtimeconfig.admin Cloud Scheduler roles/cloudscheduler.admin Cloud Source Repositories roles/source.admin roles/source.writer Cloud SQL roles/cloudsql.admin roles/cloudsql.editor roles/cloudsql.client roles/cloudsql.instanceUser roles/cloudsql.viewer Cloud Storage roles/storage.admin roles/storage.hmacKeyAdmin roles/storage.objectAdmin roles/storage.objectCreator roles/storage.objectViewer roles/storage.legacyBucketOwner roles/storage.legacyBucketWriter roles/storage.legacyBucketReader roles/storage.legacyObjectOwner roles/storage.legacyObjectReader Cloud Tasks roles/cloudtasks.admin roles/cloudtasks.enqueuer roles/cloudtasks.queueAdmin roles/cloudtasks.taskDeleter Cloud TPU tpu.admin Cloud Trace roles/cloudtrace.admin roles/cloudtrace.agent Compute Engine roles/compute.imageUser roles/compute.osLoginExternalUser roles/osconfig.guestPolicyAdmin roles/osconfig.guestPolicyEditor roles/osconfig.osPolicyAssignmentAdmin roles/osconfig.osPolicyAssignmentEditor roles/osconfig.patchDeploymentAdmin Elaborazione dei dati di utilizzo dei clienti roles/dataprocessing.admin Data Catalog roles/datacatalog.admin roles/datacatalog.categoryAdmin roles/datacatalog.entryGroupCreator roles/datacatalog.entryGroupOwner roles/datacatalog.entryOwner Dataflow roles/dataflow.admin roles/dataflow.developer Managed Service for Apache Spark roles/dataproc.admin roles/dataproc.editor Dataproc Metastore roles/metastore.admin roles/metastore.editor Datastore roles/datastore.importExportAdmin roles/datastore.indexAdmin roles/datastore.owner roles/datastore.user Eventarc roles/eventarc.admin roles/eventarc.developer roles/eventarc.eventReceiver Filestore roles/file.editor Firebase roles/firebase.admin roles/firebase.analyticsAdmin roles/firebase.developAdmin roles/firebase.growthAdmin roles/firebase.qualityAdmin roles/firebaseabt.admin roles/firebaseappcheck.admin roles/firebaseappdistro.admin roles/firebaseauth.admin roles/firebasecrash.symbolMappingsAdmin roles/firebasecrashlytics.admin roles/firebasedatabase.admin roles/firebasedynamiclinks.admin roles/firebasehosting.admin roles/firebaseinappmessaging.admin roles/firebaseml.admin roles/firebasenotifications.admin roles/firebaseperformance.admin roles/firebasepredictions.admin roles/firebaserules.admin roles/firebasestorage.admin roles/cloudconfig.admin roles/cloudtestservice.testAdmin Google Cloud VMware Engine vmwareengine.vmwareengineAdmin Google Kubernetes Engine roles/container.admin roles/container.clusterAdmin roles/container.developer Google Kubernetes Engine Hub roles/gkehub.admin roles/gkehub.gatewayAdmin roles/gkehub.connect Gestione del servizio Google Security Operations roles/chroniclesm.admin Google Workspace roles/gsuiteaddons.developer Identity-Aware Proxy roles/iap.admin roles/iap.settingsAdmin Identity Platform roles/identityplatform.admin Identity Toolkit roles/identitytoolkit.admin Managed Service for Microsoft Active Directory roles/managedidentities.admin roles/managedidentities.domainAdmin roles/managedidentities.viewer Memorystore for Redis roles/redis.admin roles/redis.editor OAuthConfig roles/oauthconfig.editor API On-Demand Scanning roles/ondemandscanning.admin Monitoraggio configurazione applicazioni roles/opsconfigmonitoring.resourceMetadata.writer Servizio Policy dell'organizzazione roles/axt.admin roles/orgpolicy.policyAdmin Proximity Beacon roles/proximitybeacon.attachmentEditor roles/proximitybeacon.beaconEditor Pub/Sub roles/pubsub.admin roles/pubsub.editor Pub/Sub Lite roles/pubsublite.admin roles/pubsublite.editor roles/pubsublite.publisher reCAPTCHA roles/recaptchaenterprise.admin roles/recaptchaenterprise.agent Consigli roles/automlrecommendations.admin roles/automlrecommendations.editor Motore per suggerimenti roles/recommender.billingAccountCudAdmin roles/recommender.cloudAssetInsightsAdmin roles/recommender.cloudsqlAdmin roles/recommender.computeAdmin roles/recommender.firewallAdmin roles/recommender.iamAdmin roles/recommender.productSuggestionAdmin roles/recommender.projectCudAdmin Resource Manager roles/resourcemanager.folderAdmin roles/resourcemanager.folderCreator roles/resourcemanager.folderEditor roles/resourcemanager.folderIamAdmin roles/resourcemanager.folderMover roles/resourcemanager.lienModifier roles/resourcemanager.organizationAdmin roles/resourcemanager.projectCreator roles/resourcemanager.projectDeleter roles/resourcemanager.projectIamAdmin roles/resourcemanager.projectMover roles/resourcemanager.tagAdmin Impostazioni delle risorse roles/resourcesettings.admin API AI Commerce Search roles/retail.admin roles/retail.editor Accesso VPC serverless roles/vpcaccess.admin Service Consumer Management roles/serviceconsumermanagement.tenancyUnitsAdmin Spanner roles/spanner.admin roles/spanner.backupAdmin roles/spanner.backupWriter roles/spanner.databaseAdmin roles/spanner.restoreAdmin roles/spanner.databaseReader roles/spanner.databaseUser Storage Transfer Service roles/storagetransfer.admin roles/storagetransfer.user Gemini Enterprise Agent Platform roles/aiplatform.admin roles/aiplatform.featurestoreAdmin roles/aiplatform.migrator roles/aiplatform.user Blocchi note gestiti dall'utente di Vertex AI Workbench roles/notebooks.admin roles/notebooks.legacyAdmin Workflows roles/workflows.admin roles/workflows.editor

Ruoli e autorizzazioni IAM sensibili per l'AI

Per i risultati di Event Threat Detection relativi alle minacce AI, i ruoli sensibili sono definiti in modo diverso rispetto ai ruoli sensibili per le minacce non AI.

• I ruoli ad alta sensibilità per i risultati dell'AI includono i seguenti ruoli di base, di base legacy e predefiniti:

  • roles/admin
  • roles/writer
  • roles/owner
  • roles/editor
  • roles/resourcemanager.organizationAdmin
  • roles/iam.securityAdmin

• I ruoli con sensibilità media per i risultati dell'AI includono tutti i ruoli di amministratore, editor, proprietario e agente di servizio per qualsiasi Google Cloud servizio. Anche i seguenti ruoli sono considerati di sensibilità media:

  • roles/cloudkms.cryptoKeyDecrypter
  • roles/compute.osAdminLogin
  • roles/compute.osLogin
  • roles/iam.serviceAccountTokenCreator
  • roles/iam.serviceAccountUser
  • roles/logging.configWriter
  • roles/logging.privateLogViewer
  • roles/secretmanager.secretAccessor

• I ruoli a bassa sensibilità per i risultati dell'AI includono:

  • roles/cloudfunctions.developer
  • roles/run.developer
  • roles/appengine.deployer
  • roles/iam.workloadIdentityUser
  • roles/iam.serviceAccountOpenIdTokenCreator
  • roles/artifactregistry.createOnPushWriter

Le autorizzazioni AI sensibili includono quelle che consentono di creare, aggiornare, eliminare o esportare modelli e dati di AI, gestire ilcontrollo dell'accessoo ai servizi di AI (ad esempio setIamPolicy) e utilizzare funzionalità di AI come la creazione di previsioni. Sono incluse anche le autorizzazioni per gestire le credenziali sensibili, come le chiavi HMAC di Storage, che vengono spesso utilizzate in combinazione con i carichi di lavoro AI.

Tipi di log e requisiti di attivazione

Questa sezione elenca i log utilizzati da Event Threat Detection, insieme alle minacce che Event Threat Detection cerca in ogni log e cosa, se necessario, devi fare per attivare ogni log.

Devi attivare un log per Event Threat Detection solo se tutte le seguenti condizioni sono vere:

• Stai utilizzando il prodotto o il servizio che scrive nel log.
• Devi proteggere il prodotto o il servizio dalle minacce che Event Threat Detection rileva nel log.
• Il log è un audit log di accesso ai dati o un altro log disattivato per impostazione predefinita.

Alcune minacce possono essere rilevate in più log. Se Event Threat Detection è in grado di rilevare una minaccia in un log già attivato, non è necessario attivare un altro log per rilevare la stessa minaccia.

Se un log non è elencato in questa sezione, Event Threat Detection non lo analizza, anche se è attivato. Per saperne di più, consulta Scansioni dei log potenzialmente ridondanti.

Come descritto nella tabella seguente, alcuni tipi di log sono disponibili solo a livello di organizzazione. Se attivi Security Command Center a livello di progetto, Event Threat Detection non analizza questi log e non produce risultati.

Suggerimento: per valutare quali log esportare e analizzare per soddisfare le tue esigenze di sicurezza e conformità, utilizza lo strumento di definizione dell'ambito dei log di Google Cloud.

Origini log di base

Event Threat Detection utilizza origini dati di base per rilevare attività potenzialmente dannose nella tua rete.

• Se abiliti Event Threat Detection senza i log di flusso VPC, Event Threat Detection inizia immediatamente ad analizzare un flusso interno, duplicato e indipendente di log di flusso VPC. Per esaminare ulteriormente un risultato di Event Threat Detection esistente, devi abilitare i log di flusso VPC e passare manualmente a Esplora log e Flow Analyzer. Se abiliti i log di flusso VPC in un secondo momento, solo i risultati futuri conterranno i link pertinenti per ulteriori indagini.

• Se abiliti Event Threat Detection con i log di flusso VPC, Event Threat Detection inizia immediatamente ad analizzare i log di flusso VPC nel tuo deployment e fornisce link a Esplora log e Flow Analyzer per aiutarti a eseguire ulteriori indagini.

Log per il rilevamento di malware nella rete

Event Threat Detection può fornire il rilevamento di malware nella rete eseguendo la scansione di uno qualsiasi dei seguenti log:

• Logging di Cloud DNS
• Log di Cloud NAT
• Logging delle regole firewall
• Log di flusso VPC

Non è necessario abilitare più di uno tra il logging Cloud NAT, il logging delle regole firewall o i log di flusso VPC.

Se utilizzi già la registrazione di Cloud DNS, Event Threat Detection può rilevare malware utilizzando la risoluzione dei domini. Per la maggior parte degli utenti, i log di Cloud DNS sono sufficienti per il rilevamento di malware nella rete.

Se hai bisogno di un altro livello di visibilità oltre alla risoluzione del dominio, puoi attivare i log di flusso VPC, ma questi possono comportare costi. Per gestire questi costi, ti consigliamo di aumentare l'intervallo di aggregazione a 15 minuti e di ridurre la frequenza di campionamento a un valore compreso tra il 5% e il 10%, ma esiste un compromesso tra il richiamo (campione più alto) e la gestione dei costi (frequenza di campionamento più bassa). Per saperne di più, consulta Campionamento ed elaborazione dei log.

Se utilizzi già il logging delle regole firewall o il logging Cloud NAT, questi log sono utili al posto dei log di flusso VPC.

Dati di log supportati e minacce rilevate

Questa sezione elenca i log di Cloud Logging e Google Workspace che puoi attivare o configurare in altro modo per aumentare il numero di minacce che Event Threat Detection può rilevare.

Alcune minacce, come quelle rappresentate dalla simulazione o dalla delega anomala di unaccount di serviziot, sono presenti nella maggior parte dei log di controllo. Per questi tipi di minacce, devi determinare quali log attivare in base ai prodotti e servizi che utilizzi.

Costi di logging: prima di attivare un log per la scansione di Event Threat Detection, assicurati di comprendere come Cloud Logging addebita i costi per i dati di log. Dopo aver attivato un log, monitoralo per un paio di giorni per assicurarti che non comporti costi di logging imprevisti.

Sebbene la scansione dei log da parte di Event Threat Detection non comporti costi aggiuntivi, a seconda del volume di dati di log prodotti dalle tue organizzazioni e dai tuoi progetti, Cloud Logging potrebbe addebitarti l'importazione e l'archiviazione dei dati di log.

Per informazioni su come Logging addebita i costi per il logging, consulta Prezzi di Cloud Logging.

La tabella seguente mostra i log specifici che puoi attivare e il tipo di minacce che possono essere rilevate.

Log type	Threats detected	Configuration required
AlloyDB for PostgreSQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Initial Access: CloudDB Successful login from Anonymizing Proxy IP Privilege Escalation: AlloyDB Database Superuser Writes to User Tables Privilege Escalation: AlloyDB Over-Privileged Grant	Activate Logging Data Access audit logs for AlloyDB for PostgreSQL To detect the Privilege Escalation: AlloyDB Database Superuser Writes to User Tables and Privilege Escalation: AlloyDB Over-Privileged Grant threats, you must also enable the pgAudit extension
authlogs/authlog on virtual machines	Brute force SSH	Install the Ops Agent or the legacy Logging agent on your VM hosts
Cloud DNS logging	Log4j Malware: Bad Domain Malware: bad domain Malware: Cryptomining Bad Domain	Turn on Cloud DNS logging See also Logs for network detection of malware.
Cloud SQL MySQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket Initial Access: CloudDB Successful login from Anonymizing Proxy IP	Activate Logging Data Access audit logs for Cloud SQL for MySQL
Cloud NAT logging	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on Cloud NAT logging See also Logs for network detection of malware.
Cloud SQL PostgreSQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket Exfiltration: Cloud SQL Over-Privileged Grant Initial Access: CloudDB Successful login from Anonymizing Proxy IP	Activate Logging Data Access audit logs for Cloud SQL for PostgreSQL. To detect the Exfiltration: Cloud SQL Over-Privileged Grant threat, you must also enable the pgAudit extension
External Application Load Balancer backend service logs	Initial Access: Log4j Compromise Attempt	Turn on external Application Load Balancer logging
Firewall Rules Logging	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on Firewall Rules Logging See also Logs for network detection of malware.
Generic Data Access audit logs	Initial Access: Leaked Service Account Key Used Privilege Escalation: Anomalous Multistep Service Account Delegation for AI Data Access Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Privilege Escalation: Anomalous Service Account Impersonator for AI Data Access Privilege Escalation: Anomalous Service Account Impersonator for Data Access	Activate Logging Data Access audit logs.
Google Kubernetes Engine (GKE) Data Access audit logs	Discovery: Can get sensitive Kubernetes object check Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials	Activate Logging Data Access audit logs for GKE
Google Workspace Admin Audit logs	Persistence: SSO Enablement Toggle Persistence: SSO Settings Changed Persistence: Strong Authentication Disabled Persistence: Two Step Verification Disabled Privilege Escalation: Privileged Group Opened To Public	Share Google Workspace Admin Audit logs with Cloud Logging This log type can't be scanned in project-level activations.
Google Workspace Login Audit logs	Credential Access: External Member Added To Privileged Group Initial Access: Account Disabled Hijacked Initial Access: Disabled Password Leak Initial Access: Government Based Attack Initial Access: Suspicious Login Blocked Persistence: Two Step Verification Disabled	Share Google Workspace Login Audit logs with Cloud Logging This log type can't be scanned in project-level activations.
IAM Data Access audit logs	Discovery: AI Agent Service Account Self-Investigation Discovery: Service Account Self-Investigation Privilege Escalation: AI Agent Cross-Project Access Token Generation Privilege Escalation: AI Agent Cross-Project OpenID Token Generation Privilege Escalation: AI Agent Token Generation Using Implicit Delegation Privilege Escalation: AI Agent Token Generation Using signJwt	Activate Logging Data Access audit logs for Resource Manager
SQL Server Data Access audit logs	Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket	Activate Logging Data Access audit logs for Cloud SQL for SQL Server
VPC Flow Logs	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on VPC Flow Logs See also Logs for network detection of malware.

Log sempre attivi

La tabella seguente elenca i log di Cloud Logging che non devi attivare o configurare. Questi log sono sempre attivi e vengono scansionati automaticamente da Event Threat Detection.

Tipo di log	Minacce rilevate	Configurazione necessaria
Log del motore agente	Accesso alle credenziali: accesso anomalo dell'agente AI al servizio di metadati (anteprima) Rilevamento: prova di scansione delle porte dall'agente AI (anteprima)	Nessuno
Log di controllo dell'attività di Backup e DR Admin	Impatto: il servizio di Backup e RE di Google Cloud fa scadere tutte le immagini Impatto: backup di Google Cloud Backup e DR eliminato Impatto: host di Backup e RE di Google Cloud eliminato Impatto: associazione del piano di Backup e RE di Google Cloud eliminata Impatto: eliminazione del vault di backup e DR di Google Cloud Impatto: policy di eliminazione di Backup e RE di Google Cloud Impatto: eliminazione del profilo di backup e RE di Google Cloud Impatto: modello di eliminazione di backup e RE di Google Cloud Impatto: l'immagine di Google Cloud Backup e RE scade Impatto: Google Cloud Backup e RE riduce la scadenza del backup Impatto: Backup e RE di Google Cloud riduce la frequenza di backup Impatto: rimozione dell'appliance di backup e RE di Google Cloud Impatto: rimozione del piano di backup e RE di Google Cloud Inibisci il ripristino del sistema: Google Cloud Backup e RE elimina il pool di archiviazione	Nessuno
Log di accesso ai dati BigQueryAuditMetadata	Esfiltrazione: l'agente AI ha avviato l'estrazione dei dati di BigQuery Esfiltrazione: l'agente AI ha avviato l'esfiltrazione dei dati di BigQuery nella tabella esterna Esfiltrazione: l'agente AI ha avviato una violazione del perimetro VPC di BigQuery Esfiltrazione: esfiltrazione dei dati di BigQuery Esfiltrazione: estrazione dei dati di BigQuery Esfiltrazione: dati di BigQuery su Google Drive Esfiltrazione: spostamento alla risorsa BigQuery pubblica (anteprima)	Nessuno
Audit log generici delle attività di amministrazione	Evasione della difesa: filtro IP del bucket GCS modificato Evasione della difesa: blocco di policy HTTP del progetto disabilitato Evasione della difesa: ruolo TokenCreator a livello di cartella aggiunto Evasione della difesa: ruolo TokenCreator a livello di cartella concesso all'agente AI Evasione della difesa: ruolo TokenCreator a livello di organizzazione aggiunto Defense Evasion: Organization Level TokenCreator Role Granted to AI Agent Evasione della difesa: ruolo TokenCreator a livello di progetto aggiunto Evasione della difesa: ruolo TokenCreator a livello di progetto concesso all'agente AI Rilevamento: chiamata non autorizzata all'API del service account dell'agente AI Accesso iniziale: azioni negate per autorizzazioni eccessive dell'identità dell'agente AI Accesso iniziale: azione service account inattivo Accesso iniziale: attività del service account inattivo nel servizio AI Accesso iniziale: chiave del service account inattivo creata Accesso iniziale: azioni negate per autorizzazioni eccessive Accesso iniziale: chiave service account divulgata utilizzata Movimento laterale: disco di avvio modificato collegato all'istanza (anteprima) Persistenza: Aggiunta chiave SSH amministratore GCE Persistenza: script di avvio aggiunto dall'amministratore GCE Persistenza: nuovo metodo API AI Persistenza: nuovo metodo API Persistenza: nuova area geografica Persistenza: nuova area geografica per il servizio AI Persistenza: nuovo user agent Persistenza: autorizzazione AI sensibile aggiunta al ruolo personalizzato Persistenza: ruolo sensibile concesso all'agente AI esterno Persistenza: ruolo sensibile concesso dall'agente AI Privilege Escalation: Anomalous Impersonation of Service Account for Admin Activity Elevazione dei privilegi: simulazione anomala dell'identità del service account per l'attività di amministrazione AI Escalation dei privilegi: delega anomala del service account con più passaggi per l'attività di amministrazione Privilegio Escalation: Delega anomala del service account con più passaggi per l'attività di amministrazione AI Privilegio Escalation: Anomalous Service Account Impersonator for Admin Activity Privilege Escalation: Anomalous Service Account Impersonator for AI Admin Activity	Nessuno
Log di controllo delle attività di amministrazione di Google Kubernetes Engine (GKE)	Accesso con credenziali: tentativo di approvazione della richiesta di firma del certificato (CSR) di Kubernetes non riuscito Accesso con credenziali: richiesta di firma del certificato (CSR) Kubernetes approvata manualmente (anteprima) Evasione di difesa: accesso amministrativo al cluster concesso da sessioni anonime Evasione di difesa: richiesta di firma del certificato (CSR) eliminata manualmente Evasione della difesa: potenziale mascheramento di pod Kubernetes Evasione della difesa: pod statico creato Esecuzione: avvio del container con funzionalità eccessive GKE (anteprima) Esecuzione: Kubernetes Pod Created with Potential Reverse Shell Arguments Esecuzione: esecuzione o collegamento sospetti a un pod di sistema (anteprima) Esecuzione: workload attivato nello spazio dei nomi sensibile Impatto: rilevata modifica di kube-dns GKE (anteprima) Impatto: Nomi dei container Kubernetes sospetti - Mining di criptovaluta Accesso iniziale: risorsa GKE anonima creata da internet (anteprima) Accesso iniziale: servizio NodePort GKE creato Accesso iniziale: risorsa GKE modificata in modo anonimo da internet (anteprima) Accesso iniziale: chiamata API riuscita effettuata da un IP proxy TOR Persistenza: rilevata configurazione webhook GKE Persistenza: service account creato nello spazio dei nomi sensibile Escalation dei privilegi: modifiche agli oggetti RBAC Kubernetes sensibili Escalation dei privilegi: ClusterRole con verbi con privilegi (anteprima) Escalation dei privilegi: ClusterRoleBinding a ruolo con privilegi Escalation dei privilegi: crea una richiesta CSR Kubernetes per il certificato principale Escalation dei privilegi: creazione di associazioni Kubernetes sensibili Elevazione dei privilegi: accesso al cluster GKE concesso a utenti anonimi Escalation dei privilegi: avvia un container Kubernetes con privilegi Escalation dei privilegi: nomi dei container Kubernetes sospetti - Exploit ed escape (anteprima) Escalation dei privilegi: workload creato con un montaggio del percorso host sensibile (anteprima) Escalation dei privilegi: workload con shareProcessNamespace abilitato (anteprima)	Nessuno
Audit log delle attività di amministrazione IAM	Persistenza: IAM Anomalous Grant (anteprima) Persistenza: all'account non gestito è stato concesso un ruolo sensibile Escalation dei privilegi: service account Compute Engine predefinito SetIAMPolicy Privilege Escalation: al service account inattivo è stato concesso un ruolo sensibile Elevazione dei privilegi: ruolo per furto d'identità concesso per service account inattivo Escalation dei privilegi: ruolo sensibile concesso al gruppo ibrido	Nessuno
Audit log degli eventi di sistema IAM	Esecuzione: immagine Docker per il cryptomining Impatto: comandi di cryptomining	Nessuno
Log delle attività di amministrazione di MySQL	Esfiltrazione: backup di ripristino di Cloud SQL su un'organizzazione esterna	Nessuno
Log attività amministratore PostgreSQL	Esfiltrazione: backup di ripristino di Cloud SQL su un'organizzazione esterna	Nessuno
Log delle attività di amministrazione di SQL Server	Esfiltrazione: backup di ripristino di Cloud SQL su un'organizzazione esterna	Nessuno
Audit log dei Controlli di servizio VPC	Defense Evasion: Modify VPC Service Control (anteprima)	Nessuno

Passaggi successivi

• Scopri di più sull'utilizzo di Event Threat Detection.
• Scopri come analizzare e sviluppare piani di risposta per le minacce.