Descripción general de Event Threat Detection

Niveles de servicio Premium y Enterprise (obsoletos)

El nivel de servicio de Security Command Center Enterprise dejará de estar disponible el 21 de mayo de 2027. Si tu organización usa el nivel de servicio Enterprise, se moverá automáticamente al nivel de servicio Premium a partir del 21 de mayo de 2027. Si tienes preguntas, comunícate con tu representante de cuenta o con un especialista en ventas deGoogle Cloud .

¿Qué es Event Threat Detection?

Event Threat Detection es un servicio integrado para el nivel Premium de Security Command Center que supervisa de forma continua tu organización o tus proyectos, y que identifica amenazas en tus sistemas casi en tiempo real. Event Threat Detection se actualiza con regularidad con detectores nuevos para identificar amenazas emergentes a escala de la nube.

Cómo funciona Event Threat Detection

Event Threat Detection supervisa el flujo de Cloud Logging de tu organización o tus proyectos. Si activas el nivel Premium de Security Command Center a nivel de la organización, Event Threat Detection consume registros para tus proyectos a medida que se crean, y Event Threat Detection puede supervisar los registros de Google Workspace. Cloud Logging contiene entradas de registro de las llamadas a la API y otras acciones que crean, leen o modifican la configuración o los metadatos de tus recursos. Los registros de Google Workspace rastrean los accesos de los usuarios a tu dominio y proporcionan un registro de las acciones realizadas en la Consola del administrador de Google Workspace.

Las entradas de registro contienen información de estado y eventos que usa Event Threat Detection para detectar con rapidez las amenazas. Event Threat Detection aplica la lógica de detección y los métodos de inteligencia contra amenazas de propiedad exclusiva, como la identificación de indicadores de compromiso (IoC), la creación de perfiles en un período variable, el aprendizaje automático y la detección de anomalías, para identificar amenazas casi en tiempo real.

Cuando Event Threat Detection detecta una amenaza, escribe un hallazgo en Security Command Center. Si activas el nivel Premium de Security Command Center a nivel de la organización, Security Command Center puede escribir hallazgos en un proyecto de Cloud Logging. Desde Cloud Logging y el registro de Google Workspace, puedes exportar hallazgos a otros sistemas con Pub/Sub y procesarlos con Cloud Run Functions.

Si activas el nivel Premium de Security Command Center a nivel de la organización, también puedes usar Google Security Operations para investigar algunos hallazgos. Google SecOps es un servicio de Google Cloud que te permite investigar amenazas y alternar por entidades relacionadas en un cronograma unificado. Para obtener instrucciones sobre cómo enviar hallazgos a Google SecOps, consulta Investiga hallazgos en Google SecOps.

La capacidad para ver y editar hallazgos y registros se determina mediante las funciones de administración de identidades y accesos (IAM). Para obtener más información sobre los roles de IAM de Security Command Center, consulta Control de acceso.

Enriquecimiento de datos sensibles

Event Threat Detection se integra en Sensitive Data Protection para enriquecer los hallazgos de recursos sensibles. Si habilitaste los análisis de descubrimiento de Sensitive Data Protection y los configuraste para enviar resultados a Security Command Center, Event Threat Detection puede usar los metadatos de sensibilidad de tus recursos de BigQuery y Cloud Storage para ajustar los hallazgos:

• Cambios de categoría: Si Sensitive Data Protection identifica que un recurso tiene una sensibilidad alta o moderada, la categoría del hallazgo se actualiza a una categoría específica que indica que el recurso es sensible. Por ejemplo, si se usa una clave de cuenta de servicio filtrada para acceder a un bucket sensible, la categoría del hallazgo cambia de Initial Access: Leaked Service Account Key Used a Initial Access: Leaked Service Account Key Affecting Sensitive Data.
• Actualizaciones de gravedad: Si la gravedad predeterminada del hallazgo es menor que Alta (es decir, Baja o Media), la gravedad se actualiza un nivel (por ejemplo, de Media a Alta).

Para obtener una lista de las reglas que admiten el enriquecimiento de datos sensibles, consulta las reglas predeterminadas de Event Threat Detection.

Reglas de Event Threat Detection

Las reglas definen el tipo de amenazas que detecta Event Threat Detection y los tipos de registros que deben habilitarse para que funcionen los detectores. Los registros de auditoría de actividad del administrador se escriben siempre; no puedes configurarlos ni inhabilitarlos.

Event Threat Detection incluye las siguientes reglas predeterminadas:

Análisis activo Ataques de fuerza bruta Comando y control Acceso a credenciales Destrucción de datos Evasión de defensa Denegación del servicio Discovery Robo de datos Impacto Debilitación de defensas Inhibición de la recuperación del sistema Acceso inicial Movimiento lateral Software malicioso Persistencia Elevación de privilegios Desarrollo de recursos Borrar todo

Nombre visible	Nombre de la API	Tipos de fuente del archivo de registro	Descripción	Enriquecimiento de datos sensibles
Análisis activo: Log4j es vulnerable a RCE	No disponible	Registros de Cloud DNS	Los escáneres de vulnerabilidades de Log4j iniciaron e identificaron consultas de DNS para dominios sin ofuscar. Esta vulnerabilidad puede provocar la ejecución remota de código (RCE). De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Impacto: Se borró el host de Backup and DR de Google Cloud	BACKUP_HOSTS_DELETE_HOST	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador del servicio Backup and DR	Se borró un host de la consola de administración de Backup and DR. Es posible que las aplicaciones asociadas con el host borrado no estén protegidas. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Impacto: Backup and DR de Google Cloud vence la imagen	BACKUP_EXPIRE_IMAGE	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Un usuario solicitó la eliminación de una imagen de copia de seguridad desde la consola de administración de Backup and DR. La eliminación de una imagen de copia de seguridad no impide que se realicen copias de seguridad futuras. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Impacto: Se quita el plan de Backup and DR de Google Cloud	BACKUP_REMOVE_PLAN	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Se borró un plan de copia de seguridad con varias políticas para una aplicación de Backup and DR. El borrado de un plan de copia de seguridad puede impedir que se realicen copias de seguridad en el futuro. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Impacto: Backup and DR de Google Cloud caduca todas las imágenes	BACKUP_EXPIRE_IMAGES_ALL	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Un usuario solicitó borrar todas las imágenes de copia de seguridad de una aplicación protegida desde la consola de administración de Backup and DR. La eliminación de las imágenes de copia de seguridad no impide que se realicen copias de seguridad futuras. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Impacto: Se borra la plantilla de Backup and DR de Google Cloud	BACKUP_TEMPLATES_DELETE_TEMPLATE	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Se borró una plantilla de copia de seguridad predefinida, que se usa para configurar copias de seguridad de varias aplicaciones, de la consola de administración de Backup and DR. Es posible que se vea afectada la capacidad de configurar copias de seguridad en el futuro. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Impacto: Política de borrado de Backup and DR de Google Cloud	BACKUP_TEMPLATES_DELETE_POLICY	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Se borró una política de Backup and DR, que define cómo se crea una copia de seguridad y dónde se almacena, de la consola de administración de Backup and DR. Es posible que fallen las copias de seguridad futuras que usen la política. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Impacto: Se borra el perfil de Backup and DR de Google Cloud	BACKUP_PROFILES_DELETE_PROFILE	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Se borró un perfil de Backup and DR, que define qué grupos de almacenamiento se deben usar para almacenar copias de seguridad, de la consola de administración de Backup and DR. Es posible que fallen las copias de seguridad futuras que usen el perfil. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Impacto: Se quitó el dispositivo de Backup and DR de Google Cloud	BACKUP_APPLIANCES_REMOVE_APPLIANCE	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Se borró un dispositivo de copia de seguridad de la consola de administración de Backup and DR. Es posible que las aplicaciones que están asociadas con el dispositivo de copia de seguridad borrado no estén protegidas. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Impacto: Se borra el grupo de almacenamiento de Backup and DR de Google Cloud	BACKUP_STORAGE_POOLS_DELETE	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Se quitó un grupo de almacenamiento, que asocia un bucket de Cloud Storage con Backup and DR, de la consola de administración de Backup and DR. Las copias de seguridad futuras en este destino de almacenamiento fallarán. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Impacto: Backup and DR de Google Cloud redujo el vencimiento de las copias de seguridad	BACKUP_REDUCE_BACKUP_EXPIRATION	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	La fecha de vencimiento de una copia de seguridad protegida por Backup and DR se redujo a través de la consola de administración de Backup and DR. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Impacto: Backup and DR de Google Cloud redujo la frecuencia de las copias de seguridad	BACKUP_REDUCE_BACKUP_FREQUENCY	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Se modificó la programación de copias de seguridad de Backup and DR para reducir la frecuencia de las copias de seguridad a través de la consola de administración de Backup and DR. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Impacto: Se borró la vault de Backup and DR de Google Cloud	BACKUP_DELETE_VAULT	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Se borró una backup vault. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Impacto: Se borró la copia de seguridad de Backup and DR de Google Cloud	BACKUP_DELETE_VAULT_BACKUP	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Se borró de forma manual una copia de seguridad almacenada en una backup vault. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Impacto: Se borró la asociación del plan de Backup and DR de Google Cloud	BACKUP_DELETE_BACKUP_PLAN_ASSOCIATION	Registros de auditoría de Cloud: Registros de auditoría de la actividad del administrador de Backup and DR	Se quitó un plan de copia de seguridad de Backup and DR de una carga de trabajo. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Ataques de fuerza bruta a SSH	BRUTE_FORCE_SSH	authlog	Un actor obtuvo acceso SSH en un host a través de técnicas de fuerza bruta. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
IDS de Cloud: THREAT_IDENTIFIER	CLOUD_IDS_THREAT_ACTIVITY	Registros de IDS de Cloud	IDS de Cloud detectó eventos de amenazas. El IDS de Cloud detecta ataques de capa 7 analizando paquetes duplicados y, cuando se detecta un evento de amenaza, envía un hallazgo de clase de amenaza a Security Command Center. Los nombres de las categorías de los hallazgos comienzan con "IDS de Cloud" seguido del identificador de amenazas del IDS de Cloud. La integración de IDS de Cloud con Event Threat Detection no incluye las detecciones de vulnerabilidades de IDS de Cloud. De forma predeterminada, los hallazgos se clasifican como de gravedad baja. Para obtener más información sobre las detecciones de IDS de Cloud, consulta Información de registros de IDS de Cloud.	—
Elevación de privilegios: Se agregó un miembro externo al grupo con privilegios	EXTERNAL_MEMBER_ADDED_TO_PRIVILEGED_GROUP	Registros de Google Workspace: Auditoría de acceso Permisos: DATA_READ	Se agregó un miembro externo a un Grupo de Google con privilegios (un grupo al que se le otorgan roles o permisos sensibles). Se genera un hallazgo solo si el grupo aún no contiene otros miembros externos de la misma organización que el miembro recién agregado. Para obtener más información, consulta Cambios no seguros en Grupos de Google. Este hallazgo no está disponible para las activaciones a nivel del proyecto. Los hallazgos se clasifican como de gravedad Alta o Media, según la sensibilidad de los roles asociados con el cambio de grupo. Para obtener más información, consulta Roles y permisos sensibles de IAM.	—
Elevación de privilegios: Grupo con privilegios abierto al público	PRIVILEGED_GROUP_OPENED_TO_PUBLIC	Google Workspace: Auditoría de administradores Permisos: DATA_READ	Se cambió un Grupo de Google con privilegios (un grupo al que se le otorgan roles o permisos sensibles) para que sea accesible al público en general. Para obtener más información, consulta Cambios no seguros en Grupos de Google. Este hallazgo no está disponible para las activaciones a nivel del proyecto. Los hallazgos se clasifican como de gravedad Alta o Media, según la sensibilidad de los roles asociados con el cambio de grupo. Para obtener más información, consulta Roles y permisos sensibles de IAM.	—
Elevación de privilegios: Rol sensible otorgado al grupo híbrido	SENSITIVE_ROLE_TO_GROUP_WITH_EXTERNAL_MEMBER	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se otorgaron roles sensibles a un Grupo de Google con miembros externos. Para obtener más información, consulta Cambios no seguros en Grupos de Google. Los hallazgos se clasifican como de gravedad Alta o Media, según la sensibilidad de los roles asociados con el cambio de grupo. Para obtener más información, consulta Roles y permisos sensibles de IAM.	—
Evasión de defensa: Se creó la implementación de la carga de trabajo de anulación de emergencia (versión preliminar)	BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_CREATE	Registros de auditoría de Cloud: Registros de actividad del administrador	Las cargas de trabajo se implementaron con la marca de emergencia para anular los controles de Autorización Binaria. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Evasión de defensa: Se actualizó la implementación de la carga de trabajo de anulación de emergencia (versión preliminar)	BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_UPDATE	Registros de auditoría de Cloud: Registros de actividad del administrador	Las cargas de trabajo se actualizaron con la marca de emergencia para anular los controles de Autorización Binaria. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Detección: Evidencia de análisis de puertos del agente de IA (versión preliminar)	AGENT_ENGINE_PORT_SCANNING_EVIDENCE	Registros de Agent Engine: Registros de Agent Engine	Un agente de IA mostró un comportamiento de análisis de puertos horizontal o vertical. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Detección: Llamada no autorizada a la API de Service Account por parte del agente de IA (versión preliminar)	AGENT_ENGINE_UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador	Una cuenta de servicio realizó una llamada a la API no autorizada a un proyecto externo a través de un agente de IA. Este comportamiento puede indicar que un usuario no autorizado intenta obtener detalles sobre los recursos, habilitar o inhabilitar servicios, o realizar otras acciones no autorizadas a través de un agente de IA. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	Categoría: Discovery: AI Agent Unauthorized Service Account API Call Affecting Sensitive Data Gravedad: De baja a media
Evasión de defensas: Se modificó el filtro de IP del bucket de GCS	GCS_BUCKET_IP_FILTERING_MODIFIED	Registros de auditoría de Cloud: Registros de actividad del administrador	Una cuenta de usuario o de servicio cambió la configuración de filtrado de IP de un bucket de Cloud Storage. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Defense Evasion: Modifica el Control de servicios de VPC	DEFENSE_EVASION_MODIFY_VPC_SERVICE_CONTROL	Registros de auditoría de Cloud Registros de auditoría de los Controles del servicio de VPC	Se modificó un perímetro de Controles del servicio de VPC existente que generaría una reducción en la protección que ofrece ese perímetro. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Evasión de defensa: Se inhabilitó el bloqueo de la política HTTP del proyecto	PROJECT_HTTP_POLICY_BLOCK_DISABLED	Registros de auditoría de Cloud: Registros de actividad del administrador	Un usuario o una cuenta de servicio activaron correctamente una acción para inhabilitar storage.secureHttpTransport en un proyecto. Esto también se aplica cuando la acción se realiza a nivel de organización o de carpeta, ya que las políticas aplicadas en este nivel se heredan de forma predeterminada en los proyectos secundarios. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Descubrimiento: Autoinvestigación de la cuenta de servicio del agente de IA (versión preliminar)	AGENT_ENGINE_IAM_ANOMALOUS_BEHAVIOR_SERVICE_ACCOUNT_GETS_OWN_IAM_POLICY	Registros de auditoría de Cloud: Registros de auditoría de acceso a los datos de IAM Permisos: DATA_READ	Se usó una identidad asociada con un agente de IA para investigar los roles y los permisos asociados con esa misma cuenta de servicio. Los hallazgos se clasifican como de gravedad Baja si se autorizó la solicitud o de gravedad Alta si no se autorizó.	—
Descubrimiento: Puede obtener la comprobación de objetos Kubernetes sensibles	GKE_CONTROL_PLANE_CAN_GET_SENSITIVE_OBJECT	Registros de auditoría de Cloud: Registros de acceso a los datos de GKE	Un agente malicioso potencial intentó determinar qué objetos sensibles en GKE puede consultar con el comando kubectl auth can-i get. Específicamente, la regla detecta si el agente verificó el acceso a la API en los siguientes objetos: * (todo) cluster-admin ClusterRole Secret De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Descubrimiento: Autoinvestigación de cuentas de servicio	SERVICE_ACCOUNT_SELF_INVESTIGATION	Registros de auditoría de Cloud: Registros de auditoría de acceso a los datos de IAM Permisos: DATA_READ	Se usó una credencial de la cuenta de servicio de IAM para investigar los roles y los permisos asociados con esa misma cuenta de servicio. Roles sensibles Los hallazgos se clasifican como de gravedad Alta o Media, según la sensibilidad de los roles otorgados. Para obtener más información, consulta Roles y permisos sensibles de IAM.	—
Acceso a credenciales: Acceso anómalo al servicio de metadatos por parte del agente de IA (versión preliminar)	AGENT_ENGINE_ANOMALOUS_ACCESS_TO_METADATA_SERVICE	Registros de Agent Engine: Registros de Agent Engine	Un agente de IA recuperó un token de cuenta de servicio de un servidor de metadatos. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Evasión: Acceso desde un proxy de anonimización	ANOMALOUS_ACCESS	Registros de auditoría de Cloud: Registros de actividad del administrador	Modificaciones del servicio de Google Cloud que se originaron en una dirección IP asociada con la red Tor De forma predeterminada, los hallazgos se clasifican como de gravedad media.	—
Robo de datos: Robo de datos de BigQuery	DATA_EXFILTRATION_BIG_QUERY	Registros de auditoría de Cloud: Registros de acceso a los datos de BigQueryAuditMetadata Permisos: DATA_READ	Detecta las siguientes situaciones: Los recursos que pertenecen a la organización protegida se guardaron fuera de la organización, incluidas las operaciones de copia o transferencia. Esta situación se indica con una regla secundaria de exfil_to_external_table y gravedad Alta. Se intentó acceder a recursos de BigQuery protegidos por los Controles del servicio de VPC. Esta situación se indica con una subregla de vpc_perimeter_violation y gravedad Baja.	Categoría: Exfiltration: Sensitive BigQuery Data Exfiltration Gravedad: De baja a media
Robo de datos: Extracción de datos de BigQuery	DATA_EXFILTRATION_BIG_QUERY_EXTRACTION	Registros de auditoría de Cloud: Registros de acceso a los datos de BigQueryAuditMetadata Permisos: DATA_READ	Detecta las siguientes situaciones: Se guardó un recurso de BigQuery que pertenece a la organización, a través de operaciones de extracción, en un bucket de Cloud Storage fuera de la organización. Un recurso de BigQuery que pertenece a la organización protegida se guardó, a través de operaciones de extracción, en un bucket de Cloud Storage de acceso público que pertenece a esa organización. Para las activaciones a nivel de proyecto de Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard heredado está habilitado en la organización principal. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	Categoría: Exfiltration: Sensitive BigQuery Data Extraction Gravedad: De baja a media
Robo de datos: El agente de IA inició una infracción del perímetro de VPC de BigQuery (versión preliminar)	AGENT_ENGINE_BIG_QUERY_EXFIL_VPC_PERIMETER_VIOLATION	Registros de auditoría de Cloud: Registros de acceso a los datos de BigQueryAuditMetadata Permisos: DATA_READ	Detecta un intento de un agente de IA de acceder a recursos de BigQuery que están protegidos por los Controles del servicio de VPC. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Robo de datos: El agente de IA inició el robo de datos de BigQuery a una tabla externa (versión preliminar)	AGENT_ENGINE_BIG_QUERY_EXFIL_TO_EXTERNAL_TABLE	Registros de auditoría de Cloud: Registros de acceso a los datos de BigQueryAuditMetadata Permisos: DATA_READ	Detecta cuándo un agente de IA guardó recursos de la organización protegida fuera de la organización, incluidas las operaciones de copia o transferencia. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	Categoría: Exfiltration: AI Agent Initiated Sensitive BigQuery Data Exfiltration to External Table Gravedad: Sin cambios (predeterminada: Alta)
Robo de datos: El agente de IA inició el robo de datos de Cloud SQL a un bucket público (versión preliminar)	AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS	Registros de auditoría de Cloud: Registros de acceso a los datos de MySQL Registros de acceso a los datos de PostgreSQL Registros de acceso a los datos de SQL Server	Detecta cuando un agente de IA exportó datos de instancias activas a un bucket de Cloud Storage que pertenece a la organización y que es de acceso público. Para las activaciones a nivel de proyecto de Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard heredado está habilitado en la organización principal. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Robo de datos: El agente de IA inició el robo de datos de Cloud SQL a un bucket externo (versión preliminar)	AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS	Registros de auditoría de Cloud: Registros de acceso a los datos de MySQL Registros de acceso a los datos de PostgreSQL Registros de acceso a los datos de SQL Server	Detecta cuándo un agente de IA exportó datos de una instancia activa a un bucket de Cloud Storage fuera de la organización. Para las activaciones a nivel de proyecto de Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard heredado está habilitado en la organización principal. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Robo de datos: El agente de IA inició la extracción de datos de BigQuery (versión preliminar)	AGENT_ENGINE_BIG_QUERY_EXFIL_TO_CLOUD_STORAGE	Registros de auditoría de Cloud: Registros de acceso a los datos de BigQueryAuditMetadata Permisos: DATA_READ	Detecta las siguientes situaciones de una extracción de datos de BigQuery iniciada por un agente de IA: Un recurso de BigQuery que pertenece a la organización protegida se guardó, a través de operaciones de extracción, en un bucket de Cloud Storage fuera de la organización. Un recurso de BigQuery que pertenece a la organización protegida se guardó, a través de operaciones de extracción, en un bucket de Cloud Storage de acceso público que pertenece a esa organización. Para las activaciones a nivel de proyecto de Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard heredado está habilitado en la organización principal. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	Categoría: Exfiltration: AI Agent Initiated Sensitive BigQuery Data Extraction Gravedad: De baja a media
Robo de datos: datos de BigQuery en Google Drive	DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE	Registros de auditoría de Cloud: Registros de acceso a los datos de BigQueryAuditMetadata Permisos: DATA_READ	Un recurso de BigQuery que pertenece a la organización protegida se guardó, a través de operaciones de extracción, en una carpeta de Google Drive. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	Categoría: Exfiltration: Sensitive BigQuery Data to Google Drive Gravedad: De baja a media
Robo de datos: Migra a un recurso público de BigQuery	DATA_EXFILTRATION_BIG_QUERY_TO_PUBLIC_RESOURCE	Registros de auditoría de Cloud: Registros de acceso a los datos de BigQueryAuditMetadata Permisos: DATA_READ	Se guardó un recurso de BigQuery en un recurso público que pertenece a tu organización. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Robo de datos: Robo de datos de Cloud SQL	CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS	Registros de auditoría de Cloud: Registros de acceso a los datos de MySQL Registros de acceso a los datos de PostgreSQL Registros de acceso a los datos de SQL Server	Detecta las siguientes situaciones: Los datos de la instancia activa se exportaron a un bucket de Cloud Storage fuera de la organización. Los datos de la instancia activa se exportaron a un bucket de Cloud Storage que pertenece a la organización y que es de acceso público. Para las activaciones a nivel de proyecto de Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard heredado está habilitado en la organización principal. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Robo de datos: copia de seguridad de restablecimiento de Cloud SQL a una organización externa	CLOUDSQL_EXFIL_RESTORE_BACKUP_TO_EXTERNAL_INSTANCE	Registros de auditoría de Cloud: Registros de actividad del administrador de MySQL Registros de actividad del administrador de PostgreSQL Registros de actividad del administrador de SQL Server	La copia de seguridad de una instancia de Cloud SQL se restableció a una instancia fuera de la organización. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Robo de datos: otorgamiento con exceso de privilegios de Cloud SQL	CLOUDSQL_EXFIL_USER_GRANTED_ALL_PERMISSIONS	Registros de auditoría de Cloud: Registros de acceso a los datos de PostgreSQL Nota: Debes habilitar la extensión pgAudit para usar esta regla.	Se otorgaron todos los privilegios a un usuario o rol de Cloud SQL para PostgreSQL en una base de datos, o en todas las tablas, procedimientos o funciones de un esquema. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Acceso inicial: El superusuario de la base de datos escribe en las tablas de usuarios	CLOUDSQL_SUPERUSER_WRITES_TO_USER_TABLES	Registros de auditoría de Cloud: Registros de acceso a los datos de Cloud SQL para PostgreSQL Registros de acceso a los datos de Cloud SQL para MySQL Nota: Debes habilitar la extensión pgAudit para PostgreSQL o la auditoría de bases de datos para MySQL para usar esta regla.	Un superusuario de Cloud SQL (postgres para servidores de PostgreSQL o root para usuarios de MySQL) escribió en tablas que no son del sistema. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Elevación de privilegios: Otorgamiento con privilegios excesivos de AlloyDB	ALLOYDB_USER_GRANTED_ALL_PERMISSIONS	Registros de auditoría de Cloud: Registros de acceso a los datos de AlloyDB para PostgreSQL Nota: Debes habilitar la extensión pgAudit para usar esta regla.	Se otorgaron todos los privilegios a un usuario o rol de AlloyDB para PostgreSQL en una base de datos o en todas las tablas, los procedimientos o las funciones de un esquema. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Elevación de privilegios: Superusuario de la base de datos AlloyDB escribe en tablas de usuarios	ALLOYDB_SUPERUSER_WRITES_TO_USER_TABLES	Registros de auditoría de Cloud: Registros de acceso a los datos de AlloyDB para PostgreSQL Nota: Debes habilitar la extensión pgAudit para usar esta regla.	Un superusuario de AlloyDB para PostgreSQL (postgres) escribió en tablas que no son del sistema. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Acceso inicial: Acciones denegadas de permisos excesivos de identidad del agente de IA (versión preliminar)	AGENT_ENGINE_EXCESSIVE_FAILED_ATTEMPT	Registros de auditoría de Cloud: Registros de actividad del administrador	Una identidad asociada con un agente de IA activó de forma reiterada errores de permiso denegado cuando intentó realizar cambios en varios métodos y servicios. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Acceso inicial: Acción de cuenta de servicio inactiva	DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION	Registros de auditoría de Cloud: Registros de actividad del administrador	Una cuenta de servicio administrada por el usuario inactiva activó una acción. En este contexto, se considera que una cuenta de servicio está inactiva si no se usó durante más de 180 días. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	Categoría: Initial Access: Dormant Service Account Action taken Affecting Sensitive Data Gravedad: Sin cambios (predeterminada: Alta)
Elevación de privilegios: Se otorgó un rol sensible a una cuenta de servicio inactiva	DORMANT_SERVICE_ACCOUNT_ADDED_IN_IAM_ROLE	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se otorgó uno o más roles de IAM sensibles a una cuenta de servicio administrada por el usuario inactiva. En este contexto, se considera que una cuenta de servicio está inactiva si no se usó durante más de 180 días. Roles sensibles Los hallazgos se clasifican como de gravedad Alta o Media, según la sensibilidad de los roles otorgados. De forma predeterminada, los hallazgos se clasifican como de gravedad media. Para obtener más información, consulta Roles y permisos sensibles de IAM.	—
Elevación de privilegios: Se otorgó el rol de suplantación de identidad para la cuenta de servicio inactiva	DORMANT_SERVICE_ACCOUNT_IMPERSONATION_ROLE_GRANTED	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se otorgaron permisos para actuar en nombre de una cuenta de servicio inactiva administrada por el usuario a una principal. En este contexto, se considera que una cuenta de servicio está inactiva si no se usó durante más de 180 días. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	—
Acceso inicial: Se creó la clave de cuenta de servicio inactiva	DORMANT_SERVICE_ACCOUNT_KEY_CREATED	Registros de auditoría de Cloud: Registros de actividad del administrador	Se creó una clave para una cuenta de servicio administrada por el usuario inactiva. En este contexto, se considera que una cuenta de servicio está inactiva si no se usó durante más de 180 días. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Acceso inicial: Se usó una clave de cuenta de servicio filtrada	LEAKED_SA_KEY_USED	Registros de auditoría de Cloud: Registros de actividad del administrador Registros de acceso a los datos	Se usó una clave de cuenta de servicio filtrada para autenticar la acción. En este contexto, una clave de cuenta de servicio filtrada es una que se publicó en la Internet pública. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	Categoría: Initial Access: Leaked Service Account Key Affecting Sensitive Data Gravedad: Sin cambios (predeterminada: Alta)
Acceso inicial: Acciones denegadas de permisos excesivos	EXCESSIVE_FAILED_ATTEMPT	Registros de auditoría de Cloud: Registros de actividad del administrador	Un principal activó de forma reiterada errores de permiso denegado cuando intentó realizar cambios en varios métodos y servicios. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	—
Persistencia: Autenticación segura inhabilitada	ENFORCE_STRONG_AUTHENTICATION	Google Workspace: Auditoría del administrador	Se inhabilitó la verificación en dos pasos para la organización. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Persistencia: Verificación en dos pasos inhabilitada	2SV_DISABLE	Registros de Google Workspace: Auditoría de acceso Permisos: DATA_READ	Un usuario inhabilitó la verificación en 2 pasos. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Acceso inicial: Usurpación de cuenta inhabilitada	ACCOUNT_DISABLED_HIJACKED	Registros de Google Workspace: Auditoría de acceso Permisos: DATA_READ	Se suspendió la cuenta de un usuario debido a una actividad sospechosa. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Acceso inicial: Filtrado de contraseña inhabilitada	ACCOUNT_DISABLED_PASSWORD_LEAK	Registros de Google Workspace: Auditoría de acceso Permisos: DATA_READ	Se inhabilitó la cuenta de un usuario porque se detectó una filtración de contraseñas. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Acceso inicial: Ataque basado en el Gobierno	GOV_ATTACK_WARNING	Registros de Google Workspace: Auditoría de acceso Permisos: DATA_READ	Es posible que atacantes respaldados por algún Gobierno hayan intentado vulnerar una cuenta de usuario o una computadora. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Acceso inicial: Intento de compromiso de Log4j	No disponible	Registros de Cloud Load Balancing: Balanceador de cargas de aplicaciones externo Nota: Debes habilitar el registro del balanceador de cargas de aplicaciones externo para usar esta regla.	Se detectaron búsquedas de Java Naming and Directory Interface (JNDI) dentro de encabezados o parámetros de URL. Estas búsquedas pueden indicar intentos de explotación de Log4Shell. Estos hallazgos tienen gravedad baja, porque solo indican un intento de detección o explotación, no una vulnerabilidad ni un compromiso. Esta regla siempre está activada. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Acceso inicial: Acceso sospechoso bloqueado	SUSPICIOUS_LOGIN	Registros de Google Workspace: Auditoría de acceso Permisos: DATA_READ	Se detectó y bloqueó un acceso sospechoso a la cuenta de un usuario. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Software malicioso de Log4j: dominio malicioso	LOG4J_BAD_DOMAIN	Registros de Cloud DNS	Se detectó tráfico de explotación de Log4j en función de una conexión a un dominio conocido usado en los ataques de Log4j o una consulta sobre este. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Malware de Log4j: IP incorrecta	LOG4J_BAD_IP	Registros de flujo de VPC Registros de reglas de firewall Registros de Cloud NAT	Se detectó tráfico de explotación de Log4j en función de una conexión a una dirección IP conocida que se usa en los ataques de Log4j. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Software malicioso: dominio malicioso	MALWARE_BAD_DOMAIN	Registros de Cloud DNS	Se detectó software malicioso en función de una conexión a un dominio malicioso conocido o una búsqueda de este. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Software malicioso: error de IP	MALWARE_BAD_IP	Registros de flujo de VPC Registros de reglas de firewall Registros de Cloud NAT	Se detectó malware en función de una conexión a una dirección IP maliciosa conocida. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Malware: dominio incorrecto de criptominería	CRYPTOMINING_POOL_DOMAIN	Registros de Cloud DNS	Se detectó criptominería en función de una conexión a un dominio de minería conocido o una búsqueda de este. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Malware: IP incorrecta de criptominería	CRYPTOMINING_POOL_IP	Registros de flujo de VPC Registros de reglas de firewall Registros de Cloud NAT	Se detectó criptominería en función de una conexión a una dirección IP de minería conocida. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Persistencia: Se agregó una clave SSH del administrador de GCE	GCE_ADMIN_ADD_SSH_KEY	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de Compute Engine	Se modificó el valor de la clave SSH de los metadatos de la instancia de Compute Engine en una instancia establecida (más de 1 semana). De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Persistencia: Se agregó una secuencia de comandos de inicio del administrador de GCE	GCE_ADMIN_ADD_STARTUP_SCRIPT	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de Compute Engine	Se modificó el valor de la secuencia de comandos de inicio de los metadatos de la instancia de Compute Engine en una instancia establecida (más de 1 semana). De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Persistencia: Otorgamiento anómalo de IAM	IAM_ANOMALOUS_GRANT	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Este hallazgo incluye subreglas que proporcionan información más específica sobre cada instancia de este hallazgo. En la siguiente lista, se muestran todas las reglas secundarias posibles: external_service_account_added_to_policy, external_member_added_to_policy: Se otorgaron privilegios a usuarios de IAM y cuentas de servicio que no son miembros de tu organización o, si Security Command Center se activa solo a nivel del proyecto, tu proyecto. Nota: Si Security Command Center se activa a nivel de la organización en cualquier nivel, este detector usa las políticas de IAM existentes de una organización como contexto. Si la activación de Security Command Center solo se realiza a nivel del proyecto, el detector solo usa las políticas de IAM del proyecto como contexto. Si se produce un otorgamiento de IAM sensible a un miembro externo y hay menos de tres políticas de IAM existentes similares, este detector genera un hallazgo. Roles sensibles Los hallazgos se clasifican como de gravedad Alta o Media, según la sensibilidad de los roles otorgados. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta. Para obtener más información, consulta Roles y permisos sensibles de IAM. external_member_invited_to_policy: Se invitó a un miembro externo como propietario del proyecto a través de la API de InsertProjectOwnershipInvite. custom_role_given_sensitive_permissions: Se agregó el permiso setIAMPolicy a un rol personalizado. service_account_granted_sensitive_role_to_member: Se otorgaron roles con privilegios a los miembros a través de una cuenta de servicio. Esta regla secundaria se activa con un subconjunto de roles sensibles que solo incluyen roles básicos de IAM y ciertos roles de almacenamiento de datos. Para obtener más información, consulta Roles y permisos sensibles de IAM. policy_modified_by_default_compute_service_account: Se usó una cuenta de servicio predeterminada de Compute Engine para modificar la configuración de IAM del proyecto.	—
Persistencia: Se agregó un permiso de IA sensible al rol personalizado (versión preliminar)	SENSITIVE_AI_PERMISSION_ADDED_TO_CUSTOM_ROLE	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se agregó un permiso de IA sensible a un rol personalizado de IAM. Para obtener más información, consulta Roles y permisos sensibles de IAM para la IA. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Persistencia: Rol sensible otorgado por el agente de IA (versión preliminar)	SENSITIVE_ROLE_GRANTED_BY_AI_AGENT	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Un agente de IA al que se le otorgó un rol de IAM sensible. Los hallazgos se clasifican como de gravedad Media para los roles de sensibilidad media o de gravedad Alta para los roles de sensibilidad alta. Para obtener más información, consulta Roles y permisos sensibles de IAM para la IA.	—
Persistencia: Se otorgó un rol sensible a un agente de IA externo (versión preliminar)	EXTERNAL_AI_AGENT_GRANTED_SENSITIVE_ROLE	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se otorgó un rol de IAM sensible a un agente de IA de una organización externa. Los hallazgos se clasifican como de gravedad Media para los roles de sensibilidad media o de gravedad Alta para los roles de sensibilidad alta. Para obtener más información, consulta Roles y permisos sensibles de IAM para la IA.	—
Persistencia: Se otorgó un rol sensible a una cuenta no administrada (versión preliminar)	UNMANAGED_ACCOUNT_ADDED_IN_IAM_ROLE	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se otorgó un rol sensible a una cuenta no administrada. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Persistencia: Método nuevo de API	ANOMALOUS_BEHAVIOR_NEW_API_METHOD	Registros de auditoría de Cloud: Registros de actividad del administrador	Las cuentas de servicio de IAM usaron un acceso anómalo a los servicios de Google Cloud . De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	Categoría: Persistence: New API Method Affecting Sensitive Data Gravedad: De baja a media
Persistencia: Nueva geografía	IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION	Registros de auditoría de Cloud: Registros de actividad del administrador	Se accedió a las cuentas de servicio y de usuario de IAM Google Cloud desde ubicaciones anómalas, según la ubicación geográfica de las direcciones IP solicitantes. Este hallazgo no está disponible para las activaciones a nivel del proyecto y se clasifica como de gravedad baja de forma predeterminada.	—
Persistencia: Usuario-agente nuevo	IAM_ANOMALOUS_BEHAVIOR_USER_AGENT	Registros de auditoría de Cloud: Registros de actividad del administrador	Se accedió a las cuentas de servicio de IAM Google Cloud desde usuarios-agentes anómalos o sospechosos. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Persistencia: Activación o desactivación de SSO	TOGGLE_SSO_ENABLED	Google Workspace: Auditoría de administradores	Se inhabilitó la configuración de habilitación del SSO (inicio de sesión único) en la cuenta de administrador. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Persistencia: Configuración de SSO cambiada	CHANGE_SSO_SETTINGS	Google Workspace: Auditoría de administradores	Se cambió la configuración de SSO para la cuenta de administrador. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Elevación de privilegios: Suplantación de identidad anómala de la cuenta de servicio en la actividad del administrador	ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY	Registros de auditoría de Cloud: Registros de actividad del administrador	Se usó una cuenta de servicio con identidad temporal potencialmente anómala para una actividad administrativa. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	Categoría: Privilege Escalation: Anomalous Impersonation of Service Account for Admin Activity Affecting Sensitive Data Gravedad: Media a alta
Elevación de privilegios: Delegación anómala de cuentas de servicio de varios pasos para actividades de administrador	ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY	Registros de auditoría de Cloud: Registros de actividad del administrador	Se encontró una solicitud delegada anómala de varios pasos para una actividad administrativa. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	Categoría: Privilege Escalation: Anomalous Multistep Service Account Delegation for Admin Activity Affecting Sensitive Data Gravedad: Media a alta
Elevación de privilegios: Delegación anómala de cuentas de servicio de varios pasos para el acceso a los datos	ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS	Registros de auditoría de Cloud: Registros de acceso a los datos	Se encontró una solicitud delegada anómala de varios pasos para una actividad de acceso a los datos. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	Categoría: Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Affecting Sensitive Data Gravedad: Media a alta
Elevación de privilegios: Uso de identidad anómalo de la cuenta de servicio para actividades de administrador	ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY	Registros de auditoría de Cloud: Registros de actividad del administrador	Se usó un emisor o suplantador de identidad potencialmente anómalo en una cadena de delegación para una actividad administrativa. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	Categoría: Privilege Escalation: Anomalous Service Account Impersonator for Admin Activity Affecting Sensitive Data Gravedad: Media a alta
Elevación de privilegios: Uso anómalo de identidad temporal como cuenta de servicio para acceso a datos	ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS	Registros de auditoría de Cloud: Registros de acceso a los datos	Se usó un emisor o suplantador de identidad potencialmente anómalo en una cadena de delegación para una actividad de acceso a los datos. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	Categoría: Privilege Escalation: Anomalous Service Account Impersonator for Data Access Affecting Sensitive Data Gravedad: Media a alta
Elevación de privilegios: Cambios en los objetos RBAC sensibles de Kubernetes	GKE_CONTROL_PLANE_EDIT_SENSITIVE_RBAC_OBJECT	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Para elevar privilegios, un agente potencialmente malicioso intentó modificar un objeto de control de acceso basado en roles (RBAC) ClusterRole, RoleBinding o ClusterRoleBinding del rol sensible cluster-admin a través de una solicitud PUT o PATCH. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Elevación de privilegios: Creación de una CSR de Kubernetes para el certificado principal	GKE_CONTROL_PLANE_CSR_FOR_MASTER_CERT	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Un agente potencialmente malicioso creó una solicitud de firma de certificado (CSR) de instancia principal de Kubernetes, que le da acceso cluster-admin. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Elevación de privilegios: Creación de vinculaciones de Kubernetes sensibles	GKE_CONTROL_PLANE_CREATE_SENSITIVE_BINDING	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Para elevar el privilegio, un agente potencialmente malicioso intentó crear un objeto RoleBinding o ClusterRoleBinding nuevo para el rol cluster-admin. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Elevación de privilegios: Obtención de CSR de Kubernetes con credenciales de arranque comprometidas	GKE_CONTROL_PLANE_GET_CSR_WITH_COMPROMISED_BOOTSTRAP_CREDENTIALS	Registros de auditoría de Cloud: Registros de acceso a los datos de GKE	Un agente potencialmente malicioso realizó una consulta para una solicitud de firma de certificado (CSR), con el comando kubectl, usando credenciales de arranque comprometidas. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Elevación de privilegios: Lanzamiento de un contenedor Kubernetes privilegiado	GKE_CONTROL_PLANE_LAUNCH_PRIVILEGED_CONTAINER	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Un agente malicioso potencial creó un Pod que contiene contenedores con privilegios o contenedores con capacidades de elevación de privilegios. Un contenedor con privilegios tiene el campo privileged configurado como true. Un contenedor con capacidades de elevación de privilegios tiene el campo allowPrivilegeEscalation configurado como true. Para obtener más información, consulta la referencia de la API principal de SecurityContext v1 en la documentación de Kubernetes. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Persistencia: Se creó la clave de la cuenta de servicio	SERVICE_ACCOUNT_KEY_CREATION	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se creó una clave de cuenta de servicio. Las claves de cuentas de servicio son credenciales de larga duración que aumentan el riesgo de acceso no autorizado a los recursos de Google Cloud. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Elevación de privilegios: Se agregó una secuencia de comandos de cierre global	GLOBAL_SHUTDOWN_SCRIPT_ADDED	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se agregó una secuencia de comandos de cierre global a un proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Persistencia: Se agregó una secuencia de comandos de inicio global	GLOBAL_STARTUP_SCRIPT_ADDED	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se agregó una secuencia de comandos de inicio global a un proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Evasión de defensa: Se agregó el rol TokenCreatorRole a nivel de la organización	ORG_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se otorgó el rol de IAM de creador de tokens de cuentas de servicio a nivel de la organización. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Evasión de defensa: Se agregó el rol TokenCreator a nivel de carpeta	FOLDER_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se otorgó el rol de IAM de creador de tokens de cuentas de servicio a nivel de la carpeta. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Evasión de defensa: Se agregó el rol TokenCreator a nivel de proyecto	PROJECT_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se otorgó el rol de IAM de creador de tokens de cuentas de servicio a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Evasión de defensa: Se otorgó el rol TokenCreator a nivel de la organización al agente de IA (versión preliminar)	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_ORG	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se otorgó el rol de IAM de creador de tokens de cuentas de servicio a un agente de IA a nivel de la organización. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Evasión de defensa: Se otorgó el rol TokenCreator a nivel de carpeta al agente de IA (versión preliminar)	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_FOLDER	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se otorgó el rol de IAM de creador de tokens de cuentas de servicio a un agente de IA a nivel de la carpeta. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Evasión de defensa: Se otorgó el rol TokenCreator a nivel de proyecto al agente de IA	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_PROJECT	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se otorgó el rol de IAM de creador de tokens de cuentas de servicio a un agente de IA a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Movimiento lateral: Ejecución de parche de SO de la cuenta de servicio ^No disponible temporalmente	OS_PATCH_EXECUTION_FROM_SERVICE_ACCOUNT	Registros de auditoría de Cloud. Registros de auditoría de VM Manager	Una cuenta de servicio usó la función de aplicación de parches de Compute Engine para actualizar el sistema operativo de cualquier instancia de Compute Engine que se esté ejecutando. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja. Esta regla no está disponible temporalmente. Para supervisar la actividad de VM Manager, usa los registros de auditoría de VM Manager.	—
Movimiento lateral: Se conectó un disco de arranque modificado a la instancia (versión preliminar)	MODIFY_BOOT_DISK_ATTACH_TO_INSTANCE	Registros de auditoría de Cloud: Registros de auditoría de Compute Engine	Se desconectó un disco de arranque de una instancia de Compute Engine y se conectó a otra, lo que podría indicar un intento malicioso de vulnerar el sistema con un disco de arranque modificado. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Acceso a credenciales: Secrets a los que se accedió en el espacio de nombres de Kubernetes	SECRETS_ACCESSED_IN_KUBERNETES_NAMESPACE	Registros de auditoría de Cloud: Registros de acceso a los datos de GKE	Una cuenta de servicio accedió a los secretos o a los tokens de la cuenta de servicio en el espacio de nombres actual de Kubernetes. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Desarrollo de recursos: Actividad de distribución de seguridad ofensiva	OFFENSIVE_SECURITY_DISTRO_ACTIVITY	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se manipuló correctamente un recurso de Google Cloud a través de distribuciones conocidas de pruebas de penetración o de seguridad ofensiva. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	Categoría: Resource Development: Offensive Security Distro Activity Affecting Sensitive Data Gravedad: De baja a media
Elevación de privilegios: Generación de tokens con signJwt por parte del agente de IA (versión preliminar)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT	Registros de auditoría de Cloud: Registros de auditoría de acceso a los datos de IAM	Una cuenta de servicio asociada con un agente de IA usó el método serviceAccounts.signJwt para generar un token de acceso para otra cuenta de servicio. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Elevación de privilegios: Generación de tokens con delegación implícita por parte del agente de IA (versión preliminar)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION	Registros de auditoría de Cloud: Registros de auditoría de acceso a los datos de IAM	Se usó de forma inadecuada el permiso iam.serviceAccounts.implicitDelegation para generar tokens de acceso desde una cuenta de servicio con más privilegios a través de un agente de IA. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Elevación de privilegios: Generación de tokens de OpenID entre proyectos por parte del agente de IA (versión preliminar)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID	Registros de auditoría de Cloud: Registros de auditoría de acceso a los datos de IAM	El permiso de IAM iam.serviceAccounts.getOpenIdToken se usó en todos los proyectos a través de un agente de IA. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Elevación de privilegios: Generación de tokens de acceso entre proyectos por parte del agente de IA (versión preliminar)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN	Registros de auditoría de Cloud: Registros de auditoría de acceso a los datos de IAM	El permiso de IAM iam.serviceAccounts.getAccessToken se usó en todos los proyectos a través de un agente de IA. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Elevación de privilegios: La cuenta de servicio nueva es propietario o editor ^No disponible temporalmente	SERVICE_ACCOUNT_EDITOR_OWNER	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se creó una cuenta de servicio nueva con los roles de editor o propietario para un proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja. Esta regla no está disponible temporalmente. Para supervisar los cambios de IAM, registros de auditoría de la actividad del administrador de IAM.	—
Detección: Herramienta de recopilación de información usada	INFORMATION_GATHERING_TOOL_USED	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se detectó el uso de ScoutSuite. ScoutSuite es una herramienta de auditoría de seguridad en la nube que se sabe que usan los agentes de amenazas. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	Categoría: Discovery: Information Gathering Tool Affecting Sensitive Data Gravedad: De baja a media
Elevación de privilegios: Generación sospechosa de tokens ^No disponible temporalmente	SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION	Registros de auditoría de Cloud: Registros de auditoría de IAM	Se usó de forma inadecuada el permiso iam.serviceAccounts.implicitDelegation para generar tokens de acceso desde una cuenta de servicio con más privilegios. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja. Esta regla no está disponible temporalmente. Para supervisar la actividad de IAM, usa los registros de auditoría de IAM.	—
Elevación de privilegios: Generación sospechosa de tokens ^No disponible temporalmente	SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT	Registros de auditoría de Cloud: Registros de auditoría de IAM	Una cuenta de servicio usó el método serviceAccounts.signJwt para generar un token de acceso para otra cuenta de servicio. De forma predeterminada, los hallazgos se clasifican como de gravedad baja. Esta regla no está disponible temporalmente. Para supervisar la actividad de IAM, usa los registros de auditoría de IAM.	—
Elevación de privilegios: Generación sospechosa de tokens ^No disponible temporalmente	SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID	Registros de auditoría de Cloud: Registros de auditoría de IAM	El permiso de IAM iam.serviceAccounts.getOpenIdToken se usó en todos los proyectos. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja. Esta regla no está disponible temporalmente. Para supervisar la actividad de IAM, usa los registros de auditoría de IAM.	—
Elevación de privilegios: Generación sospechosa de tokens ^No disponible temporalmente	SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN	Registros de auditoría de Cloud: Registros de auditoría de IAM	El permiso de IAM iam.serviceAccounts.getAccessToken se usó en todos los proyectos. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja. Esta regla no está disponible temporalmente. Para supervisar la actividad de IAM, usa los registros de auditoría de IAM.	—
Elevación de privilegios: Uso sospechoso de permisos entre proyectos	SUSPICIOUS_CROSS_PROJECT_PERMISSION_DATAFUSION	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	El permiso de IAM datafusion.instances.create se usó en todos los proyectos. Este hallazgo no está disponible para las activaciones a nivel del proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Comando y control: Tunelización de DNS ^No disponible temporalmente	DNS_TUNNELING_IODINE_HANDSHAKE	Registros de Cloud DNS	Se detectó el protocolo de enlace de la herramienta de tunelización de DNS Iodine. De forma predeterminada, los hallazgos se clasifican como de gravedad baja. Esta regla no está disponible temporalmente. Para supervisar la actividad de DNS, usa los registros de Cloud DNS.	—
Evasión de defensa: Intento de enmascaramiento de rutas de VPC	VPC_ROUTE_MASQUERADE	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se crearon de forma manual rutas de VPC que se enmascaran como rutas predeterminadas de Google Cloud , lo que permite el tráfico de salida a direcciones IP externas. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Impacto: Facturación inhabilitada ^No disponible temporalmente	BILLING_DISABLED_SINGLE_PROJECT	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de Facturación de Cloud	Se inhabilitó la facturación de un proyecto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja. Esta regla no está disponible temporalmente. Para supervisar los cambios en la facturación, usa los registros de auditoría de la actividad del administrador de Facturación de Cloud.	—
Impacto: Facturación inhabilitada ^No disponible temporalmente	BILLING_DISABLED_MULTIPLE_PROJECTS	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de Facturación de Cloud	Se inhabilitó la facturación para varios proyectos de una organización en un período breve. De forma predeterminada, los hallazgos se clasifican como de gravedad baja. Esta regla no está disponible temporalmente. Para supervisar los cambios en la facturación, usa los registros de auditoría de la actividad del administrador de Facturación de Cloud.	—
Impacto: Bloqueo de alta prioridad de firewall de VPC	VPC_FIREWALL_HIGH_PRIORITY_BLOCK	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se agregó una regla de firewall de VPC que bloquea todo el tráfico de salida con prioridad 0. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Impacto: Eliminación de reglas masivas de firewall de VPC^No disponible temporalmente	VPC_FIREWALL_MASS_RULE_DELETION	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Las reglas de firewall de VPC se borraron de forma masiva por cuentas que no son de servicio. Esta regla no está disponible temporalmente. Para supervisar las actualizaciones de tus reglas de firewall, usa los registros de auditoría de Cloud. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Impacto: API de servicio inhabilitada	SERVICE_API_DISABLED	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de IAM	Se inhabilitó una API de servicio de Google Cloud en un entorno de producción. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Impacto: Se estableció en el máximo el ajuste de escala automático de grupo de instancias administrado ^No disponible temporalmente	MIG_AUTOSCALING_SET_TO_MAX	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador de Compute Engine	Se configuró un grupo de instancias administrado para el ajuste de escala automático máximo. De forma predeterminada, los hallazgos se clasifican como de gravedad Baja. Esta regla no está disponible temporalmente. Para supervisar los cambios en los recursos de Compute Engine, usa los registros de auditoría de la actividad del administrador de Compute Engine.	—
Detección: Llamada no autorizada a la API de Service Account ^No disponible temporalmente	UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL	Registros de auditoría de Cloud: Registros de auditoría de actividad del administrador	Una cuenta de servicio realizó una llamada a la API entre proyectos no autorizada. De forma predeterminada, los hallazgos se clasifican como de gravedad baja. Esta regla no está disponible temporalmente. Para supervisar el uso de las cuentas de servicio, usa los registros de auditoría de la actividad del administrador.	—
Evasión de defensa: Se otorgó acceso de administrador de clústeres a sesiones anónimas	ANONYMOUS_SESSIONS_GRANTED_CLUSTER_ADMIN	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Se creó un objeto ClusterRoleBinding de control de acceso basado en roles (RBAC), lo que agregó el comportamiento root-cluster-admin-binding a los usuarios anónimos. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Persistencia: Nueva ubicación geográfica para el servicio de IA	AI_IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION	Registros de auditoría de Cloud: Registros de actividad del administrador	Los usuarios y las cuentas de servicio de IAM accedieron a los servicios de IA de Google Cloud desde ubicaciones anómalas, según la ubicación geográfica de las direcciones IP solicitantes. Este hallazgo no está disponible para las activaciones a nivel del proyecto y se clasifica como de gravedad baja de forma predeterminada.	—
Elevación de privilegios: Delegación anómala de cuentas de servicio de varios pasos para actividades de administrador de IA	AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY	Registros de auditoría de Cloud: Registros de actividad del administrador	Se encontró una solicitud delegada anómala de varios pasos para una actividad administrativa de un servicio de IA. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	—
Elevación de privilegios: Delegación anómala de cuentas de servicio de varios pasos para el acceso a los datos de IA	AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS	Registros de auditoría de Cloud: Registros de acceso a los datos	Se encontró una solicitud delegada anómala de varios pasos para una actividad de acceso a los datos de un servicio de IA. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	—
Elevación de privilegios: Uso anómalo de la identidad temporal como cuenta de servicio para las actividades del administrador de IA	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY	Registros de auditoría de Cloud: Registros de actividad del administrador	Se usó un emisor o usuario que actúa en nombre de otro potencialmente anómalo en una cadena de delegación para una actividad administrativa de un servicio de IA. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	—
Elevación de privilegios: Uso anómalo de identidad temporal como cuenta de servicio para acceso a datos de IA	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS	Registros de auditoría de Cloud: Registros de acceso a los datos	Se usó un emisor o suplantador de identidad potencialmente anómalo en una cadena de delegación para una actividad de acceso a los datos de un servicio de IA. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	—
Elevación de privilegios: Uso anómalo de identidad de la cuenta de servicio para actividades de administrador de IA	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY	Registros de auditoría de Cloud: Registros de actividad del administrador	Se usó una cuenta de servicio con identidad temporal potencialmente anómala para una actividad administrativa de un servicio de IA. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	—
Persistencia: Nuevo método de API de IA	AI_ANOMALOUS_BEHAVIOR_NEW_API_METHOD	Registros de auditoría de Cloud: Registros de actividad del administrador	Las cuentas de servicio de IAM usaron acceso anómalo a los servicios de IA de Google Cloud . De forma predeterminada, los hallazgos se clasifican como de gravedad Baja.	—
Acceso inicial: Actividad de la cuenta de servicio inactiva en el servicio de IA	AI_DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION	Registros de auditoría de Cloud: Registros de actividad del administrador	Una cuenta de servicio administrada por el usuario inactiva activó una acción en los servicios de IA. En este contexto, se considera que una cuenta de servicio está inactiva si no se usó durante más de 180 días. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Acceso inicial: Recurso de GKE anónimo creado desde Internet (versión preliminar)	GKE_RESOURCE_CREATED_ANONYMOUSLY_FROM_INTERNET	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE.	Un usuario de Internet realmente anónimo creó un recurso. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Acceso inicial: Recurso de GKE modificado de forma anónima desde Internet (versión preliminar)	GKE_RESOURCE_MODIFIED_ANONYMOUSLY_FROM_INTERNET	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Un usuario de Internet realmente anónimo manipuló un recurso. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Elevación de privilegios: Se otorgó acceso al clúster de GKE a usuarios anónimos	GKE_ANONYMOUS_USERS_GRANTED_ACCESS	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien creó una vinculación de RBAC que hace referencia a uno de los siguientes usuarios o grupos: system:anonymous system:unauthenticated system:authenticated Estos usuarios y grupos son, en efecto, anónimos y se deben evitar cuando se crean vinculaciones de roles o de roles de clúster a cualquier rol de RBAC. Revisa la vinculación para asegurarte de que sea necesaria. Si la vinculación no es necesaria, quítala. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Ejecución: Se detectó una ejecución o conexión sospechosas a un Pod del sistema (versión preliminar)	GKE_SUSPICIOUS_EXEC_ATTACH	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien usó los comandos exec o attach para obtener una shell o ejecutar un comando en un contenedor que se ejecuta en el espacio de nombres kube-system. A veces, estos métodos se usan con fines de depuración legítimos. Sin embargo, el espacio de nombres kube-system está destinado a los objetos del sistema que crea Kubernetes, y se debe revisar la ejecución inesperada de comandos o la creación de shells. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	—
Elevación de privilegios: Se creó una carga de trabajo con una activación de ruta de acceso del host sensible (vista previa)	GKE_SENSITIVE_HOSTPATH	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien creó una carga de trabajo que contiene una activación de volumen hostPath en una ruta de acceso sensible en el sistema de archivos del nodo host. El acceso a estas rutas de acceso en el sistema de archivos del host se puede usar para acceder a información privilegiada o sensible en el nodo y para escapes de contenedores. Si es posible, no permitas ningún volumen hostPath en tu clúster. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Elevación de privilegios: Carga de trabajo con shareProcessNamespace habilitada (versión preliminar)	GKE_SHAREPROCESSNAMESPACE_POD	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien implementó una carga de trabajo con la opción shareProcessNamespace configurada como true, lo que permite que todos los contenedores compartan el mismo espacio de nombres de proceso de Linux. Esto podría permitir que un contenedor no confiable o comprometido escale privilegios accediendo a variables de entorno, memoria y otros datos sensibles de procesos que se ejecutan en otros contenedores, y controlándolos. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Elevación de privilegios: ClusterRole con verbos privilegiados (versión preliminar)	GKE_CLUSTERROLE_PRIVILEGED_VERBS	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien creó un ClusterRole de RBAC que contiene los verbos bind, escalate o impersonate. Un sujeto vinculado a un rol con estos verbos puede suplantar la identidad otros usuarios con privilegios más altos, vincularse a objetos Roles o ClusterRoles adicionales que contengan permisos adicionales o modificar sus propios permisos de ClusterRole. Esto podría hacer que esos sujetos obtengan privilegios de administrador de clúster. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Elevación de privilegios: ClusterRoleBinding para el rol con privilegios	GKE_CRB_CLUSTERROLE_AGGREGATION_CONTROLLER	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien creó un ClusterRoleBinding de RBAC que hace referencia al ClusterRole system:controller:clusterrole-aggregation-controller predeterminado. Este ClusterRole predeterminado tiene el verbo escalate, que permite que los sujetos modifiquen los privilegios de sus propios roles, lo que permite la elevación de privilegios. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Evasión de defensas: Solicitud de firma de certificado (CSR) borrada manualmente	GKE_MANUALLY_DELETED_CSR	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien borró de forma manual una solicitud de firma de certificado (CSR). Las CSR se quitan automáticamente con un controlador de recolección de elementos no utilizados, pero los agentes maliciosos podrían borrarlas de forma manual para evadir la detección. Si la CSR borrada era para un certificado aprobado y emitido, el posible agente malicioso ahora tiene un método de autenticación adicional para acceder al clúster. Los permisos asociados con el certificado varían según el sujeto que incluyan, pero pueden tener un nivel de privilegio muy alto. Kubernetes no admite la revocación de certificados. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Acceso a credenciales: Intento fallido de aprobar la solicitud de firma de certificado (CSR) de Kubernetes	GKE_APPROVE_CSR_FORBIDDEN	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien intentó aprobar de forma manual una solicitud de firma de certificado (CSR), pero la acción falló. La creación de un certificado para la autenticación del clúster es un método común que usan los atacantes con el objetivo de obtener acceso persistente a un clúster vulnerado. Los permisos asociados con el certificado varían según el sujeto que incluyan, pero pueden tener un nivel de privilegio muy alto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Acceso a credenciales: Solicitud de firma de certificado (CSR) de Kubernetes aprobada de forma manual (versión preliminar)	GKE_CSR_APPROVED	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien aprobó de forma manual una solicitud de firma de certificado (CSR). La creación de un certificado para la autenticación del clúster es un método común que usan los atacantes con el objetivo de obtener acceso persistente a un clúster vulnerado. Los permisos asociados con el certificado varían según el sujeto que incluyan, pero pueden tener un nivel de privilegio muy alto. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Ejecución: Se creó un Pod de Kubernetes con posibles argumentos de shell inversos	GKE_REVERSE_SHELL_POD	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien creó un Pod que contiene comandos o argumentos que suelen asociarse con una shell inversa. Los atacantes usan shells inversas para expandir o mantener su acceso inicial a un clúster y ejecutar comandos arbitrarios. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	—
Evasión de defensa: Posible enmascaramiento de Pod de Kubernetes	GKE_POD_MASQUERADING	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien implementó un Pod con una convención de nombres similar a las cargas de trabajo predeterminadas que GKE crea para la operación normal del clúster. Esta técnica se denomina enmascaramiento. De forma predeterminada, los hallazgos se clasifican como de gravedad media.	—
Elevación de privilegios: Nombres de contenedores de Kubernetes sospechosos: explotación y escape (versión preliminar)	GKE_SUSPICIOUS_EXPLOIT_POD	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien implementó un Pod con una convención de nombres similar a las herramientas comunes que se usan para escapes de contenedores o para ejecutar otros ataques en el clúster. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Persistencia: Cuenta de servicio creada en un espacio de nombres sensible	GKE_SERVICE_ACCOUNT_CREATION_SENSITIVE_NAMESPACE	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien creó una cuenta de servicio en un espacio de nombres sensible. Los espacios de nombres kube-system y kube-public son fundamentales para las operaciones del clúster de GKE, y las cuentas de servicio no autorizadas podrían comprometer la estabilidad y la seguridad del clúster. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Impacto: Nombres de contenedores de Kubernetes sospechosos: minería de criptomonedas ^No disponible temporalmente	GKE_SUSPICIOUS_CRYPTOMINING_POD	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien implementó un Pod con una convención de nombres similar a la de los mineros de criptomonedas comunes. Esto puede ser un intento de un atacante que obtuvo acceso inicial al clúster para usar sus recursos para la minería de criptomonedas. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta. Esta regla no está disponible temporalmente. Para supervisar la actividad de Kubernetes, usa los registros de actividad de administrador de GKE.	—
Ejecución: Se activó la carga de trabajo en un espacio de nombres sensible	GKE_SENSITIVE_NAMESPACE_WORKLOAD_TRIGGERED	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien implementó una carga de trabajo (por ejemplo, un Pod o un Deployment) en los espacios de nombres kube-system o kube-public. Estos espacios de nombres son fundamentales para las operaciones del clúster de GKE, y las cargas de trabajo no autorizadas podrían comprometer la estabilidad o la seguridad del clúster. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Ejecución: Se inició un contenedor de GKE con capacidad excesiva (versión preliminar)	GKE_EXCESSIVELY_CAPABLE_CONTAINER_CREATED	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien creó un contenedor con una o más de las siguientes capacidades en un clúster con un contexto de seguridad elevado: CAP_SYS_MODULE CAP_SYS_RAWIO CAP_SYS_PTRACE CAP_SYS_BOOT CAP_DAC_READ_SEARCH CAP_NET_ADMIN CAP_BPF Estas capacidades se pueden usar para escapar de los contenedores. Ten cuidado cuando aprovisiones estas capacidades. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Persistencia: Se detectó la configuración del webhook de GKE	GKE_WEBHOOK_CONFIG_CREATED	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Se detectó una configuración de webhook en tu clúster de GKE. Los webhooks pueden interceptar y modificar las solicitudes a la API de Kubernetes, lo que podría permitir que los atacantes persistan en tu clúster o manipulen recursos. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Evasión de defensas: Se creó un Pod estático	GKE_STATIC_POD_CREATED	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien creó un Pod estático en tu clúster de GKE. Los Pods estáticos se ejecutan directamente en el nodo y omiten el servidor de la API de Kubernetes, lo que dificulta su supervisión y control. Los atacantes pueden usar Pods estáticos para evadir la detección o mantener la persistencia. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Acceso inicial: Se realizó una llamada a la API exitosa desde un IP de proxy de TOR	GKE_TOR_PROXY_IP_REQUEST	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Se realizó una llamada exitosa a la API a tu clúster de GKE desde una dirección IP asociada con la red Tor. Tor proporciona anonimato, que los atacantes suelen aprovechar para ocultar su identidad. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	Categoría: Initial Access: Successful API call made from a TOR proxy IP Affecting Sensitive Data Gravedad: Sin cambios (predeterminada: Alta)
Acceso inicial: Se creó el servicio NodePort de GKE	GKE_NODEPORT_SERVICE_CREATED	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien creó un servicio NodePort. Los objetos Service NodePort exponen Pods directamente en la dirección IP y el puerto estático de un nodo, lo que hace que se pueda acceder a los Pods desde fuera del clúster. Esto puede generar un riesgo de seguridad significativo, ya que podría permitir que un atacante aproveche las vulnerabilidades del servicio expuesto para obtener acceso al clúster o a datos sensibles. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Impacto: Se detectó una modificación de kube-dns de GKE (versión preliminar)	GKE_KUBE_DNS_MODIFICATION	Registros de auditoría de Cloud: Registros de actividad del administrador de GKE	Alguien modificó la configuración de kube-dns en tu clúster de GKE. kube-dns de GKE es un componente fundamental de las herramientas de redes de tu clúster, y su configuración incorrecta podría provocar una violación de la seguridad. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—
Impacto: Comandos de criptominería	CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS	Registros de auditoría de Cloud: Registros de auditoría de eventos del sistema de IAM	Se adjuntaron comandos de criptominería específicos a un trabajo de Cloud Run durante la ejecución. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Ejecución: Imagen de Docker para criptominería	CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES	Registros de auditoría de Cloud: Registros de auditoría de eventos del sistema de IAM	Se adjuntaron imágenes de Docker incorrectas conocidas específicas a un servicio o trabajo de Cloud Run nuevo o existente. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Elevación de privilegios: SetIAMPolicy de la cuenta de servicio predeterminada de Compute Engine	CLOUD_RUN_SERVICES_SET_IAM_POLICY	Registros de auditoría de Cloud: Registros de actividad del administrador	Se usó la cuenta de servicio predeterminada de Compute Engine para establecer la política de IAM de un servicio de Cloud Run. Esta es una posible acción posterior a la explotación cuando se vulnera un token de Compute Engine desde un servicio sin servidores. De forma predeterminada, los hallazgos se clasifican como de gravedad baja.	—
Acceso inicial: Acceso exitoso a CloudDB desde la IP del proxy de anonimización	CLOUD_DB_LOGIN_SUCCEEDED_ANON_IP	Registros de auditoría de Cloud: Registros de acceso a los datos de AlloyDB para PostgreSQL Registros de acceso a los datos de Cloud SQL para PostgreSQL Registros de acceso a los datos de Cloud SQL para MySQL Nota: Debes habilitar el registro de IP en PostgreSQL para usar esta regla en AlloyDB y Postgres.	Se detectó un acceso exitoso en tu instancia de base de datos desde una dirección IP de anonimización conocida. Esto podría indicar que un atacante obtuvo acceso inicial a tu instancia. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.	—
Acceso a credenciales: Error de acceso a CloudDB desde la IP del proxy de anonimización	CLOUD_DB_LOGIN_FAILED_ANON_IP	Registros de auditoría de Cloud: Registros de acceso a los datos de AlloyDB para PostgreSQL Registros de acceso a los datos de Cloud SQL para PostgreSQL Registros de acceso a los datos de Cloud SQL para MySQL Nota: Debes habilitar el registro de IP en PostgreSQL para usar esta regla en AlloyDB y Postgres.	Se detectó un intento de acceso con errores en tu instancia de base de datos desde una dirección IP de anonimización conocida. Esto podría indicar que un atacante está intentando obtener acceso no autorizado a tu instancia. De forma predeterminada, los hallazgos se clasifican como de gravedad Media.	—

Para conocer las reglas obsoletas y cerradas, consulta Bajas.

Módulos personalizados para Event Threat Detection

Además de las reglas de detección integradas, Event Threat Detection proporciona plantillas de módulos que puedes usar para crear reglas de detección personalizadas. Para obtener más información, consulta Descripción general de los módulos personalizados para Event Threat Detection.

Para crear reglas de detección para las que no hay plantillas de módulos personalizados disponibles, puedes exportar tus datos de registro a BigQuery y, luego, ejecutar consultas en SQL únicas o recurrentes que capturen tus modelos de amenazas.

Cambios no seguros en Grupos de Google

En esta sección, se explica cómo Event Threat Detection usa los registros de Google Workspace, los Registros de auditoría de Cloud y las políticas de IAM para detectar cambios no seguros en Grupos de Google. La detección de cambios en los Grupos de Google solo se admite cuando activas Security Command Center a nivel de la organización.

Los clientes deGoogle Cloud pueden usar Grupos de Google para administrar roles y permisos de los miembros de sus organizaciones o aplicar políticas de acceso a colecciones de usuarios. En lugar de otorgar funciones directamente a los miembros, los administradores pueden otorgar funciones y permisos a los Grupos de Google y, luego, agregar miembros a grupos específicos. Los miembros del grupo heredan todos los roles y los permisos de un grupo, lo que permite que los miembros accedan a recursos y servicios específicos.

Si bien los Grupos de Google son una forma conveniente de administrar el control de acceso a gran escala, pueden representar un riesgo si se agregan usuarios externos a tu organización o dominio a grupos con privilegios, es decir, grupos a los que se les otorgan roles o permisos sensibles. Los roles sensibles controlan el acceso a la configuración de seguridad y de red, los registros y la información de identificación personal (PII), y no se recomiendan para los miembros externos de los grupos.

En organizaciones grandes, es posible que los administradores no estén al tanto cuando se agreguen miembros externos a grupos privilegiados. Los Registros de auditoría de Cloud registran las asignaciones de roles a los grupos, pero esos eventos de registro no contienen información sobre los miembros del grupo, lo que puede ocultar el impacto potencial de algunos cambios en el grupo.

Si compartes tus registros de Google Workspace con Google Cloud, Event Threat Detection supervisa tus transmisiones de registros en busca de miembros nuevos agregados a los Grupos de Google de tu organización. Debido a que los registros se encuentran a nivel de la organización, Event Threat Detection solo puede analizar los registros de Google Workspace cuando activas Security Command Center a nivel de la organización. Event Threat Detection no puede analizar estos registros cuando activas Security Command Center a nivel del proyecto.

Event Threat Detection identifica a los miembros externos del grupo y, con los Registros de auditoría de Cloud, revisa los roles de IAM de cada grupo afectado para verificar si se les otorgan roles sensibles. Esa información se usa para detectar los siguientes cambios no seguros en Grupos de Google con privilegios:

• Miembros externos del grupo agregados a grupos con privilegios
• Funciones o permisos sensibles otorgados a grupos con miembros externos del grupo
• Grupos con privilegios que se cambian para permitir que se una a cualquier persona del público general

Event Threat Detection escribe los resultados en Security Command Center. Los resultados contienen las direcciones de correo electrónico de los miembros externos recién agregados, los miembros internos del grupo que inician eventos, los nombres de grupos y los roles sensibles asociadas con grupos. Puedes usar la información para quitar miembros externos de los grupos o revocar funciones sensibles otorgadas a los grupos.

Para obtener más información sobre los hallazgos de Event Threat Detection, consulta Reglas de Event Threat Detection.

Funciones y permisos confidenciales de IAM

En esta sección, se explica cómo Event Threat Detection define los roles de IAM sensibles. Para conocer los roles y permisos sensibles para las amenazas de IA, consulta Roles y permisos sensibles de IAM para IA.

Las detecciones como el detector de otorgamiento anómalo de IAM y los cambios no seguros en los Grupos de Google generan hallazgos solo si los cambios involucran roles de sensibilidad alta o media. La sensibilidad de los roles afecta la calificación de gravedad que se asigna a los hallazgos.

• Los roles de alta sensibilidad controlan los servicios críticos en las organizaciones, incluida la facturación, la configuración de firewall y el registro. Los hallazgos que coinciden con estos roles se clasifican como de gravedad Alta.
• Los roles de sensibilidad media tienen permisos de edición que permiten que las principales realicen cambios en los recursos de Google Cloud y permisos de visualización y ejecución en los servicios de almacenamiento de datos que suelen contener datos sensibles. La gravedad asignada a los hallazgos depende del recurso:
  • Si se otorgan funciones de sensibilidad media a nivel de la organización, los resultados se clasifican como de gravedad alta.
  • Si se otorgan funciones de sensibilidad media a niveles inferiores en la jerarquía de recursos (carpetas, proyectos y buckets, entre otras), los resultados se clasifican como de gravedad media.

Otorgar estos roles sensibles se considera peligroso si el beneficiario es un miembro externo o una identidad anormal, como una principal que estuvo inactiva durante mucho tiempo.

Otorgar roles sensibles a miembros externos crea una amenaza potencial, ya que se puede abusar de ellos para vulnerar cuentas y robo de datos.

Entre las categorías de hallazgos que usan estos roles sensibles, se incluyen las siguientes:

• Persistencia: Otorgamiento anómalo de IAM
  • Regla secundaria: external_service_account_added_to_policy
  • Regla secundaria: external_member_added_to_policy
• Elevación de privilegios: Rol sensible otorgado al grupo híbrido
• Elevación de privilegios: Se otorgó un rol sensible a una cuenta de servicio inactiva

Entre las categorías de hallazgos que usan un subconjunto de los roles sensibles, se incluyen las siguientes:

• Persistencia: Otorgamiento anómalo de IAM
  • Regla secundaria: service_account_granted_sensitive_role_to_member

La regla secundaria service_account_granted_sensitive_role_to_member se orienta a miembros externos e internos en general y, por lo tanto, usa solo un subconjunto de roles sensibles, como se explica en las reglas de Event Threat Detection.

Categoría	Función	Descripción
Roles básicos: Contienen miles de permisos en todos los servicios de Google Cloud .	roles/owner	Funciones básicas
	roles/editor
Roles de seguridad: Controlan el acceso a la configuración de seguridad.	roles/cloudkms.*	Todos los roles de Cloud Key Management Service
	roles/cloudsecurityscanner.*	Todos los roles de Web Security Scanner
	roles/dlp.*	Todos los roles de Sensitive Data Protection
	roles/iam.*	Todos los roles de IAM
	roles/secretmanager.*	Todos los roles de Secret Manager
	roles/securitycenter.*	Todos los roles de Security Command Center
Roles de Logging: Controlan el acceso a los registros de una organización.	roles/errorreporting.*	Todos los roles de Error Reporting
	roles/logging.*	Todos los roles de Cloud Logging
	roles/stackdriver.*	Todos los roles de Cloud Monitoring
Roles de información personal: Controlan el acceso a los recursos que contienen información de identificación personal, incluidos los datos bancarios y de contacto.	roles/billing.*	Todos los roles de Facturación de Cloud
	roles/healthcare.*	Todas las funciones de la API de Cloud Healthcare
	roles/essentialcontacts.*	Todos los roles de Contactos esenciales
Roles de herramientas de redes: Controlan el acceso a la configuración de red de una organización.	roles/dns.*	Todos los roles de Cloud DNS
	roles/domains.*	Todos los roles de Cloud Domains
	roles/networkconnectivity.*	Todos los roles de Network Connectivity Center
	roles/networkmanagement.*	Todos los roles de NCC
	roles/privateca.*	Todos los roles de Certificate Authority Service
Roles de servicio: Controlan el acceso a los recursos de servicio en Google Cloud	roles/cloudasset.*	Todas las funciones de Cloud Asset Inventory
	roles/servicedirectory.*	Todos los roles del Directorio de servicios
	roles/servicemanagement.*	Todos los roles de Administración de servicios
	roles/servicenetworking.*	Todos los roles de Service Networking
	roles/serviceusage.*	Todos los roles de Service Usage
Roles de Compute Engine: Controlan el acceso a las máquinas virtuales de Compute Engine, que ejecutan trabajos de larga duración y están asociadas con reglas de firewall.	roles/compute.admin roles/compute.instanceAdmin roles/compute.instanceAdmin.v1 roles/compute.loadBalancerAdmin roles/compute.networkAdmin roles/compute.orgFirewallPolicyAdmin roles/compute.orgFirewallPolicyUser roles/compute.orgSecurityPolicyAdmin roles/compute.orgSecurityPolicyUser roles/compute.orgSecurityResourceAdmin roles/compute.osAdminLogin roles/compute.publicIpAdmin roles/compute.securityAdmin roles/compute.storageAdmin roles/compute.xpnAdmin	Todos los roles de administrador y editor de Compute Engine

Categoría	Función	Descripción
Roles de edición: Roles de IAM que incluyen permisos para realizar cambios en los recursos de Google Cloud	Ejemplos: roles/storage.objectAdmin roles/file.editor roles/source.writer roles/container.developer	Por lo general, los nombres de los roles terminan con títulos como Administrador, Propietario, Editor o Escritor. Expande el nodo en la última fila de la tabla para ver Todos los roles de sensibilidad media.
Roles de almacenamiento de datos: Son roles de IAM que incluyen permisos para ver y ejecutar servicios de almacenamiento de datos.	Ejemplos: roles/cloudsql.viewer roles/cloudsql.client roles/bigquery.dataViewer roles/bigquery.user roles/spanner.databaseReader roles/spanner.databaseUser	Expande el nodo en la última fila de la tabla para ver Todos los roles de sensibilidad media.
Todos los roles de sensibilidad media Aprobación de acceso roles/accessapproval.approver roles/accessapproval.configEditor Access Context Manager roles/accesscontextmanager.gcpAccessAdmin roles/accesscontextmanager.policyAdmin roles/accesscontextmanager.policyEditor Acciones roles/actions.Admin AI Platform roles/ml.admin roles/ml.developer roles/ml.jobOwner roles/ml.modelOwner roles/ml.modelUser API Gateway roles/apigateway.admin App Engine roles/appengine.appAdmin roles/appengine.appCreator roles/appengine.serviceAdmin Artifact Analysis roles/containeranalysis.admin roles/containeranalysis.notes.attacher roles/containeranalysis.notes.editor roles/containeranalysis.occurrences.editor AutoML roles/automl.admin roles/automl.editor BigQuery roles/bigquery.admin roles/bigquery.dataEditor roles/bigquery.dataOwner roles/bigquery.dataViewer roles/bigquery.resourceAdmin roles/bigquery.resourceEditor roles/bigquery.resourceViewer roles/bigquery.user Bigtable roles/bigtable.admin roles/bigtable.reader roles/bigtable.user Autorización binaria roles/binaryauthorization.attestorsAdmin roles/binaryauthorization.attestorsEditor roles/binaryauthorization.policyAdmin roles/binaryauthorization.policyEditor Cloud Autoscaling roles/autoscaling.metricsWriter roles/autoscaling.sitesAdmin roles/autoscaling.stateWriter Cloud Build roles/cloudbuild.builds.builder roles/cloudbuild.builds.editor Cloud Deployment Manager roles/deploymentmanager.editor roles/deploymentmanager.typeEditor Cloud Endpoints roles/endpoints.portalAdmin^Beta Cloud Monitoring roles/monitoring.admin roles/monitoring.alertPolicyEditor roles/monitoring.dashboardEditor roles/monitoring.editor roles/monitoring.metricWriter roles/monitoring.notificationChannelEditor roles/monitoring.servicesEditor roles/monitoring.uptimeCheckConfigEditor Cloud Run roles/run.admin roles/run.developer Cloud Run Functions roles/cloudfunctions.admin roles/cloudfunctions.developer roles/cloudfunctions.invoker API de Cloud Runtime Configuration roles/runtimeconfig.admin Cloud Scheduler roles/cloudscheduler.admin Cloud Source Repositories roles/source.admin roles/source.writer Cloud SQL roles/cloudsql.admin roles/cloudsql.editor roles/cloudsql.client roles/cloudsql.instanceUser roles/cloudsql.viewer Cloud Storage roles/storage.admin roles/storage.hmacKeyAdmin roles/storage.objectAdmin roles/storage.objectCreator roles/storage.objectViewer roles/storage.legacyBucketOwner roles/storage.legacyBucketWriter roles/storage.legacyBucketReader roles/storage.legacyObjectOwner roles/storage.legacyObjectReader Cloud Tasks roles/cloudtasks.admin roles/cloudtasks.enqueuer roles/cloudtasks.queueAdmin roles/cloudtasks.taskDeleter Cloud TPU tpu.admin Cloud Trace roles/cloudtrace.admin roles/cloudtrace.agent Compute Engine roles/compute.imageUser roles/compute.osLoginExternalUser roles/osconfig.guestPolicyAdmin roles/osconfig.guestPolicyEditor roles/osconfig.osPolicyAssignmentAdmin roles/osconfig.osPolicyAssignmentEditor roles/osconfig.patchDeploymentAdmin Procesamiento de Datos de Uso del Cliente roles/dataprocessing.admin Dataflow roles/dataflow.admin roles/dataflow.developer Managed Service para Apache Spark roles/dataproc.admin roles/dataproc.editor Dataproc Metastore roles/metastore.admin roles/metastore.editor Datastore roles/datastore.importExportAdmin roles/datastore.indexAdmin roles/datastore.owner roles/datastore.user Eventarc roles/eventarc.admin roles/eventarc.developer roles/eventarc.eventReceiver Filestore roles/file.editor Firebase roles/firebase.admin roles/firebase.analyticsAdmin roles/firebase.developAdmin roles/firebase.growthAdmin roles/firebase.qualityAdmin roles/firebaseabt.admin roles/firebaseappcheck.admin roles/firebaseappdistro.admin roles/firebaseauth.admin roles/firebasecrash.symbolMappingsAdmin roles/firebasecrashlytics.admin roles/firebasedatabase.admin roles/firebasedynamiclinks.admin roles/firebasehosting.admin roles/firebaseinappmessaging.admin roles/firebaseml.admin roles/firebasenotifications.admin roles/firebaseperformance.admin roles/firebasepredictions.admin roles/firebaserules.admin roles/firebasestorage.admin roles/cloudconfig.admin roles/cloudtestservice.testAdmin Google Cloud VMware Engine vmwareengine.vmwareengineAdmin Google Kubernetes Engine roles/container.admin roles/container.clusterAdmin roles/container.developer Google Kubernetes Engine Hub roles/gkehub.admin roles/gkehub.gatewayAdmin roles/gkehub.connect Administración de servicios de Google Security Operations roles/chroniclesm.admin Google Workspace roles/gsuiteaddons.developer Identity-Aware Proxy roles/iap.admin roles/iap.settingsAdmin Identity Platform roles/identityplatform.admin Identity Toolkit roles/identitytoolkit.admin Servicio administrado para Microsoft Active Directory roles/managedidentities.admin roles/managedidentities.domainAdmin roles/managedidentities.viewer Memorystore para Redis roles/redis.admin roles/redis.editor OAuthConfig roles/oauthconfig.editor API de On-Demand Scanning roles/ondemandscanning.admin Supervisión de la configuración de operaciones roles/opsconfigmonitoring.resourceMetadata.writer Servicio de políticas de la organización roles/axt.admin roles/orgpolicy.policyAdmin Proximity Beacon roles/proximitybeacon.attachmentEditor roles/proximitybeacon.beaconEditor Pub/Sub roles/pubsub.admin roles/pubsub.editor Pub/Sub Lite roles/pubsublite.admin roles/pubsublite.editor roles/pubsublite.publisher reCAPTCHA roles/recaptchaenterprise.admin roles/recaptchaenterprise.agent Recomendaciones roles/automlrecommendations.admin roles/automlrecommendations.editor Recomendador roles/recommender.billingAccountCudAdmin roles/recommender.cloudAssetInsightsAdmin roles/recommender.cloudsqlAdmin roles/recommender.computeAdmin roles/recommender.firewallAdmin roles/recommender.iamAdmin roles/recommender.productSuggestionAdmin roles/recommender.projectCudAdmin Resource Manager roles/resourcemanager.folderAdmin roles/resourcemanager.folderCreator roles/resourcemanager.folderEditor roles/resourcemanager.folderIamAdmin roles/resourcemanager.folderMover roles/resourcemanager.lienModifier roles/resourcemanager.organizationAdmin roles/resourcemanager.projectCreator roles/resourcemanager.projectDeleter roles/resourcemanager.projectIamAdmin roles/resourcemanager.projectMover roles/resourcemanager.tagAdmin Configuración de recursos roles/resourcesettings.admin API de AI Commerce Search roles/retail.admin roles/retail.editor Acceso a VPC sin servidores roles/vpcaccess.admin Administración de consumidores de servicios roles/serviceconsumermanagement.tenancyUnitsAdmin Spanner roles/spanner.admin roles/spanner.backupAdmin roles/spanner.backupWriter roles/spanner.databaseAdmin roles/spanner.restoreAdmin roles/spanner.databaseReader roles/spanner.databaseUser Servicio de transferencia de almacenamiento roles/storagetransfer.admin roles/storagetransfer.user Gemini Enterprise Agent Platform roles/aiplatform.admin roles/aiplatform.featurestoreAdmin roles/aiplatform.migrator roles/aiplatform.user Notebooks administrados por el usuario de Vertex AI Workbench roles/notebooks.admin roles/notebooks.legacyAdmin Workflows roles/workflows.admin roles/workflows.editor

Roles y permisos sensibles de IAM para la IA

En el caso de los hallazgos de Event Threat Detection relacionados con las amenazas de IA, los roles sensibles se definen de manera diferente en comparación con los roles sensibles para las amenazas que no son de IA.

• Los roles de alta sensibilidad para los hallazgos de IA incluyen los siguientes roles básicos, básicos heredados y predefinidos:

  • roles/admin
  • roles/writer
  • roles/owner
  • roles/editor
  • roles/resourcemanager.organizationAdmin
  • roles/iam.securityAdmin

• Los roles de sensibilidad media para los hallazgos de IA incluyen todos los roles de administrador, editor, propietario y agente de servicio para cualquier servicio de Google Cloud . Los siguientes roles también se consideran roles de sensibilidad media:

  • roles/cloudkms.cryptoKeyDecrypter
  • roles/compute.osAdminLogin
  • roles/compute.osLogin
  • roles/iam.serviceAccountTokenCreator
  • roles/iam.serviceAccountUser
  • roles/logging.configWriter
  • roles/logging.privateLogViewer
  • roles/secretmanager.secretAccessor

• Los roles de baja sensibilidad para los hallazgos de IA incluyen los siguientes:

  • roles/cloudfunctions.developer
  • roles/run.developer
  • roles/appengine.deployer
  • roles/iam.workloadIdentityUser
  • roles/iam.serviceAccountOpenIdTokenCreator
  • roles/artifactregistry.createOnPushWriter

Los permisos sensibles de IA incluyen aquellos que permiten crear, actualizar, borrar o exportar modelos de IA y datos, administrar el control de acceso a los servicios de IA (por ejemplo, setIamPolicy) y utilizar capacidades de IA, como realizar predicciones. Esto también incluye permisos para administrar credenciales sensibles, como las claves HMAC de Storage, que suelen usarse junto con las cargas de trabajo de IA.

Tipos de registros y requisitos de activación

En esta sección, se enumeran los registros que usa Event Threat Detection, junto con las amenazas que busca en cada registro y lo que, si es necesario, debes hacer para activar cada registro.

Solo debes activar un registro para Event Threat Detection si se cumplen todas las condiciones siguientes:

• Estás usando el producto o servicio que escribe en el registro.
• Debes proteger el producto o servicio contra las amenazas que Event Threat Detection detecta en el registro.
• El registro es un registro de auditoría de acceso a los datos o algún otro registro que está desactivado de forma predeterminada.

Algunas amenazas se pueden detectar en varios registros. Si Event Threat Detection puede detectar una amenaza en un registro que ya está activado, no es necesario que actives otro registro para detectar esa misma amenaza.

Si un registro no aparece en esta sección, Event Threat Detection no lo analiza, incluso si está activado. Para obtener más información, consulta Análisis de registros potencialmente redundantes.

Como se describe en la siguiente tabla, algunos tipos de registros solo están disponibles a nivel de la organización. Si activas Security Command Center a nivel del proyecto, Event Threat Detection no analiza estos registros ni produce hallazgos.

Sugerencia: Para ayudarte a evaluar qué registros exportar y analizar para satisfacer tus necesidades de seguridad y cumplimiento, usa la herramienta de ámbito de registros de Google Cloud.

Fuentes de registros fundamentales

Event Threat Detection usa fuentes de datos fundamentales para detectar actividades potencialmente maliciosas en tu red.

• Si habilitas Event Threat Detection sin los registros de flujo de VPC, Event Threat Detection comienza a analizar de inmediato un flujo interno, duplicado e independiente de los registros de flujo de VPC. Para investigar más a fondo un hallazgo existente de Event Threat Detection, debes habilitar los registros de flujo de VPC y navegar de forma manual al Explorador de registros y Flow Analyzer. Si habilitas los registros de flujo de VPC más adelante, solo los hallazgos futuros contendrán los vínculos pertinentes para realizar más investigaciones.

• Si habilitas Event Threat Detection con los registros de flujo de VPC, Event Threat Detection comenzará a analizar de inmediato los registros de flujo de VPC en tu implementación y proporcionará vínculos al Explorador de registros y a Flow Analyzer para ayudarte a investigar más.

Registros de detección de malware en la red

Event Threat Detection puede proporcionar detección de software malicioso en la red mediante el análisis de cualquiera de los siguientes registros:

• Registro de Cloud DNS
• Registro de Cloud NAT
• Registro de reglas de firewall
• Registros de flujo de VPC

No es necesario que habilites más de uno de los registros de Cloud NAT, los registros de reglas de firewall o los registros de flujo de VPC.

Si ya usas el registro de Cloud DNS, Event Threat Detection puede detectar malware con la resolución de dominios. Para la mayoría de los usuarios, los registros de Cloud DNS son suficientes para la detección de malware en la red.

Si necesitas otro nivel de visibilidad más allá de la resolución de dominios, puedes activar los registros de flujo de VPC, pero estos pueden generar costos. Para administrar estos costos, recomendamos aumentar el intervalo de agregación a 15 minutos y reducir la tasa de muestreo a entre un 5% y un 10%, pero hay una compensación entre la recuperación (muestra más alta) y la administración de costos (tasa de muestreo más baja). Para obtener más información, consulta Muestreo y procesamiento de registros.

Si ya usas el registro de reglas de firewall o el registro de Cloud NAT, estos registros son útiles en lugar de los registros de flujo de VPC.

Datos de registro admitidos y amenazas detectadas

En esta sección, se enumeran los registros de Cloud Logging y Google Workspace que puedes activar o configurar de otra manera para aumentar la cantidad de amenazas que puede detectar Event Threat Detection.

Ciertas amenazas, como las que plantea la identidad temporal o la delegación anómalas de una cuenta de servicio, se pueden encontrar en la mayoría de los registros de auditoría. Para estos tipos de amenazas, debes determinar qué registros necesitas activar según los productos y servicios que uses.

Costos de Logging: Antes de activar un registro para que Event Threat Detection lo analice, asegúrate de comprender cómo Cloud Logging cobra por los datos de registro. Después de activar un registro, supervisa el registro durante un par de días para asegurarte de que no genere costos de Logging inesperados.

Aunque el análisis de registros por parte de Event Threat Detection no genera ningún costo adicional, según el volumen de datos de registro que produzcan tus organizaciones y proyectos, Cloud Logging puede cobrarte por la transferencia y el almacenamiento de los datos de registro.

Para obtener información sobre cómo Logging cobra por el registro, consulta Precios de Cloud Logging.

En la siguiente tabla, se muestran los registros específicos que puedes habilitar y el tipo de amenazas que se pueden detectar.

Log type	Threats detected	Configuration required
AlloyDB for PostgreSQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Initial Access: CloudDB Successful login from Anonymizing Proxy IP Privilege Escalation: AlloyDB Database Superuser Writes to User Tables Privilege Escalation: AlloyDB Over-Privileged Grant	Activate Logging Data Access audit logs for AlloyDB for PostgreSQL To detect the Privilege Escalation: AlloyDB Database Superuser Writes to User Tables and Privilege Escalation: AlloyDB Over-Privileged Grant threats, you must also enable the pgAudit extension
authlogs/authlog on virtual machines	Brute force SSH	Install the Ops Agent or the legacy Logging agent on your VM hosts
Cloud DNS logging	Log4j Malware: Bad Domain Malware: bad domain Malware: Cryptomining Bad Domain	Turn on Cloud DNS logging See also Logs for network detection of malware.
Cloud SQL MySQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket Initial Access: CloudDB Successful login from Anonymizing Proxy IP	Activate Logging Data Access audit logs for Cloud SQL for MySQL
Cloud NAT logging	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on Cloud NAT logging See also Logs for network detection of malware.
Cloud SQL PostgreSQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket Exfiltration: Cloud SQL Over-Privileged Grant Initial Access: CloudDB Successful login from Anonymizing Proxy IP	Activate Logging Data Access audit logs for Cloud SQL for PostgreSQL. To detect the Exfiltration: Cloud SQL Over-Privileged Grant threat, you must also enable the pgAudit extension
External Application Load Balancer backend service logs	Initial Access: Log4j Compromise Attempt	Turn on external Application Load Balancer logging
Firewall Rules Logging	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on Firewall Rules Logging See also Logs for network detection of malware.
Generic Data Access audit logs	Initial Access: Leaked Service Account Key Used Privilege Escalation: Anomalous Multistep Service Account Delegation for AI Data Access Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Privilege Escalation: Anomalous Service Account Impersonator for AI Data Access Privilege Escalation: Anomalous Service Account Impersonator for Data Access	Activate Logging Data Access audit logs.
Google Kubernetes Engine (GKE) Data Access audit logs	Discovery: Can get sensitive Kubernetes object check Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials	Activate Logging Data Access audit logs for GKE
Google Workspace Admin Audit logs	Persistence: SSO Enablement Toggle Persistence: SSO Settings Changed Persistence: Strong Authentication Disabled Persistence: Two Step Verification Disabled Privilege Escalation: Privileged Group Opened To Public	Share Google Workspace Admin Audit logs with Cloud Logging This log type can't be scanned in project-level activations.
Google Workspace Login Audit logs	Credential Access: External Member Added To Privileged Group Initial Access: Account Disabled Hijacked Initial Access: Disabled Password Leak Initial Access: Government Based Attack Initial Access: Suspicious Login Blocked Persistence: Two Step Verification Disabled	Share Google Workspace Login Audit logs with Cloud Logging This log type can't be scanned in project-level activations.
IAM Data Access audit logs	Discovery: AI Agent Service Account Self-Investigation Discovery: Service Account Self-Investigation Privilege Escalation: AI Agent Cross-Project Access Token Generation Privilege Escalation: AI Agent Cross-Project OpenID Token Generation Privilege Escalation: AI Agent Token Generation Using Implicit Delegation Privilege Escalation: AI Agent Token Generation Using signJwt	Activate Logging Data Access audit logs for Resource Manager
SQL Server Data Access audit logs	Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket	Activate Logging Data Access audit logs for Cloud SQL for SQL Server
VPC Flow Logs	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on VPC Flow Logs See also Logs for network detection of malware.

Registros que siempre están activados

En la siguiente tabla, se enumeran los registros de Cloud Logging que no necesitas activar ni configurar. Estos registros siempre están activados y Event Threat Detection los analiza automáticamente.

Tipo de registro	Amenazas detectadas	Configuración obligatoria
Registros de Agent Engine	Acceso a credenciales: Acceso anómalo al servicio de metadatos por parte del agente de IA (versión preliminar) Detección: Evidencia de análisis de puertos del agente de IA (versión preliminar)	Ninguno
Registros de auditoría de la actividad de los administradores de Backup and DR	Impacto: Backup and DR de Google Cloud caduca todas las imágenes Impacto: Se borró la copia de seguridad de Backup and DR de Google Cloud Impacto: Se borró el host de Backup and DR de Google Cloud Impacto: Se borró la asociación del plan de Backup and DR de Google Cloud Impacto: Se borró la vault de Backup and DR de Google Cloud Impacto: Política de borrado de Backup and DR de Google Cloud Impacto: Se borra el perfil de Backup and DR de Google Cloud Impacto: Se borra la plantilla de Backup and DR de Google Cloud Impacto: Backup and DR de Google Cloud vence la imagen Impacto: Backup and DR de Google Cloud redujo el vencimiento de las copias de seguridad Impacto: Backup and DR de Google Cloud redujo la frecuencia de las copias de seguridad Impacto: Se quitó el dispositivo de Backup and DR de Google Cloud Impacto: Se quita el plan de Backup and DR de Google Cloud Inhibición de la recuperación del sistema: Se borra el grupo de almacenamiento de Backup and DR de Google Cloud	Ninguno
Registros de acceso a los datos de BigQueryAuditMetadata	Robo de datos: El agente de IA inició la extracción de datos de BigQuery Robo de datos: El agente de IA inició el robo de datos de BigQuery a una tabla externa Robo de datos: El agente de IA inició una infracción del perímetro de VPC de BigQuery Robo de datos: Robo de datos de BigQuery Robo de datos: Extracción de datos de BigQuery Robo de datos: datos de BigQuery en Google Drive Robo de datos: Migra a un recurso público de BigQuery (versión preliminar)	Ninguno
Registros de auditoría de actividad del administrador genéricos	Evasión de defensas: Se modificó el filtro de IP del bucket de GCS Evasión de defensa: Se inhabilitó el bloqueo de la política HTTP del proyecto Evasión de defensa: Se agregó el rol TokenCreator a nivel de carpeta Evasión de defensa: Se otorgó el rol TokenCreator a nivel de carpeta al agente de IA Evasión de defensa: Se agregó el rol TokenCreatorRole a nivel de la organización Evasión de defensa: Se otorgó el rol TokenCreator a nivel de la organización al agente de IA Evasión de defensa: Se agregó el rol TokenCreator a nivel de proyecto Evasión de defensa: Se otorgó el rol TokenCreator a nivel de proyecto al agente de IA Descubrimiento: Llamada no autorizada a la API de Service Account por parte del agente de IA Acceso inicial: Acciones denegadas de permisos excesivos de identidad del agente de IA Acceso inicial: Acción de cuenta de servicio inactiva Acceso inicial: Actividad de la cuenta de servicio inactiva en el servicio de IA Acceso inicial: Se creó la clave de cuenta de servicio inactiva Acceso inicial: Acciones denegadas de permisos excesivos Acceso inicial: Se usó una clave de cuenta de servicio filtrada Movimiento lateral: Se conectó un disco de arranque modificado a la instancia (versión preliminar) Persistencia: Se agregó una clave SSH del administrador de GCE Persistencia: Se agregó una secuencia de comandos de inicio del administrador de GCE Persistencia: Nuevo método de API de IA Persistencia: Nuevo método de la API Persistencia: Nueva geografía Persistencia: Nueva ubicación geográfica para el servicio de IA Persistencia: Usuario-agente nuevo Persistencia: Se agregó un permiso de IA sensible al rol personalizado Persistencia: Se otorgó un rol sensible a un agente de IA externo Persistencia: Rol sensible otorgado por el agente de IA Elevación de privilegios: Suplantación de identidad anómala de la cuenta de servicio en la actividad del administrador Elevación de privilegios: Uso anómalo de identidad de la cuenta de servicio para actividades de administrador de IA Elevación de privilegios: Delegación anómala de cuentas de servicio de varios pasos para actividades de administrador Elevación de privilegios: Delegación anómala de cuentas de servicio de varios pasos para actividades de administrador de IA Elevación de privilegios: Uso de identidad temporal como cuenta de servicio anómalo para actividades de administrador Elevación de privilegios: Uso anómalo de la identidad temporal como cuenta de servicio para las actividades del administrador de IA	Ninguno
Registros de auditoría de actividad del administrador de Google Kubernetes Engine (GKE)	Acceso a credenciales: Intento fallido de aprobar la solicitud de firma de certificado (CSR) de Kubernetes Acceso a credenciales: Solicitud de firma de certificado (CSR) de Kubernetes aprobada de forma manual (versión preliminar) Evasión de defensa: Se otorgó acceso de administrador de clústeres a sesiones anónimas Evasión de defensas: Solicitud de firma de certificado (CSR) borrada manualmente Evasión de defensa: Posible enmascaramiento de Pod de Kubernetes Evasión de defensas: Se creó un Pod estático Ejecución: Se inició un contenedor de GKE con capacidad excesiva (versión preliminar) Ejecución: Se creó un Pod de Kubernetes con posibles argumentos de shell inversos Ejecución: Se detectó una ejecución o conexión sospechosas a un Pod del sistema (versión preliminar) Ejecución: Se activó la carga de trabajo en un espacio de nombres sensible Impacto: Se detectó una modificación de kube-dns de GKE (versión preliminar) Impacto: Nombres de contenedores de Kubernetes sospechosos: minería de criptomonedas Acceso inicial: Recurso de GKE anónimo creado desde Internet (versión preliminar) Acceso inicial: Se creó el servicio NodePort de GKE Acceso inicial: Recurso de GKE modificado de forma anónima desde Internet (versión preliminar) Acceso inicial: Se realizó una llamada a la API exitosa desde un IP de proxy de TOR Persistencia: Se detectó la configuración del webhook de GKE Persistencia: Cuenta de servicio creada en un espacio de nombres sensible Elevación de privilegios: Cambios en los objetos RBAC sensibles de Kubernetes Elevación de privilegios: ClusterRole con verbos privilegiados (versión preliminar) Elevación de privilegios: ClusterRoleBinding para el rol con privilegios Elevación de privilegios: Creación de una CSR de Kubernetes para el certificado principal Elevación de privilegios: Creación de vinculaciones de Kubernetes sensibles Elevación de privilegios: Se otorgó acceso al clúster de GKE a usuarios anónimos Elevación de privilegios: Lanzamiento de un contenedor Kubernetes privilegiado Elevación de privilegios: Nombres de contenedores de Kubernetes sospechosos: explotación y escape (versión preliminar) Elevación de privilegios: Se creó una carga de trabajo con una activación de ruta de acceso del host sensible (vista previa) Elevación de privilegios: Carga de trabajo con shareProcessNamespace habilitado (versión preliminar)	Ninguno
Registros de auditoría de la actividad del administrador de IAM	Persistencia: Otorgamiento anómalo de IAM (versión preliminar) Persistencia: Se otorgó un rol sensible a una cuenta no administrada Elevación de privilegios: SetIAMPolicy de la cuenta de servicio predeterminada de Compute Engine Elevación de privilegios: Se otorgó un rol sensible a una cuenta de servicio inactiva Elevación de privilegios: Se otorgó el rol de suplantación de identidad para la cuenta de servicio inactiva Elevación de privilegios: Rol sensible otorgado al grupo híbrido	Ninguno
Registros de auditoría de eventos del sistema de IAM	Ejecución: Imagen de Docker para criptominería Impacto: Comandos de criptominería	Ninguno
Registros de actividad del administrador de MySQL	Robo de datos: copia de seguridad de restablecimiento de Cloud SQL a una organización externa	Ninguno
Registros de actividad del administrador de PostgreSQL	Robo de datos: copia de seguridad de restablecimiento de Cloud SQL a una organización externa	Ninguno
Registros de actividad del administrador de SQL Server	Robo de datos: copia de seguridad de restablecimiento de Cloud SQL a una organización externa	Ninguno
Registros de auditoría de los Controles del servicio de VPC	Defense Evasion: Modifica el Control de servicios de VPC (versión preliminar)	Ninguno

¿Qué sigue?

• Obtén información para usar Event Threat Detection.
• Obtén información para investigar y desarrollar planes de respuesta a las amenazas.