Event Threat Detection 總覽

什麼是 Event Threat Detection？

Event Threat Detection 是 Security Command Center 進階級的內建服務，可持續監控組織或專案，並近乎即時地找出系統中的威脅。Event Threat Detection 會定期更新，加入新的偵測工具，以雲端規模找出新興威脅。

Event Threat Detection 的運作方式

Event Threat Detection 會監控貴組織或專案的 Cloud Logging 串流。如果您在組織層級啟用 Security Command Center 進階級，Event Threat Detection 會在專案建立時，擷取專案的記錄檔，並監控 Google Workspace 記錄檔。Cloud Logging 包含 API 呼叫和其他動作的記錄項目，這些動作會建立、讀取或修改資源的設定或中繼資料。Google Workspace 記錄會追蹤使用者登入網域的情況，並提供 Google Workspace 管理控制台執行的動作記錄。

記錄項目包含狀態和事件資訊，Event Threat Detection 會使用這些資訊快速偵測威脅。Event Threat Detection 會套用偵測邏輯和專屬威脅情報方法，例如識別入侵指標 (IoC)、在滑動時間範圍內剖析、機器學習和異常偵測，以近乎即時的方式識別威脅。

Event Threat Detection 偵測到威脅時，會將發現項目寫入 Security Command Center。如果您在組織層級啟用 Security Command Center Premium 方案，Security Command Center 就能將發現項目寫入 Cloud Logging 專案。您可以透過 Pub/Sub 將 Cloud Logging 和 Google Workspace 記錄中的發現項目匯出至其他系統，並使用 Cloud Run 函式處理。

如果在組織層級啟用 Security Command Center Premium 方案，您還可以使用 Google Security Operations 調查部分發現項目。Google SecOps 是一項 Google Cloud 服務，可讓您在統一的時間軸中調查威脅，並切換至相關實體。如要瞭解如何將發現項目傳送至 Google SecOps，請參閱「在 Google SecOps 中調查發現項目」。

您是否能查看及編輯發現項目和記錄，取決於您獲派的身分與存取權管理 (IAM) 角色。如要進一步瞭解 Security Command Center IAM 角色，請參閱「存取控管」。

機密資料充實

Event Threat Detection 與 Sensitive Data Protection 整合，可強化機密資源發現項目。如果您已啟用 Sensitive Data Protection 探索掃描，並設定將結果傳送至 Security Command Center，Event Threat Detection 就能使用 BigQuery 和 Cloud Storage 資源的敏感度中繼資料調整發現項目：

  • 類別變更：如果 Sensitive Data Protection 判定資源的機密程度為高或中，發現項目類別會更新為特定類別，表示資源屬於機密。舉例來說，如果有人使用外洩的服務帳戶金鑰存取機密 bucket，發現項目類別會從 Initial Access: Leaked Service Account Key Used 變更為 Initial Access: Leaked Service Account Key Affecting Sensitive Data。
  • 嚴重性升級：如果發現項目的預設嚴重性低於「高」 (即「低」或「中」)，嚴重性會升級一個等級 (例如從「中」升級至「高」)。

如需支援機密資料充實功能的規則清單，請參閱「Event Threat Detection 預設規則」。

Event Threat Detection 規則

規則定義了 Event Threat Detection 偵測的威脅類型，以及偵測工具運作時必須啟用的記錄類型。系統一律會寫入管理員活動稽核記錄，且該記錄無法設定或停用。

Event Threat Detection 包含下列預設規則：

顯示名稱 API 名稱 記錄來源類型 說明 機密資料充實
主動掃描：Log4j 容易受到 RCE 攻擊 無法使用 Cloud DNS 記錄 Log4j 安全漏洞掃描程式啟動並識別未模糊處理網域的 DNS 查詢。 這個安全漏洞可能導致遠端執行程式碼 (RCE)。根據預設，發現項目會歸類為「高」嚴重性。 —
影響：刪除 Google Cloud 備份和災難復原主機 BACKUP_HOSTS_DELETE_HOST Cloud 稽核記錄：
備份和災難復原服務管理員活動稽核記錄 		主機已從備份和災難復原管理控制台刪除。與已刪除主機相關聯的應用程式可能不受保護。根據預設，發現項目會歸類為「低」嚴重性。 —
影響：Google Cloud 備份和災難復原過期映像檔 BACKUP_EXPIRE_IMAGE Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		使用者要求從備份和災難復原管理控制台刪除備份映像檔。刪除備份映像檔不會影響日後的備份作業。根據預設，發現項目的嚴重性會歸類為「中」。 —
影響：Google Cloud 備份和災難復原移除方案 BACKUP_REMOVE_PLAN Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		已從備份和災難復原服務刪除應用程式的多項政策備份方案。刪除備份方案後，系統可能不會再執行備份作業。根據預設，發現項目的嚴重性會歸類為「中」。 —
影響：Google Cloud 備份和災難復原服務會將所有映像檔設為過期 BACKUP_EXPIRE_IMAGES_ALL Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		使用者要求從備份和災難復原管理控制台，刪除受保護應用程式的所有備份映像檔。刪除備份映像檔不會影響日後的備份作業。根據預設，發現項目會歸類為「高」嚴重性。 —
影響：Google Cloud 備份和災難復原刪除範本 BACKUP_TEMPLATES_DELETE_TEMPLATE Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		預先定義的備份範本已從備份和災難復原管理控制台刪除。這類範本用於設定多個應用程式的備份作業。日後設定備份時可能會受到影響。根據預設，發現項目的嚴重性會歸類為「中」。 —
影響：Google Cloud 備份和災難復原刪除政策 BACKUP_TEMPLATES_DELETE_POLICY Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		備份和災難復原政策定義了備份方式和儲存位置，但已從備份和災難復原管理控制台刪除。日後使用該政策的備份作業可能會失敗。根據預設，發現項目會歸類為「低」嚴重性。 —
影響：Google Cloud 備份和災難復原刪除設定檔 BACKUP_PROFILES_DELETE_PROFILE Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		已從備份和災難復原管理控制台刪除備份和災難復原設定檔，該設定檔定義了應使用哪些儲存空間集區來儲存備份。日後使用該設定檔的備份作業可能會失敗。根據預設，發現項目會歸類為「低」嚴重性。 —
影響：Google Cloud 備份和災難復原移除設備 BACKUP_APPLIANCES_REMOVE_APPLIANCE Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		已從備份和災難復原管理控制台刪除備份設備。與已刪除備份設備相關聯的應用程式可能不受保護。根據預設，發現項目的嚴重性會歸類為「中」。 —
影響：Google Cloud 備份和災難復原刪除儲存空間集區 BACKUP_STORAGE_POOLS_DELETE Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		儲存空間集區 (將 Cloud Storage bucket 與備份和災難復原服務建立關聯) 已從備份和災難復原管理控制台移除。日後備份至這個儲存空間目標的作業將會失敗。根據預設，發現項目會歸類為「低」嚴重性。 —
影響：Google Cloud 備份和災難復原服務縮短了備份到期時間 BACKUP_REDUCE_BACKUP_EXPIRATION Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		透過備份和災難復原管理控制台，縮短受備份和災難復原保護的備份到期日。根據預設，發現項目會歸類為「低」嚴重性。 —
影響：Google Cloud 備份和災難復原服務降低了備份頻率 BACKUP_REDUCE_BACKUP_FREQUENCY Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		已透過備份和災難復原管理控制台修改備份和災難復原備份排程，降低備份頻率。根據預設，發現項目會歸類為「低」嚴重性。 —
影響：刪除 Google Cloud 備份和災難復原保管箱 BACKUP_DELETE_VAULT Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		已刪除 backup vault。根據預設，發現項目會歸類為「高」嚴重性。 —
影響：刪除 Google Cloud 備份和災難復原備份 BACKUP_DELETE_VAULT_BACKUP Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		手動刪除儲存在 backup vault 的備份。根據預設，發現項目會歸類為「高」嚴重性。 —
影響：刪除 Google Cloud 備份和災難復原方案關聯 BACKUP_DELETE_BACKUP_PLAN_ASSOCIATION Cloud 稽核記錄：
備份和災難復原管理員活動稽核記錄 		備份和災難復原服務的備份方案已從工作負載中移除。根據預設，發現項目會歸類為「高」嚴重性。 —
SSH 暴力攻擊 BRUTE_FORCE_SSH authlog 攻擊者透過暴力破解技術，成功取得主機的 SSH 存取權。根據預設，發現項目會歸類為「高」嚴重性。 —
Cloud IDS：THREAT_IDENTIFIER CLOUD_IDS_THREAT_ACTIVITY Cloud IDS 記錄

Cloud IDS 偵測到的威脅事件。

Cloud IDS 會分析鏡像封包來偵測第 7 層攻擊，並在偵測到威脅事件時，將威脅類別發現項目傳送至 Security Command Center。發現項目類別名稱開頭為「Cloud IDS」，後面接著 Cloud IDS 威脅 ID。

Cloud IDS 與 Event Threat Detection 的整合不包含 Cloud IDS 安全漏洞偵測。根據預設，發現項目會歸類為「低」嚴重性。

如要進一步瞭解 Cloud IDS 偵測功能，請參閱「 Cloud IDS 記錄資訊」。

 —
提權：外部成員新增至特殊權限群組 EXTERNAL_MEMBER_ADDED_TO_PRIVILEGED_GROUP Google Workspace 記錄：
登入稽核
權限：
DATA_READ

外部成員已新增至特殊權限 Google 群組 (獲派機密角色或權限的群組)。只有在群組尚未包含與新成員來自相同組織的其他外部成員時，系統才會產生發現項目。詳情請參閱「不安全的 Google 群組變更」。

這項發現項目不適用於專案層級啟用。系統會根據與群組變更相關聯的角色機密程度，將發現項目分類為「高」或「中」嚴重程度。詳情請參閱「機密 IAM 角色和權限」。

 —
提權：特殊權限群組對外公開 PRIVILEGED_GROUP_OPENED_TO_PUBLIC Google Workspace：
管理員稽核
權限：
DATA_READ

特殊權限 Google 群組 (獲派機密角色或權限的群組) 已變更為可供一般大眾存取。詳情請參閱「不安全的 Google 群組變更」。

這項發現項目不適用於專案層級啟用。系統會根據與群組變更相關聯的角色機密程度，將發現項目分類為高或中嚴重性。詳情請參閱「機密 IAM 角色和權限」。

 —
提權：將敏感角色授予混合群組 SENSITIVE_ROLE_TO_GROUP_WITH_EXTERNAL_MEMBER Cloud 稽核記錄：
IAM 管理員活動稽核記錄

將機密角色授予含有外部成員的 Google 群組。詳情請參閱「不安全的 Google 群組變更」。

系統會根據與群組變更相關聯的角色機密程度，將發現項目分類為「高」或「中」嚴重性。詳情請參閱「機密 IAM 角色和權限」。

 —
規避防禦機制：建立急用權限工作負載部署作業 (預先發布版) BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_CREATE Cloud 稽核記錄：
管理員活動記錄 		部署工作負載時，使用急用權限旗標覆寫二進位授權控管機制。根據預設，發現項目會歸類為「低」嚴重性。 —
規避防禦機制：更新急用權限工作負載部署作業 (預先發布版) BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_UPDATE Cloud 稽核記錄：
管理員活動記錄 		工作負載更新時，以急用權限旗標覆寫二進位授權控管機制。根據預設，發現項目會歸類為「低」嚴重性。 —
探索：來自 AI 代理的通訊埠掃描證據 (預先發布版) AGENT_ENGINE_PORT_SCANNING_EVIDENCE Agent Engine 記錄：
Agent Engine 記錄 		AI 代理出現橫向或縱向通訊埠掃描行為。根據預設，發現項目會歸類為「低」嚴重性。 —
探索：AI 代理未經授權即透過服務帳戶呼叫 API (預先發布版) AGENT_ENGINE_UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL Cloud 稽核記錄：
管理員活動稽核記錄 		服務帳戶透過 AI 代理，對外部專案發出未經授權的 API 呼叫。這類行為可能表示未經授權的使用者試圖透過 AI 代理取得資源詳細資料、啟用或停用服務，或執行其他未經授權的操作。根據預設，發現項目的嚴重性會歸類為「低」。 類別：Discovery: AI Agent Unauthorized Service Account API Call Affecting Sensitive Data
嚴重性：低到中
規避防禦機制：已修改 GCS bucket IP 篩選 GCS_BUCKET_IP_FILTERING_MODIFIED Cloud 稽核記錄：
管理員活動記錄 		使用者或服務帳戶變更了 Cloud Storage bucket 的 IP 篩選設定。根據預設，發現項目會歸類為「低」嚴重性。 —
規避防護功能：修改 VPC Service Controls DEFENSE_EVASION_MODIFY_VPC_SERVICE_CONTROL Cloud 稽核記錄 VPC Service Controls 稽核記錄

現有的 VPC Service Controls 範圍已變更，這會導致該範圍提供的保護減少。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「低」。

 —
規避防禦機制：已停用專案 HTTP 政策封鎖 PROJECT_HTTP_POLICY_BLOCK_DISABLED Cloud 稽核記錄：
管理員活動記錄 		使用者或服務帳戶成功觸發動作，停用專案的 storage.secureHttpTransport。如果是在組織層級或資料夾層級執行動作，也適用這項規定，因為在這個層級套用的政策預設會由子項專案繼承。根據預設，發現項目會歸類為「低」嚴重性。 —
探索：AI 代理服務帳戶自我調查 (預先發布版) AGENT_ENGINE_IAM_ANOMALOUS_BEHAVIOR_SERVICE_ACCOUNT_GETS_OWN_IAM_POLICY Cloud 稽核記錄：
IAM 資料存取稽核記錄
權限：
DATA_READ

有人使用與 AI 代理相關聯的身分，調查與該服務帳戶相關聯的角色和權限。如果要求已獲得授權，發現項目會歸類為「低」嚴重性；如果要求未獲得授權，則會歸類為「高」嚴重性。

 —
探索：可以取得機密 Kubernetes 物件檢查 GKE_CONTROL_PLANE_CAN_GET_SENSITIVE_OBJECT Cloud 稽核記錄：
GKE 資料存取記錄

可能有惡意行為人試圖使用 kubectl auth can-i get 指令，判斷可以查詢 GKE 中的哪些機密物件。具體來說，規則會偵測行為人是否查看了下列物件的 API 存取權：

根據預設，發現項目會歸類為「低」嚴重性。

 —
探索：服務帳戶自我調查 SERVICE_ACCOUNT_SELF_INVESTIGATION Cloud 稽核記錄：
IAM 資料存取稽核記錄
權限：
DATA_READ

使用 IAM 服務帳戶憑證，調查與該服務帳戶相關聯的角色和權限。

機密角色

系統會根據授予角色的機密程度，將發現項目分類為「高」或「中」嚴重性。詳情請參閱「機密 IAM 角色和權限」。

 —
憑證存取：AI 代理異常存取中繼資料服務 (預先發布版) AGENT_ENGINE_ANOMALOUS_ACCESS_TO_METADATA_SERVICE Agent Engine 記錄：
Agent Engine 記錄 		AI 代理從中繼資料伺服器擷取服務帳戶權杖。根據預設，發現項目會歸類為「低」嚴重性。 —
規避防禦機制：來自匿名 Proxy 的存取 ANOMALOUS_ACCESS Cloud 稽核記錄：
管理員活動記錄 		Google Cloud 服務修改作業源自與 Tor 網路相關聯的 IP 位址。根據預設，發現項目的嚴重性會歸類為「中」。 —
竊取：BigQuery 資料竊取 DATA_EXFILTRATION_BIG_QUERY Cloud 稽核記錄： BigQueryAuditMetadata 資料存取記錄
權限：
DATA_READ

偵測下列情況：

  • 受保護組織擁有的資源已儲存至組織外部，包括複製或轉移作業。

    這種情況會以 exfil_to_external_table 的子規則和「高」嚴重性表示。

  • 嘗試存取受 VPC Service Controls 保護的 BigQuery 資源。

    這種情況會以 vpc_perimeter_violation 子規則和「低」嚴重性表示。

 類別：Exfiltration: Sensitive BigQuery Data Exfiltration
嚴重性：低到中
竊取：BigQuery 資料擷取 DATA_EXFILTRATION_BIG_QUERY_EXTRACTION Cloud 稽核記錄： BigQueryAuditMetadata 資料存取記錄
權限：
DATA_READ

偵測下列情況：

  • 透過擷取作業，將組織擁有的 BigQuery 資源儲存至組織外的 Cloud Storage bucket。
  • 受保護組織擁有的 BigQuery 資源，已透過擷取作業儲存至該組織擁有的公開 Cloud Storage bucket。

如果在專案層級啟用 Security Command Center Premium 進階級，則只有在上層組織啟用 Standard-legacy 方案時，才能查看這項發現項目。根據預設，發現項目的嚴重性會歸類為「低」。

 類別：Exfiltration: Sensitive BigQuery Data Extraction
嚴重性：低到中
資料竊取：AI 代理引發了 BigQuery 虛擬私有雲 perimeter 違規事項 (預先發布版) AGENT_ENGINE_BIG_QUERY_EXFIL_VPC_PERIMETER_VIOLATION
 Cloud 稽核記錄： BigQueryAuditMetadata 資料存取記錄 權限：
DATA_READ

偵測 AI 代理是否嘗試存取受 VPC Service Controls 保護的 BigQuery 資源。根據預設，發現項目會歸類為「低」嚴重性。

 —
資料竊取：AI 代理引發了 BigQuery 資料竊取活動 (傳送至外部資料表) (預先發布版) AGENT_ENGINE_BIG_QUERY_EXFIL_TO_EXTERNAL_TABLE
 Cloud 稽核記錄： BigQueryAuditMetadata 資料存取記錄 權限：
DATA_READ

偵測 AI 代理是否將受保護組織擁有的資源儲存至組織外部，包括複製或轉移作業。根據預設，發現項目會歸類為「高」嚴重性。

 類別：Exfiltration: AI Agent Initiated Sensitive BigQuery Data Exfiltration to External Table
嚴重程度：不變 (預設為「高」)
資料竊取：AI 代理引發了 Cloud SQL 資料竊取活動 (傳送至公開 bucket) (預先發布版) AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS
 Cloud 稽核記錄： MySQL 資料存取記錄
PostgreSQL 資料存取記錄
SQL Server 資料存取記錄

偵測 AI 代理是否將即時執行個體資料匯出至組織擁有的公開 Cloud Storage bucket。

如要在專案層級啟用 Security Command Center Premium 進階級，上層組織必須啟用 Standard-legacy 方案，才能使用這項發現項目。根據預設，發現項目的嚴重性會歸類為「高」。

 —
資料竊取：AI 代理引發了 Cloud SQL 資料竊取活動 (傳送至外部 bucket) (預先發布版) AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS Cloud 稽核記錄： MySQL 資料存取記錄
PostgreSQL 資料存取記錄
SQL Server 資料存取記錄

偵測 AI 代理是否將即時執行個體資料匯出至組織外的 Cloud Storage bucket。

如果在專案層級啟用 Security Command Center Premium 進階級，則只有在上層組織啟用 Standard-legacy 方案時，才能查看這項發現項目。根據預設，發現項目的嚴重性會歸類為「高」。

 —
竊取：AI 代理引發了 BigQuery 資料擷取活動 (預先發布版) AGENT_ENGINE_BIG_QUERY_EXFIL_TO_CLOUD_STORAGE Cloud 稽核記錄： BigQueryAuditMetadata 資料存取記錄 權限：
DATA_READ

偵測 AI 代理啟動 BigQuery 資料擷取作業的下列情境：

  • 受保護組織擁有的 BigQuery 資源，已透過擷取作業儲存至組織外的 Cloud Storage bucket。
  • 受保護組織擁有的 BigQuery 資源，已透過擷取作業儲存至該組織擁有的公開 Cloud Storage bucket。

如果在專案層級啟用 Security Command Center Premium 進階級，則只有在上層組織啟用 Standard-legacy 方案時，才能查看這項發現項目。根據預設，發現項目的嚴重性會歸類為「低」。

 類別：Exfiltration: AI Agent Initiated Sensitive BigQuery Data Extraction
嚴重性：低到中
竊取：將 BigQuery 資料傳送至 Google 雲端硬碟 DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE Cloud 稽核記錄： BigQueryAuditMetadata 資料存取記錄
權限：
DATA_READ 		受保護組織擁有的 BigQuery 資源已透過擷取作業儲存至 Google 雲端硬碟資料夾。根據預設，發現項目會歸類為「低」嚴重性。 類別：Exfiltration: Sensitive BigQuery Data to Google Drive
嚴重性：低到中
竊取：移至公開 BigQuery 資源 DATA_EXFILTRATION_BIG_QUERY_TO_PUBLIC_RESOURCE Cloud 稽核記錄： BigQueryAuditMetadata 資料存取記錄
權限：
DATA_READ

BigQuery 資源已儲存至貴組織擁有的公開資源。根據預設，發現項目的嚴重性會歸類為「中」。

 —
竊取：Cloud SQL 資料竊取 CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS
CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS 		Cloud 稽核記錄： MySQL 資料存取記錄
PostgreSQL 資料存取記錄
SQL Server 資料存取記錄

偵測下列情況：

  • 即時執行個體資料已匯出至組織外的 Cloud Storage bucket。
  • 即時執行個體資料已匯出至貴組織擁有的公開 Cloud Storage bucket。

如果在專案層級啟用 Security Command Center Premium 進階級，則只有在上層組織啟用 Standard-legacy 方案時，才能查看這項發現項目。根據預設，發現項目的嚴重性會歸類為「高」。

 —
資料竊取：將 Cloud SQL 備份還原至外部組織 CLOUDSQL_EXFIL_RESTORE_BACKUP_TO_EXTERNAL_INSTANCE Cloud 稽核記錄： MySQL 管理員活動記錄
PostgreSQL 管理員活動記錄
SQL Server 管理員活動記錄

Cloud SQL 執行個體的備份已還原至組織外部的執行個體。根據預設，發現項目會歸類為「高」嚴重性。

 —
資料竊取：Cloud SQL 權限過高 CLOUDSQL_EXFIL_USER_GRANTED_ALL_PERMISSIONS Cloud 稽核記錄：PostgreSQL 資料存取記錄
注意：您必須啟用 pgAudit 擴充功能，才能使用這項規則。		 PostgreSQL 適用的 Cloud SQL 使用者或角色，已取得資料庫的所有權限，或結構定義中所有資料表、程序或函式的權限。根據預設，發現項目會歸類為「低」嚴重性。 —
初始存取：資料庫超級使用者寫入使用者資料表 CLOUDSQL_SUPERUSER_WRITES_TO_USER_TABLES Cloud 稽核記錄： PostgreSQL 適用的 Cloud SQL 資料存取記錄
MySQL 適用的 Cloud SQL 資料存取記錄
注意：您必須啟用 PostgreSQL 的 pgAudit 擴充功能或 MySQL 的資料庫稽核功能，才能使用這項規則。 		Cloud SQL 超級使用者 (PostgreSQL 伺服器的 postgres 或 MySQL 使用者的 root) 寫入非系統資料表。根據預設，發現項目會歸類為「低」嚴重性。 —
提權：AlloyDB 授予過多權限 ALLOYDB_USER_GRANTED_ALL_PERMISSIONS Cloud 稽核記錄： AlloyDB for PostgreSQL 資料存取記錄
注意：您必須啟用 pgAudit 擴充功能，才能使用這項規則。		 某個 AlloyDB for PostgreSQL 使用者或角色取得了下列項目的所有權限：某個資料庫，或是結構定義中的所有資料表、程序或函式。根據預設，發現項目會歸類為「低」嚴重性。 —
提權：AlloyDB 資料庫超級使用者寫入使用者資料表 ALLOYDB_SUPERUSER_WRITES_TO_USER_TABLES Cloud 稽核記錄：AlloyDB for PostgreSQL 資料存取記錄
注意：您必須啟用 pgAudit 擴充功能，才能使用這項規則。		 AlloyDB for PostgreSQL 超級使用者 (postgres) 寫入非系統資料表。根據預設，發現項目會歸類為「低」嚴重性。 —
初始存取：AI 代理身分因過度授權而遭拒的動作 (預先發布版) AGENT_ENGINE_EXCESSIVE_FAILED_ATTEMPT Cloud 稽核記錄：管理員活動記錄 與 AI 代理相關聯的身分試圖透過多種方法和服務進行變更，反覆觸發權限遭拒錯誤。根據預設，發現項目的嚴重性會歸類為「中」。 —
初始存取：休眠服務帳戶動作 DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION Cloud 稽核記錄：管理員活動記錄 閒置的使用者自行管理服務帳戶觸發了動作。在這個情況下，如果服務帳戶閒置超過 180 天，就會視為閒置。根據預設，發現項目會歸類為「高」嚴重性。 類別：Initial Access: Dormant Service Account Action taken Affecting Sensitive Data
嚴重性：不變 (預設為「高」)
提權：已授予休眠服務帳戶敏感角色 DORMANT_SERVICE_ACCOUNT_ADDED_IN_IAM_ROLE Cloud 稽核記錄：IAM 管理員活動稽核記錄

休眠的 使用者自行管理的服務帳戶獲派一或多個機密 IAM 角色。在這個情況下，如果服務帳戶閒置超過 180 天，就會視為閒置。

機密角色

系統會根據授予角色的機密程度，將發現項目分類為「高」或「中」嚴重性。根據預設，發現項目的嚴重性會歸類為「中」。詳情請參閱「機密 IAM 角色和權限」。

 —
提權：已授予休眠服務帳戶身分的模擬角色 DORMANT_SERVICE_ACCOUNT_IMPERSONATION_ROLE_GRANTED Cloud 稽核記錄：IAM 管理員活動稽核記錄 主體已取得 模擬閒置使用者代管服務帳戶的權限。在此情況下，如果服務帳戶閒置超過 180 天，就會視為閒置。根據預設，發現項目的嚴重性會歸類為「中」。 —
初始存取：已建立休眠服務帳戶金鑰 DORMANT_SERVICE_ACCOUNT_KEY_CREATED Cloud 稽核記錄：管理員活動記錄 系統已為閒置的使用者管理服務帳戶建立金鑰。在此情況下，如果服務帳戶閒置超過 180 天，就會視為閒置。根據預設，發現項目會歸類為「高」嚴重性。 —
初始存取：使用外洩的服務帳戶金鑰 LEAKED_SA_KEY_USED Cloud 稽核記錄： 管理員活動記錄
資料存取記錄 		有人使用外洩的服務帳戶金鑰驗證這項操作。在本例中，外洩的服務帳戶金鑰是指張貼在公開網際網路上的金鑰。根據預設，發現項目會歸類為「高」嚴重性。 類別：Initial Access: Leaked Service Account Key Affecting Sensitive Data
嚴重性：不變 (預設為「高」)
初始存取：因過度授權而遭拒的動作 EXCESSIVE_FAILED_ATTEMPT Cloud 稽核記錄：管理員活動記錄 某個主體嘗試透過多種方法和服務進行變更，反覆觸發「權限遭拒」錯誤。根據預設，發現項目的嚴重性會歸類為「中」。 —
持續性：高強度驗證已停用 ENFORCE_STRONG_AUTHENTICATION Google Workspace：
管理員稽核

組織已停用兩步驟驗證。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「中」。

 —
持續性：兩步驟驗證已停用 2SV_DISABLE Google Workspace 記錄：
登入稽核
權限：
DATA_READ

使用者停用兩步驟驗證。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「低」。

 —
初始存取權：帳戶已停用遭入侵 ACCOUNT_DISABLED_HIJACKED Google Workspace 記錄：
登入稽核
權限：
DATA_READ

使用者的帳戶因可疑活動而遭到停權。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「中」。

 —
初始存取：Workspace 已停用密碼外洩 ACCOUNT_DISABLED_PASSWORD_LEAK Google Workspace 記錄：
登入稽核
權限：
DATA_READ

偵測到密碼外洩，因此停用使用者帳戶。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「低」。

 —
初始存取：政府支援的攻擊 GOV_ATTACK_WARNING Google Workspace 記錄：
登入稽核
權限：
DATA_READ

受特定政府支援的攻擊者可能曾試圖入侵使用者帳戶或電腦。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「高」。

 —
初始存取：Log4j 入侵嘗試 無法使用 Cloud Load Balancing 記錄：
Cloud HTTP 負載平衡器
注意：您必須啟用外部應用程式負載平衡器記錄功能，才能使用這項規則。

偵測到標頭或網址參數中的 Java Naming and Directory Interface (JNDI) 查詢。這些查詢可能表示有人嘗試利用 Log4Shell。這些發現項目的嚴重性較低，因為只代表偵測到或嘗試入侵，而非安全漏洞或入侵。

這項規則一律會啟用。根據預設，發現項目的嚴重性會歸類為「低」。

 —
初始存取：已封鎖可疑登入活動 SUSPICIOUS_LOGIN Google Workspace 記錄：
登入稽核
權限：
DATA_READ

偵測到使用者帳戶有可疑登入活動，並已封鎖。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「低」。

 —
Log4j 惡意軟體：不良網域 LOG4J_BAD_DOMAIN Cloud DNS 記錄 系統偵測到 Log4j 攻擊流量，因為連線或查詢 Log4j 攻擊中使用的已知網域。根據預設，發現項目會歸類為「低」嚴重性。 —
Log4j 惡意軟體：無效 IP LOG4J_BAD_IP 虛擬私有雲流量記錄
防火牆規則記錄
Cloud NAT 記錄		 系統根據連至 Log4j 攻擊所用已知 IP 位址的連線，偵測到 Log4j 攻擊流量。根據預設，發現項目會歸類為「低」嚴重性。 —
惡意軟體：不良網域 MALWARE_BAD_DOMAIN Cloud DNS 記錄 偵測到惡意軟體，因為系統連線至或查詢已知的不良網域。根據預設，發現項目會歸類為「低」嚴重性。 —
惡意軟體：無效 IP MALWARE_BAD_IP 虛擬私有雲流量記錄
防火牆規則記錄
Cloud NAT 記錄 		偵測到與已知惡意 IP 位址的連線，因此判定為惡意軟體。根據預設，發現項目的嚴重性會歸類為「低」。 —
惡意軟體：加密貨幣挖礦不良網域 CRYPTOMINING_POOL_DOMAIN Cloud DNS 記錄 系統偵測到與已知挖礦網域的連線或查詢，因此判定有加密貨幣挖礦活動。根據預設，發現項目會歸類為「低」嚴重性。 —
惡意軟體：加密貨幣挖礦無效 IP CRYPTOMINING_POOL_IP 虛擬私有雲流量記錄
防火牆規則記錄
Cloud NAT 記錄 		偵測到與已知挖礦 IP 位址的連線，因此判定有加密貨幣挖礦活動。根據預設，發現項目的嚴重性會歸類為「低」。 —
持續性：GCE 管理員新增了安全殼層金鑰 GCE_ADMIN_ADD_SSH_KEY Cloud 稽核記錄：
Compute Engine 管理員活動稽核記錄 		Compute Engine 執行個體中繼資料安全殼層金鑰值，在已建立的執行個體 (超過 1 週) 上遭到修改。根據預設，發現項目會歸類為「低」嚴重性。 —
持續性：GCE 管理員新增開機指令碼 GCE_ADMIN_ADD_STARTUP_SCRIPT Cloud 稽核記錄：
Compute Engine 管理員活動稽核記錄 		Compute Engine 執行個體中繼資料開機指令碼值，在已建立的執行個體 (超過 1 週) 上遭到修改。根據預設，發現項目會歸類為「低」嚴重性。 —
持續性：IAM 異常授權 IAM_ANOMALOUS_GRANT Cloud 稽核記錄：
IAM 管理員活動稽核記錄

這項發現項目包含子規則，可提供這項發現項目各個例項的更具體資訊。

以下列出所有可能的子規則：

  • external_service_account_added_to_policy、external_member_added_to_policy：權限已授予不屬於貴組織或專案 (如果 Security Command Center 僅在專案層級啟用) 的 IAM 使用者和服務帳戶。

    注意：如果 Security Command Center 是在組織層級啟用 (無論任何級別)，這項偵測工具會以組織現有的 IAM 政策做為背景資訊。如果 Security Command Center 僅在專案層級啟用，偵測工具只會使用專案的 IAM 政策做為背景資訊。

    如果發生向外部成員授予機密 IAM 權限的情況，且類似的現有 IAM 政策少於三項，這項偵測工具就會產生發現項目。

    機密角色

    系統會根據授予角色的機密程度，將發現項目分類為「高」或「中」嚴重性。根據預設，發現項目的嚴重性會歸類為「高」。詳情請參閱「機密 IAM 角色和權限」。

  • external_member_invited_to_policy：有人透過 InsertProjectOwnershipInvite API 邀請外部成員擔任專案擁有者。
  • custom_role_given_sensitive_permissions：setIAMPolicy 權限已新增至自訂角色。
  • service_account_granted_sensitive_role_to_member：已透過服務帳戶將特殊權限角色授予成員。這項子規則是由機密角色的子集觸發，其中僅包含基本 IAM 角色和特定資料儲存庫角色。詳情請參閱「機密 IAM 角色和權限」。
  • policy_modified_by_default_compute_service_account：使用預設 Compute Engine 服務帳戶修改專案 IAM 設定。
 —
Persistence：敏感 AI 權限新增至自訂角色 (預先發布版) SENSITIVE_AI_PERMISSION_ADDED_TO_CUSTOM_ROLE Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		敏感 AI 權限已新增至 IAM 自訂角色。詳情請參閱「AI 的機密 IAM 角色和權限」。根據預設，發現項目的嚴重性會歸類為「中」。 —
持續性：AI 代理授予敏感角色 (預先發布版) SENSITIVE_ROLE_GRANTED_BY_AI_AGENT Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		AI 代理獲派敏感 IAM 角色。發現項目會依據角色機密程度分類，中等機密程度的角色會歸類為「中」嚴重性，高度機密程度的角色則會歸類為「高」嚴重性。詳情請參閱「AI 的機密 IAM 角色和權限」。 —
持續性：將敏感角色授予外部 AI 代理 (預先發布版) EXTERNAL_AI_AGENT_GRANTED_SENSITIVE_ROLE Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		外部組織的 AI 代理獲派敏感 IAM 角色。發現項目會依據角色機密程度分類，中等機密程度的角色為「中」嚴重性，高度機密程度的角色則為「高」嚴重性。詳情請參閱「AI 的機密 IAM 角色和權限」。 —
持續性：非代管帳戶獲派機密角色 (預先發布版) UNMANAGED_ACCOUNT_ADDED_IN_IAM_ROLE Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		已將機密角色授予非代管帳戶。根據預設，發現項目會歸類為「高」嚴重性。 —
保留設定：新 API 方法
 ANOMALOUS_BEHAVIOR_NEW_API_METHOD Cloud 稽核記錄：
管理員活動記錄 		IAM 服務帳戶以異常方式存取 Google Cloud 服務。根據預設，發現項目的嚴重性會歸類為「低」。 類別：Persistence: New API Method Affecting Sensitive Data
嚴重性：低到中
持續性：新地理位置 IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION Cloud 稽核記錄：
管理員活動記錄

根據要求 IP 位址的地理位置，從異常位置存取 IAM 使用者和服務帳戶。 Google Cloud

這項發現項目不適用於專案層級啟用，且預設嚴重性為「低」。

 —
持續性：新使用者代理程式 IAM_ANOMALOUS_BEHAVIOR_USER_AGENT Cloud 稽核記錄：
管理員活動記錄

從異常或可疑的使用者代理程式存取 IAM 服務帳戶 Google Cloud 。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「低」。

 —
持續性：單一登入 (SSO) 啟用切換開關 TOGGLE_SSO_ENABLED Google Workspace：
管理員稽核

管理員帳戶的「啟用單一登入 (SSO)」設定已停用。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「高」。

 —
持續性：單一登入 (SSO) 設定已變更 CHANGE_SSO_SETTINGS Google Workspace：
管理員稽核

管理員帳戶的單一登入 (SSO) 設定已變更。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「高」。

 —
權限提升：有人冒用服務帳戶，並出現異常的管理員活動 ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY Cloud 稽核記錄：
管理員活動記錄 		有人使用可能異常的模擬服務帳戶執行管理活動。根據預設，發現項目的嚴重性會歸類為「中」。 類別：Privilege Escalation: Anomalous Impersonation of Service Account for Admin Activity Affecting Sensitive Data
嚴重性：中至高
權限升級：管理員活動出現異常多步驟服務帳戶委派情況 ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY Cloud 稽核記錄：
管理員活動記錄 		系統偵測到管理活動有多步驟 委派要求異常。根據預設，發現項目的嚴重性會歸類為「中」。 類別：Privilege Escalation: Anomalous Multistep Service Account Delegation for Admin Activity Affecting Sensitive Data
嚴重性：中至高
提權：資料存取出現異常多步驟服務帳戶委派情況 ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS Cloud 稽核記錄：
資料存取記錄 		系統偵測到資料存取活動出現異常的多步驟 委派要求。根據預設，發現項目的嚴重性會歸類為「中」。 類別：Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Affecting Sensitive Data
嚴重性：中至高
權限提升：管理員活動出現異常服務帳戶模擬者 ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY Cloud 稽核記錄：
管理員活動記錄 		委派鏈結中可能異常的呼叫者或模擬者用於管理活動。根據預設，發現項目的嚴重性會歸類為「中」。 類別：Privilege Escalation: Anomalous Service Account Impersonator for Admin Activity Affecting Sensitive Data
嚴重性：中至高
提權：有人冒用服務帳戶，並出現異常的資料存取活動 ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS Cloud 稽核記錄：
資料存取記錄 		委派鏈結中可能異常的呼叫端或模擬端用於資料存取活動。根據預設，發現項目的嚴重性會歸類為「中」。 類別：Privilege Escalation: Anomalous Service Account Impersonator for Data Access Affecting Sensitive Data
嚴重性：中至高
提權：變更機密 Kubernetes RBAC 物件 GKE_CONTROL_PLANE_EDIT_SENSITIVE_RBAC_OBJECT Cloud 稽核記錄：
GKE 管理員活動記錄 		為提升權限，可能有惡意的行為人試圖使用 PUT 或 PATCH 要求，修改機密 cluster-admin 角色的 ClusterRole、RoleBinding 或 ClusterRoleBinding 角色式存取控管 (RBAC) 物件。根據預設，發現項目會歸類為「低」嚴重性。 —
提權：建立主憑證的 Kubernetes CSR GKE_CONTROL_PLANE_CSR_FOR_MASTER_CERT Cloud 稽核記錄：
GKE 管理員活動記錄 		可能有惡意的行為人建立了 Kubernetes 主 憑證簽署要求 (CSR)，藉此取得 cluster-admin 存取權。根據預設，發現項目會歸類為「高」嚴重性。 —
提權：建立機密 Kubernetes 繫結 GKE_CONTROL_PLANE_CREATE_SENSITIVE_BINDING Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		為提升權限，可能有惡意行為人試圖為 cluster-admin 角色建立新的 RoleBinding 或 ClusterRoleBinding 物件。根據預設，發現項目會歸類為「低」嚴重性。 —
提權：以外洩的啟動憑證取得 Kubernetes CSR GKE_CONTROL_PLANE_GET_CSR_WITH_COMPROMISED_BOOTSTRAP_CREDENTIALS Cloud 稽核記錄：
GKE 資料存取記錄 		可能有惡意的行為人使用了外洩的啟動憑證，以 kubectl 指令查詢 憑證簽署要求 (CSR)。根據預設，發現項目會歸類為「高」嚴重性。 —
提權：啟動具備特殊權限的 Kubernetes 容器 GKE_CONTROL_PLANE_LAUNCH_PRIVILEGED_CONTAINER Cloud 稽核記錄：
GKE 管理員活動記錄

可能有惡意行為人建立了 Pod，當中的容器具備特殊權限或提權能力。

特殊權限容器的 privileged 欄位設為 true。 具備提權功能的容器則是 allowPrivilegeEscalation 欄位設為 true。詳情請參閱 Kubernetes 說明文件中的 SecurityContext v1 核心 API 參考資料。根據預設，發現項目會歸類為「低」嚴重性。

 —
持續性：已建立服務帳戶金鑰 SERVICE_ACCOUNT_KEY_CREATION Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		已建立服務帳戶金鑰。服務帳戶金鑰是長期憑證，會增加未經授權存取 Google Cloud資源的風險。根據預設，發現項目會歸類為「低」嚴重性。 —
提權：新增全域關機指令碼 GLOBAL_SHUTDOWN_SCRIPT_ADDED Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		專案中新增了全域關機指令碼。根據預設，發現項目的嚴重性會歸類為「低」。 —
Persistence：新增全域開機指令碼 GLOBAL_STARTUP_SCRIPT_ADDED Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		專案中新增了全域開機指令碼。根據預設，發現項目的嚴重性會歸類為「低」。 —
規避防禦機制：新增組織層級 TokenCreatorRole ORG_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		服務帳戶權杖建立者 IAM 角色是在組織層級授予。根據預設，發現項目會歸類為「低」嚴重性。 —
規避防禦機制：新增資料夾層級 TokenCreatorRole FOLDER_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		服務帳戶權杖建立者 IAM 角色是在資料夾層級授予。根據預設，發現項目會歸類為「低」嚴重性。 —
規避防禦機制：新增專案層級 TokenCreatorRole PROJECT_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		服務帳戶權杖建立者 IAM 角色是在專案層級授予。根據預設，發現項目會歸類為「低」嚴重性。 —
規避防禦：將組織層級的 TokenCreator 角色授予 AI 代理 (預先發布版) AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_ORG Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		AI 代理在組織層級獲得 服務帳戶權杖建立者 IAM 角色。根據預設，發現項目會歸類為「高」嚴重性。 —
規避防禦機制：將資料夾層級的 TokenCreator 角色授予 AI 代理 (預先發布版) AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_FOLDER Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		AI 代理在資料夾層級獲得 服務帳戶權杖建立者 IAM 角色。根據預設，發現項目會歸類為「高」嚴重性。 —
規避防禦機制：將專案層級的 TokenCreator 角色授予 AI 代理 AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_PROJECT Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		AI 代理在專案層級獲得 服務帳戶權杖建立者 IAM 角色。根據預設，發現項目會歸類為「高」嚴重性。 —
橫向移動：透過服務帳戶執行 OS 修補作業 暫時無法使用 OS_PATCH_EXECUTION_FROM_SERVICE_ACCOUNT Cloud 稽核記錄。
VM 管理員稽核記錄 		服務帳戶使用 Compute Engine 修補程式功能，更新目前執行中 Compute Engine 執行個體的作業系統。根據預設，發現項目會歸類為「低」嚴重性。

這項規則暫時無法使用。如要監控 VM 管理員 活動，請使用 VM 管理員 稽核記錄。

 —
橫向移動：修改連接至執行個體的開機磁碟 (預先發布版) MODIFY_BOOT_DISK_ATTACH_TO_INSTANCE Cloud 稽核記錄：
Compute Engine 稽核記錄 		開機磁碟已從某個 Compute Engine 執行個體卸載，並連接至另一個執行個體，這可能表示有人試圖使用修改過的開機磁碟入侵系統。根據預設，發現項目會歸類為「低」嚴重性。 —
憑證存取：在 Kubernetes 命名空間存取密鑰 SECRETS_ACCESSED_IN_KUBERNETES_NAMESPACE Cloud 稽核記錄：
GKE 資料存取記錄 		目前 Kubernetes 命名空間中的服務帳戶存取了 Secret 或服務帳戶權杖。根據預設，發現項目會歸類為「低」嚴重性。 —
資源開發：有問題的安全性發行版本活動 OFFENSIVE_SECURITY_DISTRO_ACTIVITY Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		已透過已知的滲透測試或攻擊性安全性發行版本，成功操控 Google Cloud 資源。根據預設，發現項目會歸類為「低」嚴重性。 類別：Resource Development: Offensive Security Distro Activity Affecting Sensitive Data
嚴重性：低到中
提權：AI 代理透過 signJwt 產生權杖 (預先發布版) AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT Cloud 稽核記錄：
IAM 資料存取稽核記錄

與 AI 代理相關聯的服務帳戶使用 serviceAccounts.signJwt 方法，為另一個服務帳戶產生存取權杖。

根據預設，發現項目的嚴重性會歸類為「低」。

 —
提權：AI 代理透過默示委派機制產生權杖 (預先發布版) AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION Cloud 稽核記錄：
IAM 資料存取稽核記錄
 iam.serviceAccounts.implicitDelegation 權限遭到濫用，透過 AI 代理從權限較高的服務帳戶產生存取權杖。根據預設，發現項目會歸類為「低」嚴重性。 —
提權：AI 代理產生跨專案 OpenID 權杖 (預先發布版) AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID Cloud 稽核記錄：
IAM 資料存取稽核記錄

iam.serviceAccounts.getOpenIdToken IAM 權限已透過 AI 代理跨專案使用。

這項發現項目不適用於專案層級啟用。根據預設，發現項目會歸類為「低」嚴重性。

 —
提權：AI 代理產生跨專案存取權杖 (預先發布版) AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN Cloud 稽核記錄：
IAM 資料存取稽核記錄

iam.serviceAccounts.getAccessToken IAM 權限已透過 AI 代理跨專案使用。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「低」。

 —
提權：新服務帳戶是擁有者或編輯者 暫時無法使用 SERVICE_ACCOUNT_EDITOR_OWNER Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		系統已建立新的服務帳戶，並授予專案的編輯者或擁有者角色。根據預設，發現項目會歸類為「低」嚴重性。

這項規則暫時無法使用。如要監控 IAM 變更，請參閱 IAM 管理員活動稽核記錄。

 —
探索：使用資訊收集工具 INFORMATION_GATHERING_TOOL_USED Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		偵測到 ScoutSuite 使用情形。ScoutSuite 是雲端安全性稽核工具，已知威脅發動者會使用這項工具。根據預設，發現項目會歸類為「低」嚴重性。 類別：Discovery: Information Gathering Tool Affecting Sensitive Data
嚴重性：低到中
提權：可疑的權杖產生作業 暫時無法使用 SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION Cloud 稽核記錄：
IAM 稽核記錄 		iam.serviceAccounts.implicitDelegation 權限遭到濫用，用於從權限較高的服務帳戶產生存取權杖。根據預設，發現項目會歸類為「低」嚴重性。

這項規則暫時無法使用。如要監控 IAM 活動，請使用 IAM 稽核記錄。

 —
提權：可疑的權杖產生作業 暫時無法使用 SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT Cloud 稽核記錄：
IAM 稽核記錄 		服務帳戶使用 serviceAccounts.signJwt 方法，為另一個服務帳戶產生存取權杖。根據預設，發現項目會歸類為「低」嚴重性。

這項規則暫時無法使用。如要監控 IAM 活動，請使用 IAM 稽核記錄。

 —
提權：可疑的權杖產生作業 暫時無法使用 SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID Cloud 稽核記錄：
IAM 稽核記錄

iam.serviceAccounts.getOpenIdToken IAM 權限已用於多項專案。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「低」。

這項規則暫時無法使用。如要監控 IAM 活動，請使用 IAM 稽核記錄。

 —
提權：可疑的權杖產生作業 暫時無法使用 SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN Cloud 稽核記錄：
IAM 稽核記錄

iam.serviceAccounts.getAccessToken IAM 權限已用於多項專案。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「低」。

這項規則暫時無法使用。如要監控 IAM 活動，請使用 IAM 稽核記錄。

 —
提權：可疑的跨專案權限使用 SUSPICIOUS_CROSS_PROJECT_PERMISSION_DATAFUSION Cloud 稽核記錄：
IAM 管理員活動稽核記錄

datafusion.instances.create IAM 權限已用於多項專案。

這項發現項目不適用於專案層級啟用。根據預設，發現項目的嚴重性會歸類為「低」。

 —
指揮與控制：DNS 隧道 暫時無法使用 DNS_TUNNELING_IODINE_HANDSHAKE Cloud DNS 記錄 偵測到 DNS 通道工具 Iodine 的握手。根據預設，發現項目會歸類為「低」嚴重性。

這項規則暫時無法使用。如要監控 DNS 活動，請使用 Cloud DNS 記錄。

 —
規避防禦機制：嘗試混充虛擬私有雲路由 VPC_ROUTE_MASQUERADE Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		手動建立偽裝成 Google Cloud 預設路徑的虛擬私有雲路徑，允許輸出流量傳送至外部 IP 位址。根據預設，發現項目會歸類為「高」嚴重性。 —
影響：計費功能已停用 暫時無法使用 BILLING_DISABLED_SINGLE_PROJECT Cloud 稽核記錄：
Cloud Billing 管理員活動稽核記錄 		專案的計費功能已停用。根據預設，發現項目會歸類為「低」嚴重性。

這項規則暫時無法使用。如要監控帳單變更，請使用 Cloud Billing 管理員活動稽核記錄。

 —
影響：計費功能已停用 暫時無法使用 BILLING_DISABLED_MULTIPLE_PROJECTS Cloud 稽核記錄：
Cloud Billing 管理員活動稽核記錄 		在短時間範圍內，機構中多項專案的計費功能遭到停用。根據預設，發現項目會歸類為「低」嚴重性。

這項規則暫時無法使用。如要監控帳單變更，請使用 Cloud Billing 管理員活動稽核記錄。

 —
影響：虛擬私有雲防火牆進行高優先順序封鎖作業 VPC_FIREWALL_HIGH_PRIORITY_BLOCK Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		已新增優先順序為 0 的虛擬私有雲防火牆規則，可封鎖所有輸出流量。根據預設，發現項目會歸類為「低」嚴重性。 —
影響：大量刪除虛擬私有雲防火牆規則暫時無法使用 VPC_FIREWALL_MASS_RULE_DELETION Cloud 稽核記錄：
IAM 管理員活動稽核記錄

非服務帳戶大量刪除虛擬私有雲防火牆規則。

這項規則暫時無法使用。如要監控防火牆規則的更新，請使用 Cloud 稽核記錄。根據預設，發現項目會歸類為「低」嚴重性。

 —
影響：服務 API 已停用 SERVICE_API_DISABLED Cloud 稽核記錄：
IAM 管理員活動稽核記錄 		正式環境中的 Google Cloud 服務 API 已停用。根據預設，發現項目會歸類為「低」嚴重性。 —
影響：將代管執行個體群組的自動調度資源機制設為最大值 暫時無法使用 MIG_AUTOSCALING_SET_TO_MAX Cloud 稽核記錄：
Compute Engine 管理員活動稽核記錄 		代管執行個體群組已設為自動調度資源上限。根據預設，發現項目會歸類為「低」嚴重性。

這項規則暫時無法使用。如要監控 Compute Engine 資產的變更，請使用 Compute Engine 管理員活動稽核記錄。

 —
探索：未經授權的服務帳戶 API 呼叫 暫時無法使用 UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL Cloud 稽核記錄：
管理員活動稽核記錄 		服務帳戶發出未經授權的跨專案 API 呼叫。根據預設，發現項目會歸類為「低」嚴重性。

這項規則暫時無法使用。如要監控服務帳戶使用情形，請使用管理員活動稽核記錄。

 —
規避防禦機制：匿名工作階段獲授予叢集管理員存取權 ANONYMOUS_SESSIONS_GRANTED_CLUSTER_ADMIN Cloud 稽核記錄：
GKE 管理員活動記錄 		系統已建立角色式存取控管 (RBAC) ClusterRoleBinding 物件，並將 root-cluster-admin-binding 行為新增至匿名使用者。根據預設，發現項目會歸類為「低」嚴重性。 —
保留設定：AI 服務的新地理區域 AI_IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION Cloud 稽核記錄：
管理員活動記錄

根據要求 IP 位址的地理位置，IAM 使用者和服務帳戶從異常位置存取 Google Cloud AI 服務。

這項發現項目不適用於專案層級啟用，且預設為「低」嚴重性。

 —
權限升級：AI 管理員活動出現異常多步驟服務帳戶委派情況 AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY Cloud 稽核記錄：
管理員活動記錄 		AI 服務的管理活動出現異常的多步驟 委派要求。根據預設，發現項目的嚴重性會歸類為「中」。 —
提權：AI 資料存取出現異常多步驟服務帳戶委派情況 AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS Cloud 稽核記錄：
資料存取記錄 		AI 服務的資料存取活動出現異常的多步驟 委派要求。根據預設，發現項目的嚴重性會歸類為「中」。 —
權限提升：AI 管理員活動出現異常服務帳戶模擬者 AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY Cloud 稽核記錄：
管理員活動記錄 		委派鏈結中可能異常的呼叫者或模擬者，用於 AI 服務的管理活動。根據預設，發現項目的嚴重性會歸類為「中」。 —
提權：AI 資料存取出現異常服務帳戶模擬者 AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS Cloud 稽核記錄：
資料存取記錄 		委派鏈結中可能異常的呼叫者或模擬者，用於 AI 服務的資料存取活動。根據預設，發現項目的嚴重性會歸類為「中」。 —
權限提升：AI 管理員活動出現異常服務帳戶模擬者 AI_ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY Cloud 稽核記錄：
管理員活動記錄 		有人使用可能異常的模擬服務帳戶，執行 AI 服務的管理活動。根據預設，發現項目的嚴重性會歸類為「中」。 —
持續性：新 AI API 方法
 AI_ANOMALOUS_BEHAVIOR_NEW_API_METHOD Cloud 稽核記錄：
管理員活動記錄 		IAM 服務帳戶以異常方式存取 Google Cloud AI 服務。根據預設，發現項目的嚴重性會歸類為「低」。 —
初始存取：AI 服務中的休眠服務帳戶活動 AI_DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION Cloud 稽核記錄：管理員活動記錄 閒置的使用者自行管理服務帳戶在 AI 服務中觸發了動作。在這個情況下，如果服務帳戶閒置超過 180 天，就會視為閒置。根據預設，發現項目會歸類為「高」嚴重性。 —
初始存取：透過網際網路匿名建立 GKE 資源 (預先發布版) GKE_RESOURCE_CREATED_ANONYMOUSLY_FROM_INTERNET Cloud 稽核記錄：
GKE 管理員活動記錄。 		資源是由 實際匿名的網際網路使用者建立。根據預設，發現項目會歸類為「高」嚴重性。 —
初始存取：透過網際網路匿名修改 GKE 資源 (預先發布版) GKE_RESOURCE_MODIFIED_ANONYMOUSLY_FROM_INTERNET Cloud 稽核記錄：
GKE 管理員活動記錄 		資源遭到 實質匿名的網際網路使用者操控。根據預設，發現項目會歸類為「高」嚴重性。 —
提權：已將 GKE 叢集存取權授予確實匿名的使用者 GKE_ANONYMOUS_USERS_GRANTED_ACCESS Cloud 稽核記錄：
GKE 管理員活動記錄

有人建立了參照下列其中一個使用者或群組的 RBAC 繫結：

  • system:anonymous
  • system:unauthenticated
  • system:authenticated

這些使用者和群組實際上是匿名的，因此在建立任何 RBAC 角色的角色繫結或叢集角色繫結時，應避免使用這些使用者和群組。請檢查繫結，確保其必要性。如果不需要繫結，請將其移除。根據預設，發現項目的嚴重性會歸類為「中」。

 —
執行：對系統 Pod 執行可疑的 exec 或 attach 指令 (預先發布版) GKE_SUSPICIOUS_EXEC_ATTACH Cloud 稽核記錄：
GKE 管理員活動記錄 		有人使用 exec 或 attach 指令，在 kube-system 命名空間中執行的容器上取得殼層或執行指令。這些方法有時會用於合法的偵錯目的。不過，kube-system 命名空間適用於 Kubernetes 建立的系統物件，因此應檢查是否有非預期的指令執行或殼層建立作業。根據預設，發現項目的嚴重性會歸類為「中」。 —
提權：透過敏感主機路徑掛接而建立的工作負載 (預先發布版) GKE_SENSITIVE_HOSTPATH Cloud 稽核記錄：
GKE 管理員活動記錄 		有人建立的工作負載含有 hostPath 磁碟區掛接，指向主機節點檔案系統上的機密路徑。存取主機檔案系統上的這些路徑，可用於存取節點上的特殊權限或機密資訊，以及容器跳脫。請盡可能不要在叢集中允許任何 hostPath 磁碟區。根據預設，發現項目會歸類為「低」嚴重性。 —
提權：已啟用 shareProcessNamespace 的工作負載 (預先發布版) GKE_SHAREPROCESSNAMESPACE_POD Cloud 稽核記錄：
GKE 管理員活動記錄 		有人部署了將 shareProcessNamespace 選項設為 true 的工作負載，允許所有容器共用相同的 Linux 程序命名空間。這可能導致不受信任或遭入侵的容器透過存取及控制環境變數、記憶體和其他機密資料，提升在其他容器中執行的程序權限。根據預設，發現項目會歸類為「低」嚴重性。 —
提權：具有權限動詞的 ClusterRole (預先發布版) GKE_CLUSTERROLE_PRIVILEGED_VERBS Cloud 稽核記錄：
GKE 管理員活動記錄 		有人建立了包含 bind、escalate 或 impersonate 動詞的 RBAC ClusterRole。如果主體繫結至具有這些動詞的角色，就能模擬其他權限較高的使用者、繫結至包含其他權限的其他 Roles 或 ClusterRoles，或修改自己的 ClusterRole 權限。這可能會導致這些主體取得叢集管理員權限。根據預設，發現項目會歸類為「低」嚴重性。 —
提權：透過 ClusterRoleBinding 使角色獲得特殊權限 GKE_CRB_CLUSTERROLE_AGGREGATION_CONTROLLER Cloud 稽核記錄：
GKE 管理員活動記錄 		有人建立了參照預設 system:controller:clusterrole-aggregation-controller ClusterRole 的 RBAC ClusterRoleBinding。這個預設 ClusterRole 具有 escalate 動詞，可讓主體修改自身角色的權限，進而提權。根據預設，發現項目會歸類為「低」嚴重性。 —
規避防禦機制：手動刪除憑證簽署要求 (CSR) GKE_MANUALLY_DELETED_CSR Cloud 稽核記錄：
GKE 管理員活動記錄 		有人手動刪除憑證簽署要求 (CSR)。CSR 會由垃圾收集控制器自動移除，但惡意行為人可能會手動刪除 CSR 以規避偵測。如果刪除的 CSR 是用於已核准並核發的憑證，惡意行為人現在就有其他驗證方式可存取叢集。與憑證相關聯的權限會因憑證包含的主體而異，但可能具有高度權限。Kubernetes 不支援撤銷憑證。根據預設，發現項目會歸類為「低」嚴重性。 —
憑證存取：試圖核准 Kubernetes 憑證簽署要求 (CSR)，但並未成功 GKE_APPROVE_CSR_FORBIDDEN Cloud 稽核記錄：
GKE 管理員活動記錄 		有人嘗試手動核准憑證簽署要求 (CSR)，但操作失敗。攻擊者通常會建立叢集驗證憑證，以便持續存取遭入侵的叢集。與憑證相關聯的權限會因憑證包含的主體而異，但可能具有高度權限。根據預設，發現項目會歸類為「低」嚴重性。 —
憑證存取：已手動核准的 Kubernetes 憑證簽署要求 (CSR) (預先發布版) GKE_CSR_APPROVED Cloud 稽核記錄：
GKE 管理員活動記錄 		有人手動核准了憑證簽署要求 (CSR)。建立叢集驗證憑證是攻擊者常用的方法，可讓他們持續存取遭入侵的叢集。與憑證相關聯的權限會因包含的主體而異，但可能具有高度權限。根據預設，發現項目會歸類為「低」嚴重性。 —
執行：疑似使用反向殼層引數建立的 Kubernetes Pod GKE_REVERSE_SHELL_POD Cloud 稽核記錄：
GKE 管理員活動記錄 		有人建立了 Pod，當中的指令或引數通常與反向殼層有關。攻擊者會使用反向殼層，擴大或維持對叢集的初始存取權，並執行任意指令。根據預設，發現項目的嚴重性會歸類為「中」。 —
規避防禦機制：潛在的 Kubernetes Pod 偽裝行為 GKE_POD_MASQUERADING Cloud 稽核記錄：
GKE 管理員活動記錄 		有人部署了 Pod，命名慣例與 GKE 為一般叢集作業建立的預設工作負載類似。這種技術稱為「偽裝」。根據預設，發現項目的嚴重性會歸類為「中」。 —
權限提升：可疑的 Kubernetes 容器名稱 - 漏洞與逃逸攻擊 (預先發布版) GKE_SUSPICIOUS_EXPLOIT_POD Cloud 稽核記錄：
GKE 管理員活動記錄 		有人部署了 Pod，其命名慣例與用於容器跳脫或對叢集執行其他攻擊的常見工具類似。根據預設，發現項目的嚴重性會歸類為「中」。 —
持續性：在機密命名空間建立服務帳戶 GKE_SERVICE_ACCOUNT_CREATION_SENSITIVE_NAMESPACE Cloud 稽核記錄：
GKE 管理員活動記錄 		有人在機密命名空間建立了服務帳戶。kube-system 和 kube-public 命名空間對 GKE 叢集作業至關重要，未經授權的服務帳戶可能會破壞叢集穩定性和安全性。根據預設，發現項目會歸類為「低」嚴重性。 —
影響：可疑的 Kubernetes 容器名稱 - 加密貨幣挖礦 暫時無法使用 GKE_SUSPICIOUS_CRYPTOMINING_POD Cloud 稽核記錄：
GKE 管理員活動記錄 		有人部署了 Pod，其命名慣例與常見的加密貨幣挖礦程式類似。攻擊者可能已取得叢集的初始存取權，並試圖使用叢集資源挖掘加密貨幣。根據預設，發現項目會歸類為「高」嚴重性。

這項規則暫時無法使用。如要監控 Kubernetes 活動，請使用 GKE 管理員活動記錄。

 —
執行：在敏感命名空間中觸發工作負載 GKE_SENSITIVE_NAMESPACE_WORKLOAD_TRIGGERED Cloud 稽核記錄：
GKE 管理員活動記錄 		有人在 kube-system 或 kube-public 命名空間中部署了工作負載 (例如 Pod 或 Deployment)。這些命名空間對 GKE 叢集作業至關重要，未經授權的工作負載可能會影響叢集穩定性或安全性。根據預設，發現項目會歸類為「低」嚴重性。 —
執行：GKE 啟動具備過多功能的容器 (預先發布版) GKE_EXCESSIVELY_CAPABLE_CONTAINER_CREATED Cloud 稽核記錄：
GKE 管理員活動記錄 		有人在安全性背景資訊較高的叢集中，建立了具備下列一或多項功能的容器：
  • CAP_SYS_MODULE
  • CAP_SYS_RAWIO
  • CAP_SYS_PTRACE
  • CAP_SYS_BOOT
  • CAP_DAC_READ_SEARCH
  • CAP_NET_ADMIN
  • CAP_BPF
這些功能可用於逸出容器。佈建這些功能時請務必謹慎。根據預設，發現項目會歸類為「低」嚴重性。 		—
Persistence：偵測到 GKE Webhook 設定 GKE_WEBHOOK_CONFIG_CREATED Cloud 稽核記錄：
GKE 管理員活動記錄 		在 GKE 叢集中偵測到 Webhook 設定。 Webhook 可以攔截及修改 Kubernetes API 要求，攻擊者可能藉此在叢集內持續活動或操控資源。根據預設，發現項目會歸類為「低」嚴重性。 —
規避防禦機制：建立靜態 Pod GKE_STATIC_POD_CREATED Cloud 稽核記錄：
GKE 管理員活動記錄 		有人在您的 GKE 叢集建立了靜態 Pod。 靜態 Pod 會直接在節點上執行，並略過 Kubernetes API 伺服器，因此較難監控及控管。攻擊者可以利用靜態 Pod 規避偵測或維持持續性。根據預設，發現項目會歸類為「低」嚴重性。 —
初始存取：從 TOR Proxy IP 成功發出 API 呼叫 GKE_TOR_PROXY_IP_REQUEST Cloud 稽核記錄：
GKE 管理員活動記錄 		與 Tor 網路相關聯的 IP 位址成功向 GKE 叢集發出 API 呼叫。Tor 具有匿名性，攻擊者經常利用這項特性隱藏身分。根據預設，發現項目會歸類為「高」嚴重性。 類別：Initial Access: Successful API call made from a TOR proxy IP Affecting Sensitive Data
嚴重性：不變 (預設為「高」)
初始存取：已建立 GKE NodePort Service GKE_NODEPORT_SERVICE_CREATED Cloud 稽核記錄：
GKE 管理員活動記錄 		有人建立了 NodePort 服務。NodePort 服務會直接在節點的 IP 位址和靜態通訊埠上公開 Pod，讓叢集外部可以存取 Pod。這可能會造成重大安全風險，因為攻擊者可能會利用公開服務中的安全漏洞，存取叢集或機密資料。根據預設，發現項目的嚴重性會歸類為「中」。 —
影響：偵測到 GKE kube-dns 遭到修改 (預先發布版) GKE_KUBE_DNS_MODIFICATION Cloud 稽核記錄：
GKE 管理員活動記錄 		有人修改了 GKE 叢集中的 kube-dns 設定。GKE kube-dns 是叢集網路的重要元件，如果設定錯誤，可能會導致安全漏洞。根據預設，發現項目的嚴重性會歸類為「中」。 —
影響：加密貨幣挖礦指令 CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS Cloud 稽核記錄：
IAM 系統事件稽核記錄 		執行期間，特定加密貨幣挖礦指令附加至 Cloud Run 工作。根據預設，發現項目會歸類為「高」嚴重性。 —
執行：加密貨幣挖礦 Docker 映像檔 CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES Cloud 稽核記錄：
IAM 系統事件稽核記錄 		特定已知不良 Docker 映像檔已附加至新的或現有的 Cloud Run 服務或工作。根據預設，發現項目會歸類為「高」嚴重性。 —
提權：預設 Compute Engine 服務帳戶 SetIAMPolicy CLOUD_RUN_SERVICES_SET_IAM_POLICY Cloud 稽核記錄：
管理員活動記錄 		使用預設 Compute Engine 服務帳戶設定 Cloud Run 服務的 IAM 政策。如果 Compute Engine 權杖從無伺服器服務外洩，這可能是潛在的入侵後動作。根據預設，發現項目會歸類為「低」嚴重性。 —
初始存取：透過去識別化的 Proxy IP 成功登入 CloudDB CLOUD_DB_LOGIN_SUCCEEDED_ANON_IP Cloud 稽核記錄： AlloyDB for PostgreSQL 資料存取記錄
PostgreSQL 適用的 Cloud SQL 資料存取記錄
MySQL 適用的 Cloud SQL 資料存取記錄
注意：您必須在 PostgreSQL 中啟用 IP 記錄功能，才能將這項規則用於 AlloyDB 和 Postgres。 		偵測到有人從已知的去識別化 IP 位址成功登入資料庫執行個體。這可能表示攻擊者已初步取得執行個體的存取權。根據預設，發現項目會歸類為「高」嚴重性。 —
憑證存取：無法透過去識別化的 Proxy IP 登入 CloudDB CLOUD_DB_LOGIN_FAILED_ANON_IP Cloud 稽核記錄： AlloyDB for PostgreSQL 資料存取記錄
PostgreSQL 適用的 Cloud SQL 資料存取記錄
MySQL 適用的 Cloud SQL 資料存取記錄
注意：您必須在 PostgreSQL 中啟用 IP 記錄功能，才能將這項規則用於 AlloyDB 和 Postgres。 		系統偵測到有人嘗試從已知的去識別化 IP 位址登入資料庫執行個體，但並未成功。這可能表示攻擊者試圖未經授權存取您的執行個體。根據預設，發現項目的嚴重性會歸類為「中」。 —
如要瞭解淘汰和終止運作規則，請參閱「淘汰項目」。

Event Threat Detection 的自訂模組

除了內建偵測規則外，Event Threat Detection 也提供模組範本，可用於建立自訂偵測規則。詳情請參閱「Event Threat Detection 自訂模組總覽」。

如要建立沒有自訂模組範本可用的偵測規則，可以將記錄資料匯出至 BigQuery，然後執行不重複或週期性的 SQL 查詢，擷取威脅模型。

不安全的 Google 群組變更

本節說明 Event Threat Detection 如何使用 Google Workspace 記錄、Cloud 稽核記錄和 IAM 政策，偵測不安全的 Google 群組變更。只有在組織層級啟用 Security Command Center 時，系統才會偵測 Google 群組變更。

Google Cloud 客戶可以使用 Google 群組管理組織成員的角色和權限，或將存取權政策套用至使用者集合。管理員可以將角色和權限授予 Google 群組，然後將成員新增至特定群組，而非直接將角色授予成員。群組成員會繼承群組的所有角色和權限，因此可以存取特定資源和服務。

雖然 Google 群組是管理大規模存取控管的便利方式，但如果將組織或網域外部的使用者加入「特殊權限」群組 (即授予機密角色或權限的群組)，可能會帶來風險。機密角色可控管安全性、網路設定、記錄和個人識別資訊 (PII) 的存取權，因此不建議指派給外部群組成員。

在大型組織中，管理員可能不會注意到有外部成員加入具特殊權限的群組。Cloud 稽核記錄會記錄授予群組的角色，但這些記錄事件不含群組成員的資訊，因此可能會模糊某些群組變更的潛在影響。

如果您與 Google Cloud共用 Google Workspace 記錄 ，Event Threat Detection 會監控記錄串流，偵測貴組織 Google 群組是否新增成員。由於記錄位於組織層級，因此只有在組織層級啟用 Security Command Center 時，Event Threat Detection 才能掃描 Google Workspace 記錄。在專案層級啟用 Security Command Center 時，Event Threat Detection 無法掃描這些記錄。

Event Threat Detection 會找出外部群組成員，並使用 Cloud 稽核記錄查看各個受影響群組的 IAM 角色，確認群組是否獲派機密角色。這項資訊可用於偵測具有特殊權限的 Google 群組是否發生下列不安全的變更：

  • 外部群組成員新增至特殊權限群組
  • 將敏感角色或權限授予含有外部成員的群組
  • 特殊權限群組變更為允許一般大眾加入

Event Threat Detection 會將發現項目寫入 Security Command Center。發現項目包含新加入外部成員的電子郵件地址、發起事件的內部群組成員、群組名稱，以及與群組相關聯的機密角色。您可以根據這項資訊，將外部成員從群組中移除，或撤銷授予群組的機密角色。

如要進一步瞭解 Event Threat Detection 發現項目，請參閱「Event Threat Detection 規則」。

機密 IAM 角色和權限

本節說明 Event Threat Detection 如何定義機密 IAM 角色。如要瞭解 AI 威脅的機密角色和權限，請參閱「AI 的機密 IAM 角色和權限」。

只有在變更涉及高或中敏感度角色時，IAM 異常授權和不安全的 Google 群組變更等偵測項目才會產生發現項目。角色的機密程度會影響發現項目的嚴重性評等。

  • 高敏感度角色可控管組織中的重要服務，包括帳單、防火牆設定和記錄。符合這些角色的發現項目會歸類為「高」嚴重性。
  • 中等機密性角色具有編輯權限，可讓主體變更 Google Cloud 資源，以及查看和執行資料儲存庫服務的權限，這些服務通常會保存機密資料。發現項目的嚴重性取決於資源：
    • 如果是在組織層級授予中等機密程度的角色，發現項目會歸類為「高」嚴重性。
    • 如果中等機密程度的角色是在資源階層結構較低層級 (資料夾、專案和值區等) 授予，則發現項目會歸類為「中等」嚴重性。

如果被授予者是外部成員或異常身分 (例如長期閒置的主體)，授予這些機密角色會視為危險行為。

將機密角色授予外部成員可能會造成潛在威脅，因為這些角色可能會遭到濫用，導致帳戶遭入侵和資料竊取。

使用這些機密角色的發現項目類別包括：

  • 持續性：身分與存取權管理異常授權
    • 子規則：external_service_account_added_to_policy
    • 子規則：external_member_added_to_policy
  • 提權：將敏感角色授予混合群組
  • 提權：已授予休眠服務帳戶敏感角色

使用部分敏感角色的類別包括：

  • 持續性：身分與存取權管理異常授權
    • 子規則：service_account_granted_sensitive_role_to_member

service_account_granted_sensitive_role_to_member 子規則通常會同時指定外部和內部成員，因此只會使用一部分的機密角色，詳情請參閱「Event Threat Detection 規則」。

類別 角色 說明
基本角色：包含所有 Google Cloud 服務的數千項權限。 roles/owner 基本角色
roles/editor
安全性角色：控管安全性設定的存取權 roles/cloudkms.* Cloud Key Management Service 角色
roles/cloudsecurityscanner.* 所有 Web Security Scanner 角色
roles/dlp.* 所有 Sensitive Data Protection 角色
roles/iam.* 所有 IAM 角色
roles/secretmanager.* 所有 Secret Manager 角色
roles/securitycenter.* 所有 Security Command Center 角色
Logging 角色：控管組織記錄檔的存取權 roles/errorreporting.* 所有 Error Reporting 角色
roles/logging.* 所有 Cloud Logging 角色
roles/stackdriver.* 所有 Cloud Monitoring 角色
個人資訊角色：控管含有個人識別資訊 (包括銀行和聯絡資訊) 的資源存取權 roles/billing.* 所有 Cloud Billing 角色
roles/healthcare.* 所有 Cloud Healthcare API 角色
roles/essentialcontacts.* 所有 重要聯絡人角色
網路角色：控管組織網路設定的存取權 roles/dns.* 所有 Cloud DNS 角色
roles/domains.* 所有 Cloud Domains 角色
roles/networkconnectivity.* All Network Connectivity Center roles
roles/networkmanagement.* 所有 NCC 角色
roles/privateca.* All Certificate Authority Service roles
服務角色：控管 Google Cloud中服務資源的存取權 roles/cloudasset.* All Cloud Asset Inventory roles
roles/servicedirectory.* 所有 Service Directory 角色
roles/servicemanagement.* 所有 服務管理角色
roles/servicenetworking.* 所有 服務網路角色
roles/serviceusage.* 所有服務使用情形角色
Compute Engine 角色：控管 Compute Engine 虛擬機器的存取權，這些虛擬機器會執行長時間執行的工作，並與防火牆規則相關聯

roles/compute.admin

roles/compute.instanceAdmin

roles/compute.instanceAdmin.v1

roles/compute.loadBalancerAdmin

roles/compute.networkAdmin

roles/compute.orgFirewallPolicyAdmin

roles/compute.orgFirewallPolicyUser

roles/compute.orgSecurityPolicyAdmin

roles/compute.orgSecurityPolicyUser

roles/compute.orgSecurityResourceAdmin

roles/compute.osAdminLogin

roles/compute.publicIpAdmin

roles/compute.securityAdmin

roles/compute.storageAdmin

roles/compute.xpnAdmin

 所有 Compute Engine 管理員和編輯者角色
類別 角色 說明
編輯角色：包含變更 Google Cloud 資源權限的 IAM 角色

範例：

roles/storage.objectAdmin

roles/file.editor

roles/source.writer

roles/container.developer

角色名稱通常會以「管理員」、「擁有者」、「編輯者」或「作者」等職稱結尾。

展開表格最後一列的節點，查看 所有中等機密性角色
資料儲存庫角色：包含查看及執行資料儲存庫服務權限的 IAM 角色

範例：

roles/cloudsql.viewer

roles/cloudsql.client

roles/bigquery.dataViewer

roles/bigquery.user

roles/spanner.databaseReader

roles/spanner.databaseUser

 展開表格最後一列的節點，查看「All medium-sensitivity roles」
所有中度機密角色

存取權核准

  • roles/accessapproval.approver
  • roles/accessapproval.configEditor

Access Context Manager

  • roles/accesscontextmanager.gcpAccessAdmin
  • roles/accesscontextmanager.policyAdmin
  • roles/accesscontextmanager.policyEditor

動作

  • roles/actions.Admin

AI 平台

  • roles/ml.admin
  • roles/ml.developer
  • roles/ml.jobOwner
  • roles/ml.modelOwner
  • roles/ml.modelUser

API Gateway

  • roles/apigateway.admin

App Engine

  • roles/appengine.appAdmin
  • roles/appengine.appCreator
  • roles/appengine.serviceAdmin

Artifact Analysis

  • roles/containeranalysis.admin
  • roles/containeranalysis.notes.attacher
  • roles/containeranalysis.notes.editor
  • roles/containeranalysis.occurrences.editor

AutoML

  • roles/automl.admin
  • roles/automl.editor

BigQuery

  • roles/bigquery.admin
  • roles/bigquery.dataEditor
  • roles/bigquery.dataOwner
  • roles/bigquery.dataViewer
  • roles/bigquery.resourceAdmin
  • roles/bigquery.resourceEditor
  • roles/bigquery.resourceViewer
  • roles/bigquery.user

Bigtable

  • roles/bigtable.admin
  • roles/bigtable.reader
  • roles/bigtable.user

二進位授權

  • roles/binaryauthorization.attestorsAdmin
  • roles/binaryauthorization.attestorsEditor
  • roles/binaryauthorization.policyAdmin
  • roles/binaryauthorization.policyEditor

Cloud 自動調度資源

  • roles/autoscaling.metricsWriter
  • roles/autoscaling.sitesAdmin
  • roles/autoscaling.stateWriter

Cloud Build

  • roles/cloudbuild.builds.builder
  • roles/cloudbuild.builds.editor

Cloud Deployment Manager

  • roles/deploymentmanager.editor
  • roles/deploymentmanager.typeEditor

Cloud Endpoints

  • roles/endpoints.portalAdminBeta 版

Cloud Monitoring

  • roles/monitoring.admin
  • roles/monitoring.alertPolicyEditor
  • roles/monitoring.dashboardEditor
  • roles/monitoring.editor
  • roles/monitoring.metricWriter
  • roles/monitoring.notificationChannelEditor
  • roles/monitoring.servicesEditor
  • roles/monitoring.uptimeCheckConfigEditor

Cloud Run

  • roles/run.admin
  • roles/run.developer

Cloud Run functions

  • roles/cloudfunctions.admin
  • roles/cloudfunctions.developer
  • roles/cloudfunctions.invoker

Cloud Runtime Configuration API

  • roles/runtimeconfig.admin

Cloud Scheduler

  • roles/cloudscheduler.admin

Cloud Source Repositories

  • roles/source.admin
  • roles/source.writer

Cloud SQL

  • roles/cloudsql.admin
  • roles/cloudsql.editor
  • roles/cloudsql.client
  • roles/cloudsql.instanceUser
  • roles/cloudsql.viewer

Cloud Storage

  • roles/storage.admin
  • roles/storage.hmacKeyAdmin
  • roles/storage.objectAdmin
  • roles/storage.objectCreator
  • roles/storage.objectViewer
  • roles/storage.legacyBucketOwner
  • roles/storage.legacyBucketWriter
  • roles/storage.legacyBucketReader
  • roles/storage.legacyObjectOwner
  • roles/storage.legacyObjectReader

Cloud Tasks

  • roles/cloudtasks.admin
  • roles/cloudtasks.enqueuer
  • roles/cloudtasks.queueAdmin
  • roles/cloudtasks.taskDeleter

Cloud TPU

  • tpu.admin

Cloud Trace

  • roles/cloudtrace.admin
  • roles/cloudtrace.agent

Compute Engine

  • roles/compute.imageUser
  • roles/compute.osLoginExternalUser
  • roles/osconfig.guestPolicyAdmin
  • roles/osconfig.guestPolicyEditor
  • roles/osconfig.osPolicyAssignmentAdmin
  • roles/osconfig.osPolicyAssignmentEditor
  • roles/osconfig.patchDeploymentAdmin

客戶使用資料處理

  • roles/dataprocessing.admin

Dataflow

  • roles/dataflow.admin
  • roles/dataflow.developer

Managed Service for Apache Spark

  • roles/dataproc.admin
  • roles/dataproc.editor

Dataproc Metastore

  • roles/metastore.admin
  • roles/metastore.editor

Datastore

  • roles/datastore.importExportAdmin
  • roles/datastore.indexAdmin
  • roles/datastore.owner
  • roles/datastore.user

Eventarc

  • roles/eventarc.admin
  • roles/eventarc.developer
  • roles/eventarc.eventReceiver

Filestore

  • roles/file.editor

Firebase

  • roles/firebase.admin
  • roles/firebase.analyticsAdmin
  • roles/firebase.developAdmin
  • roles/firebase.growthAdmin
  • roles/firebase.qualityAdmin
  • roles/firebaseabt.admin
  • roles/firebaseappcheck.admin
  • roles/firebaseappdistro.admin
  • roles/firebaseauth.admin
  • roles/firebasecrash.symbolMappingsAdmin
  • roles/firebasecrashlytics.admin
  • roles/firebasedatabase.admin
  • roles/firebasedynamiclinks.admin
  • roles/firebasehosting.admin
  • roles/firebaseinappmessaging.admin
  • roles/firebaseml.admin
  • roles/firebasenotifications.admin
  • roles/firebaseperformance.admin
  • roles/firebasepredictions.admin
  • roles/firebaserules.admin
  • roles/firebasestorage.admin
  • roles/cloudconfig.admin
  • roles/cloudtestservice.testAdmin

Google Cloud VMware Engine

  • vmwareengine.vmwareengineAdmin

Google Kubernetes Engine

  • roles/container.admin
  • roles/container.clusterAdmin
  • roles/container.developer

Google Kubernetes Engine Hub

  • roles/gkehub.admin
  • roles/gkehub.gatewayAdmin
  • roles/gkehub.connect

Google Security Operations Service Management

  • roles/chroniclesm.admin

Google Workspace

  • roles/gsuiteaddons.developer

Identity-Aware Proxy

  • roles/iap.admin
  • roles/iap.settingsAdmin

Identity Platform

  • roles/identityplatform.admin

Identity Toolkit

  • roles/identitytoolkit.admin

Managed Service for Microsoft Active Directory

  • roles/managedidentities.admin
  • roles/managedidentities.domainAdmin
  • roles/managedidentities.viewer

Memorystore for Redis

  • roles/redis.admin
  • roles/redis.editor

OAuthConfig

  • roles/oauthconfig.editor

On-Demand Scanning API

  • roles/ondemandscanning.admin

Ops Config Monitoring

  • roles/opsconfigmonitoring.resourceMetadata.writer

組織政策服務

  • roles/axt.admin
  • roles/orgpolicy.policyAdmin

Proximity Beacon

  • roles/proximitybeacon.attachmentEditor
  • roles/proximitybeacon.beaconEditor

Pub/Sub

  • roles/pubsub.admin
  • roles/pubsub.editor

Pub/Sub Lite

  • roles/pubsublite.admin
  • roles/pubsublite.editor
  • roles/pubsublite.publisher

reCAPTCHA

  • roles/recaptchaenterprise.admin
  • roles/recaptchaenterprise.agent

建議

  • roles/automlrecommendations.admin
  • roles/automlrecommendations.editor

建議工具

  • roles/recommender.billingAccountCudAdmin
  • roles/recommender.cloudAssetInsightsAdmin
  • roles/recommender.cloudsqlAdmin
  • roles/recommender.computeAdmin
  • roles/recommender.firewallAdmin
  • roles/recommender.iamAdmin
  • roles/recommender.productSuggestionAdmin
  • roles/recommender.projectCudAdmin

Resource Manager

  • roles/resourcemanager.folderAdmin
  • roles/resourcemanager.folderCreator
  • roles/resourcemanager.folderEditor
  • roles/resourcemanager.folderIamAdmin
  • roles/resourcemanager.folderMover
  • roles/resourcemanager.lienModifier
  • roles/resourcemanager.organizationAdmin
  • roles/resourcemanager.projectCreator
  • roles/resourcemanager.projectDeleter
  • roles/resourcemanager.projectIamAdmin
  • roles/resourcemanager.projectMover
  • roles/resourcemanager.tagAdmin

資源設定

  • roles/resourcesettings.admin

AI Commerce Search API

  • roles/retail.admin
  • roles/retail.editor

無伺服器 VPC 存取

  • roles/vpcaccess.admin

服務消費者管理

  • roles/serviceconsumermanagement.tenancyUnitsAdmin

Spanner

  • roles/spanner.admin
  • roles/spanner.backupAdmin
  • roles/spanner.backupWriter
  • roles/spanner.databaseAdmin
  • roles/spanner.restoreAdmin
  • roles/spanner.databaseReader
  • roles/spanner.databaseUser

Storage 移轉服務

  • roles/storagetransfer.admin
  • roles/storagetransfer.user

Gemini Enterprise Agent Platform

  • roles/aiplatform.admin
  • roles/aiplatform.featurestoreAdmin
  • roles/aiplatform.migrator
  • roles/aiplatform.user

Vertex AI Workbench 使用者自管筆記本

  • roles/notebooks.admin
  • roles/notebooks.legacyAdmin

Workflows

  • roles/workflows.admin
  • roles/workflows.editor

AI 的機密 IAM 角色和權限

對於與 AI 威脅相關的 Event Threat Detection 發現項目，機密角色的定義與非 AI 威脅的機密角色不同。

  • AI 發現項目的高敏感度角色包括下列基本、舊版基本和預先定義角色：

    • roles/admin
    • roles/writer
    • roles/owner
    • roles/editor
    • roles/resourcemanager.organizationAdmin
    • roles/iam.securityAdmin

  • AI 發現項目的中等機密性角色，包括任何 Google Cloud 服務的所有管理員、編輯者、擁有者和服務代理角色。下列角色也屬於中等機密性角色：

    • roles/cloudkms.cryptoKeyDecrypter
    • roles/compute.osAdminLogin
    • roles/compute.osLogin
    • roles/iam.serviceAccountTokenCreator
    • roles/iam.serviceAccountUser
    • roles/logging.configWriter
    • roles/logging.privateLogViewer
    • roles/secretmanager.secretAccessor

  • AI 發現項目的低敏感度角色包括：

    • roles/cloudfunctions.developer
    • roles/run.developer
    • roles/appengine.deployer
    • roles/iam.workloadIdentityUser
    • roles/iam.serviceAccountOpenIdTokenCreator
    • roles/artifactregistry.createOnPushWriter

機密 AI 權限包括建立、更新、刪除或匯出 AI 模型和資料、管理 AI 服務 (例如 setIamPolicy) 的存取控管，以及使用 AI 功能 (例如進行預測)。這也包括管理機密憑證的權限，例如 Storage HMAC 金鑰，這類金鑰通常會與 AI 工作負載搭配使用。

記錄類型和啟用條件

本節列出 Event Threat Detection 使用的記錄、Event Threat Detection 在各記錄中尋找的威脅，以及啟用各記錄所需執行的操作 (如有)。

只有在符合下列所有條件時，才需要為 Event Threat Detection 啟用記錄：

  • 您正在使用寫入記錄的產品或服務。
  • 您必須保護產品或服務，防範 Event Threat Detection 在記錄中偵測到的威脅。
  • 記錄檔是資料存取稽核記錄或其他預設為關閉的記錄檔。

某些威脅可能會在多個記錄中偵測到。如果 Event Threat Detection 可以在已啟用的記錄中偵測到威脅，就不需要啟用其他記錄來偵測相同的威脅。

如果記錄未列在這個部分，即使已啟用，Event Threat Detection 也不會掃描。詳情請參閱「可能重複的記錄掃描」。

如下表所示，部分記錄類型僅適用於組織層級。如果您在專案層級啟用 Security Command Center，Event Threat Detection 就不會掃描這些記錄，也不會產生任何發現項目。

基礎記錄來源

Event Threat Detection 會使用基礎資料來源，偵測網路中可能有害的活動。

  • 如果未啟用虛擬私有雲流量記錄，就啟用 Event Threat Detection，Event Threat Detection 會立即開始分析獨立、重複且內部的虛擬私有雲流量記錄串流。如要進一步調查現有的 Event Threat Detection 發現項目，您必須啟用虛擬私有雲流量記錄，並手動前往 Logs Explorer 和 Flow Analyzer。如果日後啟用虛擬私有雲流量記錄，只有未來的發現項目會包含相關連結，供您進一步調查。

  • 如果搭配虛擬私有雲流量記錄啟用 Event Threat Detection，Event Threat Detection 會立即開始分析部署作業中的虛擬私有雲流量記錄，並提供 Logs Explorer 和 Flow Analyzer 的連結，協助您進一步調查。

惡意軟體網路偵測記錄

Event Threat Detection 可掃描下列任一記錄，偵測網路中的惡意軟體：

  • Cloud DNS 記錄
  • Cloud NAT 記錄
  • 防火牆規則記錄
  • 虛擬私有雲流量記錄

您不必啟用多個 Cloud NAT 記錄、防火牆規則記錄或虛擬私有雲流量記錄。

如果您已使用 Cloud DNS 記錄，Event Threat Detection 可以使用網域解析偵測惡意軟體。對大多數使用者來說，Cloud DNS 記錄足以偵測網路中的惡意軟體。

如果需要網域解析以外的其他層級，可以啟用虛擬私有雲流量記錄，但這可能會產生費用。如要管理這些費用，建議將匯總時間間隔提高至 15 分鐘，並將取樣率降低至 5% 到 10% 之間，但您必須在召回率 (取樣率較高) 和費用管理 (取樣率較低) 之間做出取捨。詳情請參閱「記錄檔取樣與處理」。

如果您已使用防火牆規則記錄或 Cloud NAT 記錄，這些記錄可取代虛擬私有雲流量記錄。

支援的記錄資料和偵測到的威脅

本節列出您可以啟用或設定的 Cloud Logging 和 Google Workspace 記錄，以增加 Event Threat Detection 可偵測的威脅數量。

某些威脅 (例如服務帳戶異常模擬或委派所造成的威脅) 可以在大多數稽核記錄中找到。針對這類威脅，您需要根據使用的產品和服務，判斷要啟用哪些記錄。

下表列出可啟用的特定記錄，以及可偵測的威脅類型。

Log type Threats detected Configuration required
AlloyDB for PostgreSQL Data Access audit logs

Credential Access: CloudDB Failed login from Anonymizing Proxy IP

Initial Access: CloudDB Successful login from Anonymizing Proxy IP

Privilege Escalation: AlloyDB Database Superuser Writes to User Tables

Privilege Escalation: AlloyDB Over-Privileged Grant
authlogs/authlog on virtual machines Brute force SSH Install the Ops Agent or the legacy Logging agent on your VM hosts
Cloud DNS logging

Log4j Malware: Bad Domain

Malware: bad domain

Malware: Cryptomining Bad Domain

 Turn on Cloud DNS logging

See also Logs for network detection of malware.
Cloud SQL MySQL Data Access audit logs

Credential Access: CloudDB Failed login from Anonymizing Proxy IP

Exfiltration: Cloud SQL Data Exfiltration

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket

Initial Access: CloudDB Successful login from Anonymizing Proxy IP

 Activate Logging Data Access audit logs for Cloud SQL for MySQL
Cloud NAT logging

Log4j Malware: Bad IP

Malware: bad IP

Malware: Cryptomining Bad IP

 Turn on Cloud NAT logging

See also Logs for network detection of malware.
Cloud SQL PostgreSQL Data Access audit logs

Credential Access: CloudDB Failed login from Anonymizing Proxy IP

Exfiltration: Cloud SQL Data Exfiltration

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket

Exfiltration: Cloud SQL Over-Privileged Grant

Initial Access: CloudDB Successful login from Anonymizing Proxy IP
External Application Load Balancer backend service logs Initial Access: Log4j Compromise Attempt Turn on external Application Load Balancer logging
Firewall Rules Logging

Log4j Malware: Bad IP

Malware: bad IP

Malware: Cryptomining Bad IP

 Turn on Firewall Rules Logging

See also Logs for network detection of malware.
Generic Data Access audit logs

Initial Access: Leaked Service Account Key Used

Privilege Escalation: Anomalous Multistep Service Account Delegation for AI Data Access

Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access

Privilege Escalation: Anomalous Service Account Impersonator for AI Data Access

Privilege Escalation: Anomalous Service Account Impersonator for Data Access

 Activate Logging Data Access audit logs.
Google Kubernetes Engine (GKE) Data Access audit logs

Discovery: Can get sensitive Kubernetes object check

Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials

 Activate Logging Data Access audit logs for GKE
Google Workspace Admin Audit logs

Persistence: SSO Enablement Toggle

Persistence: SSO Settings Changed

Persistence: Strong Authentication Disabled

Persistence: Two Step Verification Disabled

Privilege Escalation: Privileged Group Opened To Public

Share Google Workspace Admin Audit logs with Cloud Logging

This log type can't be scanned in project-level activations.
Google Workspace Login Audit logs

Credential Access: External Member Added To Privileged Group

Initial Access: Account Disabled Hijacked

Initial Access: Disabled Password Leak

Initial Access: Government Based Attack

Initial Access: Suspicious Login Blocked

Persistence: Two Step Verification Disabled

Share Google Workspace Login Audit logs with Cloud Logging

This log type can't be scanned in project-level activations.
IAM Data Access audit logs

Discovery: AI Agent Service Account Self-Investigation

Discovery: Service Account Self-Investigation

Privilege Escalation: AI Agent Cross-Project Access Token Generation

Privilege Escalation: AI Agent Cross-Project OpenID Token Generation

Privilege Escalation: AI Agent Token Generation Using Implicit Delegation

Privilege Escalation: AI Agent Token Generation Using signJwt

 Activate Logging Data Access audit logs for Resource Manager
SQL Server Data Access audit logs

Exfiltration: Cloud SQL Data Exfiltration

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket

Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket

 Activate Logging Data Access audit logs for Cloud SQL for SQL Server
VPC Flow Logs

Log4j Malware: Bad IP

Malware: bad IP

Malware: Cryptomining Bad IP

 Turn on VPC Flow Logs

See also Logs for network detection of malware.

一律啟用的記錄

下表列出不需啟用或設定的 Cloud Logging 記錄。這些記錄一律會啟用，Event Threat Detection 會自動掃描。

記錄類型 偵測到威脅 需要調整設定
Agent Engine 記錄

憑證存取：AI 代理異常存取中繼資料服務 (預先發布版)

探索：來自 AI 代理的通訊埠掃描證據 (預先發布版)

 無
備份和災難復原管理員活動稽核記錄

影響：Google Cloud 備份和災難復原服務會讓所有映像檔過期

影響：刪除 Google Cloud 備份和災難復原備份

影響：已刪除 Google Cloud 備份和災難復原主機

影響：已刪除 Google Cloud 備份和災難復原方案關聯

影響：刪除 Google Cloud 備份和災難復原保管箱

影響：Google Cloud 備份和災難復原刪除政策

影響：Google Cloud 備份和災難復原刪除設定檔

影響：Google Cloud 備份和災難復原刪除範本

影響：Google Cloud 備份和災難復原過期映像檔

影響：Google Cloud 備份和災難復原減少備份到期日

影響：Google Cloud 備份和災難復原減少備份頻率

影響：Google Cloud 備份和災難復原移除設備

影響：Google Cloud 備份和災難復原移除方案

禁止系統復原：Google Cloud 備份和災難復原刪除儲存空間集區

 無
BigQueryAuditMetadata 資料存取記錄

竊取：AI 代理引發了 BigQuery 資料擷取活動

竊取：AI 代理引發了 BigQuery 資料竊取活動 (傳送至外部資料表)

竊取：AI 代理引發了 BigQuery 虛擬私有雲 perimeter 違規事項

竊取：BigQuery 資料竊取

竊取：BigQuery 資料擷取

竊取：將 BigQuery 資料傳送至 Google 雲端硬碟

資料竊取：移至公開 BigQuery 資源 (預先發布版)

 無
一般管理員活動稽核記錄

規避防禦機制：已修改 GCS bucket IP 篩選

規避防禦機制：已停用專案 HTTP 政策封鎖

規避防禦機制：新增資料夾層級 TokenCreatorRole

規避防禦機制：將資料夾層級的 TokenCreator 角色授予 AI 代理

規避防禦機制：新增組織層級 TokenCreatorRole

規避防禦機制：將組織層級的 TokenCreator 角色授予 AI 代理

規避防禦機制：新增專案層級 TokenCreatorRole

規避防禦機制：將專案層級的 TokenCreator 角色授予 AI 代理

發現：AI 代理未經授權即透過服務帳戶呼叫 API

初始存取：AI 代理身分因過度授權而遭拒的動作

初始存取：休眠服務帳戶動作

初始存取：AI 服務中的休眠服務帳戶活動

初始存取：已建立休眠服務帳戶金鑰

初始存取：因過度授權而遭拒的動作

初始存取：使用外洩的服務帳戶金鑰

橫向移動：修改連接至執行個體的開機磁碟 (預先發布版)

持續性：GCE 管理員新增了安全殼層金鑰

持續性：GCE 管理員新增開機指令碼

持續性：新 AI API 方法

持續性：新 API 方法

持續性：新地理位置

保留設定：AI 服務的新地理區域

持續性：新使用者代理程式

持續性：敏感 AI 權限新增至自訂角色

持續性：將敏感角色授予外部 AI 代理

持續性：AI 代理授予敏感角色

權限提升：有人冒用服務帳戶，並出現異常的管理員活動

權限升級：AI 管理員活動出現異常服務帳戶模擬者

權限升級：管理員活動的異常多步驟服務帳戶委派項目

權限升級：AI 管理員活動出現異常多步驟服務帳戶委派情況

提權：管理員活動的異常服務帳戶模擬者

權限升級：AI 管理員活動出現異常服務帳戶模擬者

 無
Google Kubernetes Engine (GKE) 管理員活動稽核記錄

憑證存取：試圖核准 Kubernetes 憑證簽署要求 (CSR)，但並未成功

憑證存取：手動核准 Kubernetes 憑證簽署要求 (CSR) (預先發布版)

規避防禦機制：匿名工作階段獲授予叢集管理員存取權

規避防禦機制：手動刪除憑證簽署要求 (CSR)

規避防禦機制：潛在的 Kubernetes Pod 偽裝行為

規避防禦機制：建立靜態 Pod

執行：GKE 啟動具備過多功能的容器 (預先發布版)

執行：疑似使用反向殼層引數建立的 Kubernetes Pod

執行：對系統 Pod 執行可疑的 exec 或 attach 指令 (預先發布版)

執行：在敏感命名空間中觸發工作負載

影響：偵測到 GKE kube-dns 遭到修改 (預先發布版)

影響：可疑的 Kubernetes 容器名稱 - 加密貨幣挖礦

初始存取：透過網際網路匿名建立 GKE 資源 (預先發布版)

初始存取：已建立 GKE NodePort 服務

初始存取：透過網際網路匿名修改 GKE 資源 (預先發布版)

初始存取：從 TOR Proxy IP 成功發出 API 呼叫

Persistence: GKE Webhook Configuration Detected

持續性：在機密命名空間建立服務帳戶

提權：變更機密 Kubernetes RBAC 物件

提權：具有權限動詞的 ClusterRole (預先發布版)

提權：透過 ClusterRoleBinding 使角色獲得特殊權限

提權：建立主憑證的 Kubernetes CSR

提權：建立機密 Kubernetes 繫結

提權：已將 GKE 叢集存取權授予確實匿名的使用者

提權：啟動具備特殊權限的 Kubernetes 容器

權限提升：可疑的 Kubernetes 容器名稱 - 漏洞與逃逸攻擊 (預先發布版)

提權：透過敏感主機路徑掛接而建立的工作負載 (預先發布版)

提權：已啟用 ShareProcessNamespace 的工作負載 (預先發布版)

 無
IAM 管理員活動稽核記錄

持續性：IAM 異常授權 (預先發布版)

持續性：非代管帳戶獲授予機密角色

提權：預設 Compute Engine 服務帳戶 SetIAMPolicy

提權：已授予休眠服務帳戶機密角色

提權：已授予休眠服務帳戶身分的模擬角色

提權：將敏感角色授予混合群組

 無
IAM 系統事件稽核記錄

執行：加密貨幣挖礦 Docker 映像檔

影響：加密貨幣挖礦指令

 無
MySQL 管理員活動記錄 資料竊取：將 Cloud SQL 備份還原至外部組織 無
PostgreSQL 管理員活動記錄 資料竊取：將 Cloud SQL 備份還原至外部組織 無
SQL Server 管理員活動記錄 資料竊取：將 Cloud SQL 備份還原至外部組織 無
VPC Service Controls 稽核記錄 規避防護功能：修改 VPC Service Controls (預先發布版) 無

後續步驟