Présentation d'Event Threat Detection

Niveaux de service Premium et Enterprise (obsolète)

Le niveau de service Security Command Center Enterprise sera arrêté le 21 mai 2027. Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium le 21 mai 2027 ou après cette date. Si vous avez des questions, contactez votre responsable de compte ou un spécialiste des ventesGoogle Cloud .

Qu'est-ce qu'Event Threat Detection ?

Event Threat Detection est un service intégré pour le niveau Premium de Security Command Center qui surveille en permanence votre organisation ou vos projets et identifie les menaces dans vos systèmes presque en temps réel. Event Threat Detection est régulièrement mis à jour avec de nouveaux détecteurs pour identifier les menaces émergentes à l'échelle du cloud.

Fonctionnement d'Event Threat Detection

Event Threat Detection surveille le flux Cloud Logging de votre organisation ou de vos projets. Si vous activez le niveau Security Command Center Premium au niveau de l'organisation, Event Threat Detection consomme les journaux de vos projets au fur et à mesure de leur création et Event Threat Detection peut surveiller les journaux Google Workspace. Cloud Logging contient des entrées de journal d'appels d'API et d'autres actions qui créent, lisent ou modifient la configuration ou les métadonnées de vos ressources. Les journaux Google Workspace effectuent le suivi des connexions des utilisateurs à votre domaine et fournissent un enregistrement des actions effectuées dans la console d'administration Google Workspace.

Les entrées de journal contiennent des informations sur l'état et l'événement que Event Threat Detection utilise pour détecter rapidement les menaces. Event Threat Detection applique une logique de détection et des méthodes propriétaires de renseignement sur les menaces, telles que l'identification des indicateurs de compromission (IoC), le profilage sur une période glissante, le machine learning et la détection d'anomalies, pour identifier les menaces en quasi-temps réel.

Lorsque Event Threat Detection détecte une menace, il écrit un résultat dans Security Command Center. Si vous activez le niveau Premium de Security Command Center au niveau de l'organisation, Security Command Center peut écrire des résultats dans un projet Cloud Logging. À partir de Cloud Logging et de la journalisation Google Workspace, vous pouvez exporter les résultats vers d'autres systèmes avec Pub/Sub et les traiter avec Cloud Run Functions.

Si vous activez le niveau Premium de Security Command Center au niveau de l'organisation, vous pouvez également utiliser Google Security Operations pour examiner certains résultats. Google SecOps est un service Google Cloud qui vous permet d'examiner les menaces et de parcourir les entités associées selon une chronologie unifiée. Pour savoir comment envoyer des résultats à Google SecOps, consultez Examiner les résultats dans Google SecOps.

Votre capacité à afficher et à modifier les résultats et les journaux est déterminée par les rôles IAM (Identity and Access Management) qui vous sont attribués. Pour en savoir plus sur les rôles IAM de Security Command Center, consultez la page Contrôle des accès.

Enrichissement des données sensibles

Event Threat Detection est intégré à Sensitive Data Protection pour enrichir les résultats des ressources sensibles. Si vous avez activé les analyses de découverte de Sensitive Data Protection et que vous les avez configurées pour envoyer les résultats à Security Command Center, Event Threat Detection peut utiliser les métadonnées de sensibilité de vos ressources BigQuery et Cloud Storage pour ajuster les résultats :

• Modifications de catégorie : si Sensitive Data Protection identifie une ressource comme ayant une sensibilité élevée ou modérée, la catégorie du résultat est mise à jour vers une catégorie spécifique qui indique que la ressource est sensible. Par exemple, si une clé de compte de service divulguée est utilisée pour accéder à un bucket sensible, la catégorie de résultat passe de Initial Access: Leaked Service Account Key Used à Initial Access: Leaked Service Account Key Affecting Sensitive Data.
• Augmentation de la gravité : si la gravité par défaut du résultat est inférieure à Élevée (c'est-à-dire Faible ou Moyenne), la gravité est augmentée d'un niveau (par exemple, de Moyenne à Élevée).

Pour obtenir la liste des règles compatibles avec l'enrichissement des données sensibles, consultez Règles par défaut d'Event Threat Detection.

Règles d'Event Threat Detection

Les règles définissent le type de menaces détectées par Event Threat Detection et les types de journaux qui doivent être activés pour que les détecteurs fonctionnent. Les journaux d'audit des activités d'administration sont toujours écrits. Vous ne pouvez pas les configurer ni les désactiver.

Event Threat Detection inclut les règles par défaut suivantes :

Analyse active Force brute Commande et contrôle Accès aux identifiants destruction de données Éviction de défense Déni de service Discovery Exfiltration Impact perturbation des défenses blocage de la récupération système Accès initial Mouvement latéral Logiciels malveillants Persistance Élévation des privilèges Développement de ressources Tout effacer

Nom à afficher	Nom de l'API	Types de sources de journal	Description	Enrichissement des données sensibles
Analyse active : Log4j vulnérable à RCE	Indisponible	Journaux Cloud DNS	Les outils d'analyse des failles Log4j ont lancé et identifié des requêtes DNS pour des domaines non obscurcis. Cette faille peut entraîner l'exécution de code à distance (RCE). Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Impact : l'hôte Backup and DR Google Cloud a été supprimé	BACKUP_HOSTS_DELETE_HOST	Cloud Audit Logs : Journaux d'audit des activités d'administration du service Backup and DR	Un hôte a été supprimé de la console de gestion Backup and DR. Les applications associées à l'hôte supprimé risquent de ne pas être protégées. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Impact : expiration de l'image de sauvegarde et de reprise après sinistre Google Cloud	BACKUP_EXPIRE_IMAGE	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	Un utilisateur a demandé la suppression d'une image de sauvegarde depuis la console de gestion Backup and DR. La suppression d'une image de sauvegarde n'empêche pas les sauvegardes futures. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Impact : suppression du plan Google Cloud Backup and DR	BACKUP_REMOVE_PLAN	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	Un plan de sauvegarde comportant plusieurs règles pour une application a été supprimé de Backup and DR. La suppression d'un plan de sauvegarde peut empêcher les sauvegardes futures. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Impact : Backup and DR Google Cloud fait expirer toutes les images	BACKUP_EXPIRE_IMAGES_ALL	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	Un utilisateur a demandé la suppression de toutes les images de sauvegarde d'une application protégée depuis la console de gestion Backup and DR. La suppression des images de sauvegarde n'empêche pas les sauvegardes futures. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Impact : Google Cloud Backup and DR : Supprimer le modèle	BACKUP_TEMPLATES_DELETE_TEMPLATE	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	Un modèle de sauvegarde prédéfini, utilisé pour configurer les sauvegardes de plusieurs applications, a été supprimé de la console de gestion Backup and DR. La possibilité de configurer des sauvegardes à l'avenir pourrait être affectée. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Impact : règle de suppression de Backup and DR Google Cloud	BACKUP_TEMPLATES_DELETE_POLICY	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	Une règle Backup and DR, qui définit comment une sauvegarde est effectuée et où elle est stockée, a été supprimée de la console de gestion Backup and DR. Les futures sauvegardes utilisant la règle risquent d'échouer. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Impact : suppression du profil de sauvegarde et de reprise après sinistre Google Cloud	BACKUP_PROFILES_DELETE_PROFILE	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	Un profil Backup and DR, qui définit les pools de stockage à utiliser pour stocker les sauvegardes, a été supprimé de la console de gestion Backup and DR. Les futures sauvegardes utilisant le profil risquent d'échouer. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Impact : Suppression de l'appareil Backup and DR Google Cloud	BACKUP_APPLIANCES_REMOVE_APPLIANCE	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	Un appareil de sauvegarde a été supprimé de la console de gestion Backup and DR. Les applications associées à l'appliance de sauvegarde supprimée risquent de ne pas être protégées. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Impact : suppression du pool de stockage de Backup and DR Google Cloud	BACKUP_STORAGE_POOLS_DELETE	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	Un pool de stockage, qui associe un bucket Cloud Storage à Backup and DR, a été supprimé de la console de gestion Backup and DR. Les futures sauvegardes vers cette cible de stockage échoueront. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Impact : réduction du délai d'expiration des sauvegardes dans Backup and DR Google Cloud	BACKUP_REDUCE_BACKUP_EXPIRATION	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	La date d'expiration d'une sauvegarde protégée par Backup and DR a été réduite via la console de gestion Backup and DR. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Impact : Google Cloud Backup and DR a réduit la fréquence de sauvegarde	BACKUP_REDUCE_BACKUP_FREQUENCY	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	La planification de sauvegarde Backup and DR a été modifiée pour réduire la fréquence de sauvegarde via la console de gestion Backup and DR. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Impact : coffre Backup and DR Google Cloud supprimé	BACKUP_DELETE_VAULT	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	Un coffre de sauvegarde a été supprimé. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Impact : sauvegarde Google Cloud Backup and DR supprimée	BACKUP_DELETE_VAULT_BACKUP	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	Une sauvegarde stockée dans un coffre de sauvegarde a été supprimée manuellement. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Impact : suppression de l'association du plan Google Cloud Backup and DR	BACKUP_DELETE_BACKUP_PLAN_ASSOCIATION	Cloud Audit Logs : Journaux d'audit des activités d'administration Backup and DR	Un plan de sauvegarde de Backup and DR a été supprimé d'une charge de travail. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Attaques par force brute SSH	BRUTE_FORCE_SSH	authlog	Un acteur a réussi à obtenir un accès SSH sur un hôte à l'aide de techniques d'attaque par force brute. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Cloud IDS : THREAT_IDENTIFIER	CLOUD_IDS_THREAT_ACTIVITY	Journaux Cloud IDS	Cloud IDS a détecté des événements de menace. Cloud IDS détecte les attaques de couche 7 en analysant les paquets mis en miroir et, lorsqu'un événement de menace est détecté, envoie un résultat de classe de menace à Security Command Center. Les noms des catégories de résultats commencent par "Cloud IDS", suivi de l'identifiant de menace Cloud IDS. L'intégration de Cloud IDS à Event Threat Detection n'inclut pas les détections de failles Cloud IDS. Par défaut, les résultats sont classés dans le niveau de gravité faible. Pour en savoir plus sur les détections Cloud IDS, consultez Informations sur la journalisation Cloud IDS.	—
Élévation des privilèges : membre externe ajouté au groupe privilégié	EXTERNAL_MEMBER_ADDED_TO_PRIVILEGED_GROUP	Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ	Un membre externe a été ajouté à un groupe Google privilégié (groupe doté d'autorisations ou de rôles sensibles). Un résultat n'est généré que si le groupe ne contient pas déjà d'autres membres externes de la même organisation que le membre nouvellement ajouté. Pour en savoir plus, consultez Modifications non sécurisées de Google Groupes. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Les résultats sont classés dans le niveau de gravité Élevé ou Moyen, en fonction de la sensibilité des rôles associés à la modification du groupe. Pour en savoir plus, consultez la section Rôles IAM et autorisations sensibles.	—
Élévation des privilèges : groupe privilégié ouvert au public	PRIVILEGED_GROUP_OPENED_TO_PUBLIC	Google Workspace : Audit d'administration Autorisations : DATA_READ	Un groupe Google privilégié (groupe disposant de rôles ou d'autorisations sensibles) a été modifié pour devenir accessible au grand public. Pour en savoir plus, consultez Modifications non sécurisées de Google Groupes. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Les résultats sont classés dans le niveau de gravité Élevé ou Moyen, en fonction de la sensibilité des rôles associés à la modification du groupe. Pour en savoir plus, consultez la section Rôles IAM et autorisations sensibles.	—
Élévation des privilèges : rôle sensible attribué au groupe hybride	SENSITIVE_ROLE_TO_GROUP_WITH_EXTERNAL_MEMBER	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Des rôles sensibles ont été accordés à un groupe Google avec des membres externes. Pour en savoir plus, consultez Modifications non sécurisées de Google Groupes. Les résultats sont classés dans le niveau de gravité Élevé ou Moyen, en fonction de la sensibilité des rôles associés à la modification du groupe. Pour en savoir plus, consultez Rôles IAM et autorisations sensibles.	—
Contournement des défenses : déploiement de la charge de travail en mode "bris de glace" créé (preview)	BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_CREATE	Cloud Audit Logs : Journaux d'activité d'administration	Les charges de travail ont été déployées à l'aide de l'option "break-glass" afin d'ignorer les contrôles de l'autorisation binaire. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Contournement des défenses : déploiement de la charge de travail en mode "bris de glace" mis à jour (preview)	BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_UPDATE	Cloud Audit Logs : Journaux d'activité d'administration	Les charges de travail ont été mises à jour à l'aide de l'option "break-glass" afin d'ignorer les contrôles de l'autorisation binaire. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Découverte : preuve d'analyse de ports à partir de l'agent d'IA (preview)	AGENT_ENGINE_PORT_SCANNING_EVIDENCE	Journaux Agent Engine : Journaux Agent Engine	Un agent IA a présenté un comportement d'analyse de ports horizontal ou vertical. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Découverte : Appel d'API de compte de service par un agent IA non autorisé (preview)	AGENT_ENGINE_UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL	Cloud Audit Logs : Journaux d'audit des activités d'administration	Un compte de service a effectué un appel d'API non autorisé vers un projet externe via un agent IA. Ce comportement peut indiquer qu'un utilisateur non autorisé tente d'obtenir des détails sur des ressources, d'activer ou de désactiver des services, ou d'effectuer d'autres actions non autorisées via un agent IA. Par défaut, les résultats sont classés dans le niveau de gravité faible.	Catégorie : Discovery: AI Agent Unauthorized Service Account API Call Affecting Sensitive Data Gravité : faible à moyenne
Contournement des défenses : filtrage des adresses IP du bucket GCS modifié	GCS_BUCKET_IP_FILTERING_MODIFIED	Cloud Audit Logs : Journaux d'activité d'administration	Un utilisateur ou un compte de service a modifié la configuration du filtrage par adresse IP pour un bucket Cloud Storage. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Defense Evasion : Modifier VPC Service Controls	DEFENSE_EVASION_MODIFY_VPC_SERVICE_CONTROL	Cloud Audit Logs Journaux d'audit VPC Service Controls	Un périmètre VPC Service Controls existant a été modifié, ce qui entraînerait une réduction de la protection offerte par ce périmètre. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Évasion de la défense : blocage de la règle HTTP du projet désactivé	PROJECT_HTTP_POLICY_BLOCK_DISABLED	Cloud Audit Logs : Journaux d'activité d'administration	Un utilisateur ou un compte de service a déclenché une action pour désactiver storage.secureHttpTransport sur un projet. Cela s'applique également lorsque l'action est effectuée au niveau de l'organisation ou du dossier, car les règles appliquées à ce niveau sont héritées par défaut par les projets enfants. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Découverte : Auto-enquête sur les comptes de service de l'agent IA (preview)	AGENT_ENGINE_IAM_ANOMALOUS_BEHAVIOR_SERVICE_ACCOUNT_GETS_OWN_IAM_POLICY	Cloud Audit Logs : Journaux d'audit des accès aux données IAM Autorisations : DATA_READ	Une identité associée à un agent IA a été utilisée pour examiner les rôles et les autorisations associés à ce même compte de service. Les résultats sont classés dans le niveau de gravité faible si la requête a été autorisée, ou élevé si elle ne l'a pas été.	—
Découverte : vérification des objets Kubernetes sensibles	GKE_CONTROL_PLANE_CAN_GET_SENSITIVE_OBJECT	Cloud Audit Logs : Journaux d'accès aux données GKE	Une personne potentiellement malveillante a tenté d'identifier les objets sensibles dans GKE sur lesquels elle peut effectuer des requêtes, à l'aide de la commande kubectl auth can-i get. Plus précisément, la règle détecte si l'acteur a vérifié l'accès à l'API sur les objets suivants : * (toutes) cluster-admin ClusterRole Secret Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Découverte : Auto-enquête sur le compte de service	SERVICE_ACCOUNT_SELF_INVESTIGATION	Cloud Audit Logs : Journaux d'audit des accès aux données IAM Autorisations : DATA_READ	Des identifiants de compte de service IAM ont été utilisés pour examiner les rôles et les autorisations associés à ce même compte de service. Rôles sensibles Les résultats sont classés dans le niveau de gravité élevé ou moyen, en fonction de la sensibilité des rôles attribués. Pour en savoir plus, consultez la section Rôles IAM et autorisations sensibles.	—
Accès aux identifiants : accès anormal de l'agent d'IA au service de métadonnées (preview)	AGENT_ENGINE_ANOMALOUS_ACCESS_TO_METADATA_SERVICE	Journaux Agent Engine : Journaux Agent Engine	Un agent IA a récupéré un jeton de compte de service à partir d'un serveur de métadonnées. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Fuite : accès depuis le proxy d'anonymisation	ANOMALOUS_ACCESS	Cloud Audit Logs : Journaux d'activité d'administration	Google Cloud modifications de service proviennent d'une adresse IP associée au réseau Tor. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Exfiltration : exfiltration de données BigQuery	DATA_EXFILTRATION_BIG_QUERY	Cloud Audit Logs : Journaux d'accès aux données BigQueryAuditMetadata Autorisations : DATA_READ	Détecte les cas suivants : Des ressources appartenant à l'organisation protégée ont été enregistrées en dehors de l'organisation, y compris des opérations de copie ou de transfert. Ce scénario est indiqué par une sous-règle de exfil_to_external_table et une gravité élevée. Des tentatives d'accès aux ressources BigQuery protégées par VPC Service Controls ont été effectuées. Ce scénario est indiqué par une sous-règle de vpc_perimeter_violation et un niveau de gravité faible.	Catégorie : Exfiltration: Sensitive BigQuery Data Exfiltration Gravité : faible à moyenne
Exfiltration : extraction de données BigQuery	DATA_EXFILTRATION_BIG_QUERY_EXTRACTION	Cloud Audit Logs : Journaux d'accès aux données BigQueryAuditMetadata Autorisations : DATA_READ	Détecte les cas suivants : Une ressource BigQuery appartenant à l'organisation a été enregistrée, via des opérations d'extraction, dans un bucket Cloud Storage extérieur à l'organisation. Une ressource BigQuery appartenant à l'organisation protégée a été enregistrée, via des opérations d'extraction, dans un bucket Cloud Storage accessible au public et appartenant à cette organisation. Pour les activations au niveau du projet du niveau Premium de Security Command Center, ce résultat n'est disponible que si le niveau Standard (ancien) est activé dans l'organisation parente. Par défaut, les résultats sont classés dans le niveau de gravité faible.	Catégorie : Exfiltration: Sensitive BigQuery Data Extraction Gravité : faible à moyenne
Exfiltration : non-respect du périmètre VPC BigQuery initié par l'agent IA (preview)	AGENT_ENGINE_BIG_QUERY_EXFIL_VPC_PERIMETER_VIOLATION	Cloud Audit Logs : Journaux d'accès aux données BigQueryAuditMetadata Autorisations : DATA_READ	Détecte une tentative d'accès par un agent IA à des ressources BigQuery protégées par VPC Service Controls. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Exfiltration : exfiltration de données BigQuery vers une table externe initiée par l'agent IA (preview)	AGENT_ENGINE_BIG_QUERY_EXFIL_TO_EXTERNAL_TABLE	Cloud Audit Logs : Journaux d'accès aux données BigQueryAuditMetadata Autorisations : DATA_READ	Détecte quand des ressources appartenant à l'organisation protégée ont été enregistrées en dehors de l'organisation par un agent IA, y compris les opérations de copie ou de transfert. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	Catégorie : Exfiltration: AI Agent Initiated Sensitive BigQuery Data Exfiltration to External Table Gravité : aucun changement (par défaut, "Élevée")
Exfiltration : exfiltration Cloud SQL vers un bucket public initiée par l'agent IA (preview)	AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS	Cloud Audit Logs : Journaux d'accès aux données MySQL Journaux d'accès aux données PostgreSQL Journaux d'accès aux données SQL Server	Détecte quand les données d'une instance active ont été exportées par un agent IA vers un bucket Cloud Storage appartenant à l'organisation et accessible au public. Pour les activations au niveau du projet du niveau Premium de Security Command Center, ce résultat n'est disponible que si le niveau Standard (ancien) est activé dans l'organisation parente. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Exfiltration : exfiltration Cloud SQL vers un bucket externe initiée par l'agent IA (preview)	AGENT_ENGINE_CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS	Cloud Audit Logs : Journaux d'accès aux données MySQL Journaux d'accès aux données PostgreSQL Journaux d'accès aux données SQL Server	Détecte quand les données d'une instance active ont été exportées par un agent IA vers un bucket Cloud Storage en dehors de l'organisation. Pour les activations au niveau du projet du niveau Premium de Security Command Center, ce résultat n'est disponible que si le niveau Standard (ancien) est activé dans l'organisation parente. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Exfiltration : extraction de données BigQuery initiée par l'agent IA (aperçu)	AGENT_ENGINE_BIG_QUERY_EXFIL_TO_CLOUD_STORAGE	Cloud Audit Logs : Journaux d'accès aux données BigQueryAuditMetadata Autorisations : DATA_READ	Détecte les scénarios suivants d'extraction de données BigQuery initiée par un agent IA : Une ressource BigQuery appartenant à l'organisation protégée a été enregistrée, via des opérations d'extraction, dans un bucket Cloud Storage extérieur à l'organisation. Une ressource BigQuery appartenant à l'organisation protégée a été enregistrée, via des opérations d'extraction, dans un bucket Cloud Storage accessible au public et appartenant à cette organisation. Pour les activations au niveau du projet du niveau Premium de Security Command Center, ce résultat n'est disponible que si le niveau Standard (ancien) est activé dans l'organisation parente. Par défaut, les résultats sont classés dans le niveau de gravité faible.	Catégorie : Exfiltration: AI Agent Initiated Sensitive BigQuery Data Extraction Gravité : faible à moyenne
Exfiltration : données BigQuery vers Google Drive	DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE	Cloud Audit Logs : Journaux d'accès aux données BigQueryAuditMetadata Autorisations : DATA_READ	Une ressource BigQuery appartenant à l'organisation protégée a été enregistrée, via des opérations d'extraction, dans un dossier Google Drive. Par défaut, les résultats sont classés dans le niveau de gravité faible.	Catégorie : Exfiltration: Sensitive BigQuery Data to Google Drive Gravité : faible à moyenne
Exfiltration : déplacement vers une ressource BigQuery publique	DATA_EXFILTRATION_BIG_QUERY_TO_PUBLIC_RESOURCE	Cloud Audit Logs : Journaux d'accès aux données BigQueryAuditMetadata Autorisations : DATA_READ	Une ressource BigQuery a été enregistrée dans une ressource publique appartenant à votre organisation. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Exfiltration : exfiltration de données Cloud SQL	CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS	Cloud Audit Logs : Journaux d'accès aux données MySQL Journaux d'accès aux données PostgreSQL Journaux d'accès aux données SQL Server	Détecte les cas suivants : Les données d'instance actives ont été exportées vers un bucket Cloud Storage en dehors de l'organisation. Les données d'instance actives ont été exportées vers un bucket Cloud Storage appartenant à l'organisation et accessible au public. Pour les activations au niveau du projet du niveau Premium de Security Command Center, ce résultat n'est disponible que si le niveau Standard (ancien) est activé dans l'organisation parente. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Exfiltration : restauration de la sauvegarde Cloud SQL dans l'organisation externe	CLOUDSQL_EXFIL_RESTORE_BACKUP_TO_EXTERNAL_INSTANCE	Cloud Audit Logs : Journaux d'activité d'administration MySQL Journaux d'activité d'administration PostgreSQL Journaux d'activité d'administration SQL Server	La sauvegarde d'une instance Cloud SQL a été restaurée sur une instance en dehors de l'organisation. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Exfiltration : octroi de privilèges Cloud SQL trop élevés	CLOUDSQL_EXFIL_USER_GRANTED_ALL_PERMISSIONS	Cloud Audit Logs : Journaux d'accès aux données PostgreSQL Remarque : Vous devez activer l'extension pgAudit pour utiliser cette règle.	Un utilisateur ou un rôle Cloud SQL pour PostgreSQL s'est vu attribuer tous les privilèges pour une base de données ou pour toutes les tables, procédures ou fonctions d'un schéma. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Accès initial : le super-utilisateur de la base de données écrit dans les tables utilisateur	CLOUDSQL_SUPERUSER_WRITES_TO_USER_TABLES	Cloud Audit Logs : Journaux d'accès aux données Cloud SQL pour PostgreSQL Journaux d'accès aux données Cloud SQL pour MySQL Remarque : Vous devez activer l'extension pgAudit pour PostgreSQL ou l'audit de base de données pour MySQL afin d'utiliser cette règle.	Un super-utilisateur Cloud SQL (postgres pour les serveurs PostgreSQL ou root pour les utilisateurs MySQL) a écrit dans des tables non système. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : octroi de privilèges excessifs AlloyDB	ALLOYDB_USER_GRANTED_ALL_PERMISSIONS	Cloud Audit Logs : Journaux d'accès aux données AlloyDB pour PostgreSQL Remarque : Vous devez activer l'extension pgAudit pour utiliser cette règle.	Un utilisateur ou un rôle AlloyDB pour PostgreSQL s'est vu attribuer tous les privilèges pour une base de données ou pour toutes les tables, procédures ou fonctions d'un schéma. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : le super-utilisateur de la base de données AlloyDB écrit dans les tables utilisateur	ALLOYDB_SUPERUSER_WRITES_TO_USER_TABLES	Cloud Audit Logs : Journaux d'accès aux données AlloyDB pour PostgreSQL Remarque : Vous devez activer l'extension pgAudit pour utiliser cette règle.	Un super-utilisateur AlloyDB pour PostgreSQL (postgres) a écrit dans des tables non système. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Accès initial : opérations refusées en raison d'autorisations excessives pour l'identité de l'agent IA (preview)	AGENT_ENGINE_EXCESSIVE_FAILED_ATTEMPT	Cloud Audit Logs : journaux d'activité d'administration	Une identité associée à un agent IA a généré à plusieurs reprises des erreurs Autorisation refusée en tentant d'apporter des modifications dans différents services et méthodes. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Accès initial : action sur un compte de service inactif	DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION	Cloud Audit Logs : journaux d'activité d'administration	Un compte de service géré par l'utilisateur inactif a déclenché une action. Dans ce contexte, un compte de service est considéré comme inactif lorsqu'il n'a pas été utilisé depuis plus de 180 jours. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	Catégorie : Initial Access: Dormant Service Account Action taken Affecting Sensitive Data Gravité : aucun changement (par défaut, "Élevée")
Élévation des privilèges : rôle sensible attribué à un compte de service inactif	DORMANT_SERVICE_ACCOUNT_ADDED_IN_IAM_ROLE	Cloud Audit Logs : journaux d'audit pour les activités d'administration IAM	Un ou plusieurs rôles IAM sensibles ont été attribués à un compte de service géré par l'utilisateur inactif. Dans ce contexte, un compte de service est considéré comme inactif lorsqu'il n'a pas été utilisé depuis plus de 180 jours. Rôles sensibles Les résultats sont classés dans le niveau de gravité élevé ou moyen, en fonction de la sensibilité des rôles attribués. Par défaut, les résultats sont classés dans le niveau de gravité moyen. Pour en savoir plus, consultez la section Rôles IAM et autorisations sensibles.	—
Élévation des privilèges : rôle autorisant l'emprunt d'identité attribué à un compte de service inactif	DORMANT_SERVICE_ACCOUNT_IMPERSONATION_ROLE_GRANTED	Cloud Audit Logs : journaux d'audit pour les activités d'administration IAM	Un compte principal a reçu des autorisations d'emprunt d'identité pour un compte de service géré par l'utilisateur qui est actuellement inactif. Dans ce contexte, un compte de service est considéré comme dormant s'il est inactif depuis plus de 180 jours. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Accès initial : clé de compte de service inactif créée	DORMANT_SERVICE_ACCOUNT_KEY_CREATED	Cloud Audit Logs : journaux d'audit des activités d'administration	Une clé a été créée pour un compte de service géré par l'utilisateur inactif. Dans ce contexte, un compte de service est considéré comme inactif lorsqu'il n'a pas été utilisé depuis plus de 180 jours. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Accès initial : une clé de compte de service divulguée a été utilisée	LEAKED_SA_KEY_USED	Cloud Audit Logs : Journaux d'activité d'administration Journaux d'accès aux données	Une clé de compte de service divulguée a été utilisée pour authentifier l'action. Dans ce contexte, une clé de compte de service divulguée est une clé qui a été publiée sur l'Internet public. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	Catégorie : Initial Access: Leaked Service Account Key Affecting Sensitive Data Gravité : aucun changement (par défaut, "Élevée")
Accès initial : opérations refusées en raison d'autorisations excessives	EXCESSIVE_FAILED_ATTEMPT	Cloud Audit Logs : journaux d'activité d'administration	Un compte principal a généré à plusieurs reprises des erreurs Autorisation refusée en tentant d'apporter des modifications dans différents services et méthodes. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Persistance : authentification forte - désactivé	ENFORCE_STRONG_AUTHENTICATION	Google Workspace : Audit d'administration	La validation en deux étapes a été désactivée pour l'organisation. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Persistance : Vérification en deux étapes - désactivé	2SV_DISABLE	Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ	Un utilisateur a désactivé la validation en deux étapes. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Accès initial : piratage - compte désactivé	ACCOUNT_DISABLED_HIJACKED	Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ	Le compte d'un utilisateur a été suspendu en raison d'une activité suspecte. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Accès initial : fuite de mot de passe - désactivé	ACCOUNT_DISABLED_PASSWORD_LEAK	Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ	Le compte d'un utilisateur a été désactivé, car une fuite de mot de passe a été détectée. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Accès initial : Attaque de personnes malveillantes soutenues par un gouvernement	GOV_ATTACK_WARNING	Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ	Les pirates informatiques soutenus par un gouvernement ont peut-être tenté de compromettre le compte ou l'ordinateur d'un utilisateur. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Accès initial : tentative de compromis Log4j	Indisponible	Journaux Cloud Load Balancing : Équilibreur de charge HTTP Cloud Remarque : Vous devez activer la journalisation de l'équilibreur de charge d'application externe pour utiliser cette règle.	Des recherches Java Naming and Directory Interface (JNDI) dans les en-têtes ou les paramètres d'URL ont été détectées. Ces recherches peuvent indiquer des tentatives d'exploitation Log4Shell. Ces résultats ont une gravité faible, car ils indiquent uniquement une tentative de détection ou d'exploitation, et non une faille ou un piratage. Cette règle est toujours activée. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Accès initial : connexion suspecte - bloqué	SUSPICIOUS_LOGIN	Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ	Une connexion suspecte au compte d'un utilisateur a été détectée et bloquée. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Logiciel malveillant Log4j : domaine malveillant	LOG4J_BAD_DOMAIN	Journaux Cloud DNS	Le trafic exploité par Log4j a été détecté sur la base d'une connexion ou d'une recherche d'un domaine connu utilisé dans les attaques Log4j. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Logiciel malveillant Log4j : adresse IP incorrecte	LOG4J_BAD_IP	Journaux de flux VPC Journaux de règles de pare-feu Journaux Cloud NAT	Le trafic d'exploitation Log4j a été détecté sur la base d'une connexion à une adresse IP connue utilisée dans les attaques Log4j. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Logiciel malveillant : domaine malveillant	MALWARE_BAD_DOMAIN	Journaux Cloud DNS	Un logiciel malveillant a été détecté sur la base d'une connexion ou d'une recherche d'un domaine malveillant connu. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Logiciel malveillant : adresse IP incorrecte	MALWARE_BAD_IP	Journaux de flux VPC Journaux de règles de pare-feu Journaux Cloud NAT	Un logiciel malveillant a été détecté en fonction d'une connexion à une adresse IP malveillante connue. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Logiciel malveillant : domaine malveillant minant de la cryptomonnaie	CRYPTOMINING_POOL_DOMAIN	Journaux Cloud DNS	Le minage de cryptomonnaie a été détecté sur la base d'une connexion ou d'une recherche d'un domaine de minage connu. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Logiciel malveillant : adresse IP malveillante minant de la cryptomonnaie	CRYPTOMINING_POOL_IP	Journaux de flux VPC Journaux de règles de pare-feu Journaux Cloud NAT	Un minage de cryptomonnaie a été détecté sur la base d'une connexion à une adresse IP de minage connue. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Persistance : ajout d'une clé SSH par l'administrateur GCE	GCE_ADMIN_ADD_SSH_KEY	Cloud Audit Logs : Journaux d'audit des activités d'administration Compute Engine	La valeur de la clé SSH dans les métadonnées d'instance Compute Engine a été modifiée sur une instance établie (datant de plus d'une semaine). Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Persistance : ajout d'un script de démarrage par l'administrateur GCE	GCE_ADMIN_ADD_STARTUP_SCRIPT	Cloud Audit Logs : Journaux d'audit des activités d'administration Compute Engine	La valeur du script de démarrage dans les métadonnées d'instance Compute Engine a été modifiée sur une instance établie (datant de plus d'une semaine). Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Persistance : octroi anormal d'autorisations IAM	IAM_ANOMALOUS_GRANT	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Ce résultat inclut des sous-règles qui fournissent des informations plus spécifiques sur chaque instance de ce résultat. La liste suivante présente toutes les sous-règles possibles : external_service_account_added_to_policy, external_member_added_to_policy : des droits ont été accordés à des utilisateurs et des comptes de service IAM qui ne sont pas membres de votre organisation ou, si Security Command Center n'est activé qu'au niveau du projet, de votre projet. Remarque : Si Security Command Center est activé au niveau de l'organisation, quel que soit le niveau, ce détecteur utilise les stratégies IAM existantes d'une organisation comme contexte. Si l'activation de Security Command Center n'est effectuée qu'au niveau du projet, le détecteur n'utilise que les stratégies IAM du projet comme contexte. Si une autorisation IAM sensible est accordée à un membre externe et que moins de trois stratégies IAM existantes sont similaires, ce détecteur génère un résultat. Rôles sensibles Les résultats sont classés dans le niveau de gravité élevé ou moyen, en fonction de la sensibilité des rôles accordés. Par défaut, les résultats sont classés dans le niveau de gravité élevé. Pour en savoir plus, consultez Rôles IAM et autorisations sensibles. external_member_invited_to_policy : un membre externe a été invité en tant que propriétaire du projet via l'API InsertProjectOwnershipInvite. custom_role_given_sensitive_permissions : l'autorisation setIAMPolicy a été ajoutée à un rôle personnalisé. service_account_granted_sensitive_role_to_member : des rôles privilégiés ont été attribués à des membres via un compte de service. Cette sous-règle est déclenchée par un sous-ensemble de rôles sensibles qui n'incluent que les rôles IAM de base et certains rôles de stockage de données. Pour en savoir plus, consultez la section Rôles IAM et autorisations sensibles. policy_modified_by_default_compute_service_account : un compte de service Compute Engine par défaut a été utilisé pour modifier les paramètres IAM du projet.	—
Persistance : autorisation liée à l'IA sensible ajoutée à un rôle personnalisé (preview)	SENSITIVE_AI_PERMISSION_ADDED_TO_CUSTOM_ROLE	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Une autorisation liée à l'IA sensible a été ajoutée à un rôle IAM personnalisé. Pour en savoir plus, consultez Rôles et autorisations IAM sensibles pour l'IA. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Persistance : rôle sensible accordé par un agent IA (bêta)	SENSITIVE_ROLE_GRANTED_BY_AI_AGENT	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Un agent IA s'est vu attribuer un rôle IAM sensible. Les résultats sont classés dans le niveau de gravité Moyen pour les rôles moyennement sensibles ou Élevé pour les rôles très sensibles. Pour en savoir plus, consultez Rôles IAM et autorisations sensibles pour l'IA.	—
Persistance : rôle sensible attribué à un agent IA externe (preview)	EXTERNAL_AI_AGENT_GRANTED_SENSITIVE_ROLE	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Un agent IA d'une organisation externe s'est vu attribuer un rôle IAM sensible. Les résultats sont classés dans le niveau de gravité Moyen pour les rôles moyennement sensibles ou Élevé pour les rôles très sensibles. Pour en savoir plus, consultez Rôles et autorisations IAM sensibles pour l'IA.	—
Persistance : compte non géré auquel un rôle sensible a été attribué (preview)	UNMANAGED_ACCOUNT_ADDED_IN_IAM_ROLE	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Un rôle sensible a été attribué à un compte non géré. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Persistance : Nouvelle méthode d'API	ANOMALOUS_BEHAVIOR_NEW_API_METHOD	Cloud Audit Logs : Journaux d'activité d'administration	Les comptes de service IAM ont utilisé un accès anormal aux services Google Cloud . Par défaut, les résultats sont classés dans le niveau de gravité faible.	Catégorie : Persistence: New API Method Affecting Sensitive Data Gravité : faible à moyenne
Persistance : nouvelle zone géographique	IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION	Cloud Audit Logs : Journaux d'activité d'administration	Les comptes utilisateur et de service IAM ont accédé à Google Cloud à partir d'emplacements anormaux, d'après la géolocalisation des adresses IP à l'origine de la demande. Ce résultat n'est pas disponible pour les activations au niveau du projet. Par défaut, il est classé dans le niveau de gravité faible.	—
Persistance : Nouvel agent utilisateur	IAM_ANOMALOUS_BEHAVIOR_USER_AGENT	Cloud Audit Logs : Journaux d'activité d'administration	Comptes de service IAM accédant à Google Cloud à partir d'agents utilisateur anormaux ou suspects. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Persistance : activer/désactiver l'authentification unique	TOGGLE_SSO_ENABLED	Google Workspace : Audit d'administration	Le paramètre "Activer SSO" (Authentification unique) a été désactivé pour le compte administrateur. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Persistance : paramètres SSO modifiés	CHANGE_SSO_SETTINGS	Google Workspace : Audit d'administration	Les paramètres SSO du compte administrateur ont été modifiés. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Élévation des privilèges : emprunt d'identité anormal d'un compte de service pour les activités d'administration	ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY	Cloud Audit Logs : Journaux d'activité d'administration	Un compte de service dont l'identité a été empruntée potentiellement anormal a été utilisé pour une activité d'administration. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	Catégorie : Privilege Escalation: Anomalous Impersonation of Service Account for Admin Activity Affecting Sensitive Data Gravité : moyenne à élevée
Élévation des privilèges : délégation de compte de service multi-étapes anormale pour les activités d'administration	ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY	Cloud Audit Logs : Journaux d'activité d'administration	Une requête déléguée multi-étapes anormale a été détectée pour une activité d'administration. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	Catégorie : Privilege Escalation: Anomalous Multistep Service Account Delegation for Admin Activity Affecting Sensitive Data Gravité : moyenne à élevée
Élévation des privilèges : délégation de compte de service multi-étapes anormale pour l'accès aux données	ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS	Cloud Audit Logs : Journaux d'accès aux données	Une demande déléguée multi-étapes anormale a été détectée pour une activité d'accès aux données. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	Catégorie : Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Affecting Sensitive Data Gravité : moyenne à élevée
Élévation des privilèges : emprunt d'identité anormal d'un compte de service pour les activités d'administration	ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY	Cloud Audit Logs : Journaux d'activité d'administration	Un appelant ou un emprunteur d'identité potentiellement anormal dans une chaîne de délégation a été utilisé pour une activité administrative. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	Catégorie : Privilege Escalation: Anomalous Service Account Impersonator for Admin Activity Affecting Sensitive Data Gravité : moyenne à élevée
Élévation des privilèges : emprunt d'identité anormal d'un compte de service pour l'accès aux données	ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS	Cloud Audit Logs : Journaux d'accès aux données	Un appelant ou un emprunteur d'identité potentiellement anormal dans une chaîne de délégation a été utilisé pour une activité d'accès aux données. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	Catégorie : Privilege Escalation: Anomalous Service Account Impersonator for Data Access Affecting Sensitive Data Gravité : moyenne à élevée
Élévation des privilèges : modifications apportées à des objets Kubernetes RBAC sensibles	GKE_CONTROL_PLANE_EDIT_SENSITIVE_RBAC_OBJECT	Cloud Audit Logs : Journaux d'activité d'administration GKE	Pour élever un privilège, une personne potentiellement malveillante a tenté de modifier un objet RBAC (contrôle des accès basé sur les rôles) ClusterRole, RoleBinding ou ClusterRoleBinding du rôle sensible cluster-admin à l'aide d'une requête PUT ou PATCH. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : création d'une requête de signature de certificat Kubernetes pour le certificat principal	GKE_CONTROL_PLANE_CSR_FOR_MASTER_CERT	Cloud Audit Logs : Journaux d'activité d'administration GKE	Une personne potentiellement malveillante a créé une requête de signature de certificat (CSR) maître Kubernetes, qui lui permet de disposer de l'accès cluster-admin. Par défaut, les résultats sont classés dans le niveau de gravité élevée.	—
Élévation des privilèges : création de liaisons Kubernetes sensibles	GKE_CONTROL_PLANE_CREATE_SENSITIVE_BINDING	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Pour élever un privilège, une personne potentiellement malveillante a tenté de créer un objet RoleBinding ou ClusterRoleBinding pour le rôle cluster-admin. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : obtention d'une requête de signature de certificat Kubernetes avec des identifiants d'amorçage compromis	GKE_CONTROL_PLANE_GET_CSR_WITH_COMPROMISED_BOOTSTRAP_CREDENTIALS	Cloud Audit Logs : Journaux d'accès aux données GKE	Une personne potentiellement malveillante a émis une requête de signature de certificat (CSR) à l'aide de la commande kubectl, en utilisant des identifiants d'amorçage compromis. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Élévation des privilèges : exécution d'un conteneur Kubernetes privilégié	GKE_CONTROL_PLANE_LAUNCH_PRIVILEGED_CONTAINER	Cloud Audit Logs : Journaux d'activité d'administration GKE	Une personne potentiellement malveillante a créé un pod contenant des conteneurs privilégiés ou dotés de capacités d'élévation des droits. Le champ privileged d'un conteneur privilégié est défini sur true. Le champ allowPrivilegeEscalation d'un conteneur doté de fonctionnalités d'élévation des privilèges est défini sur true. Pour en savoir plus, consultez la documentation de référence de l'API SecurityContext v1 Core dans la documentation de Kubernetes. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Persistance : clé de compte de service créée	SERVICE_ACCOUNT_KEY_CREATION	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Une clé de compte de service a été créée. Les clés de compte de service sont des identifiants de longue durée qui augmentent le risque d'accès non autorisé aux ressources Google Cloud. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : script d'arrêt global ajouté	GLOBAL_SHUTDOWN_SCRIPT_ADDED	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Un script d'arrêt global a été ajouté à un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Persistance : ajout d'un script de démarrage global	GLOBAL_STARTUP_SCRIPT_ADDED	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Un script de démarrage global a été ajouté à un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Contournement des défenses : rôle TokenCreatorRole ajouté au niveau de l'organisation	ORG_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Le rôle IAM de créateur de jetons du compte de service a été attribué au niveau de l'organisation. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Contournement des défenses : rôle TokenCreator ajouté au niveau du dossier	FOLDER_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Le rôle IAM de créateur de jetons du compte de service a été attribué au niveau du dossier. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Contournement des défenses : rôle TokenCreator ajouté au niveau du projet	PROJECT_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Le rôle IAM de créateur de jetons du compte de service a été attribué au niveau du projet. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Defense Evasion: Rôle TokenCreator au niveau de l'organisation attribué à un agent IA (preview)	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_ORG	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Un agent IA s'est vu attribuer le rôle IAM de créateur de jetons du compte de service au niveau de l'organisation. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Defense Evasion: Rôle TokenCreator au niveau du dossier attribué à un agent IA (bêta)	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_FOLDER	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Un agent IA a reçu le rôle IAM de créateur de jetons de compte de service au niveau du dossier. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Évasion de la défense : rôle TokenCreator au niveau du projet attribué à un agent IA	AI_AGENT_GRANTED_TOKEN_CREATOR_ROLE_PROJECT	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Un agent IA a reçu le rôle IAM de créateur de jetons du compte de service au niveau du projet. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Mouvement latéral : exécution du correctif d'OS depuis le compte de service ^Temporairement indisponible	OS_PATCH_EXECUTION_FROM_SERVICE_ACCOUNT	Cloud Audit Logging Journaux d'audit de VM Manager	Un compte de service a utilisé la fonctionnalité de correctif Compute Engine pour mettre à jour le système d'exploitation d'une instance Compute Engine en cours d'exécution. Par défaut, les résultats sont classés dans le niveau de gravité faible. Cette règle est temporairement indisponible. Pour surveiller l'activité de VM Manager, utilisez les journaux d'audit de VM Manager.	—
Mouvement latéral : disque de démarrage modifié associé à l'instance (preview)	MODIFY_BOOT_DISK_ATTACH_TO_INSTANCE	Cloud Audit Logs : Journaux d'audit Compute Engine	Un disque de démarrage a été dissocié d'une instance Compute Engine et associé à une autre, ce qui peut indiquer une tentative malveillante de compromettre le système à l'aide d'un disque de démarrage modifié. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Accès aux identifiants : accès aux secrets dans l'espace de noms Kubernetes	SECRETS_ACCESSED_IN_KUBERNETES_NAMESPACE	Cloud Audit Logs : Journaux d'accès aux données GKE	Un compte de service a accédé à des secrets ou à des jetons de compte de service dans l'espace de noms Kubernetes actuel. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Développement de ressources : activité de distribution de sécurité offensive	OFFENSIVE_SECURITY_DISTRO_ACTIVITY	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Une ressource Google Cloud a été manipulée avec succès à l'aide de distributions connues pour être utilisées dans les tests d'intrusion ou la sécurité offensive. Par défaut, les résultats sont classés dans le niveau de gravité faible.	Catégorie : Resource Development: Offensive Security Distro Activity Affecting Sensitive Data Gravité : faible à moyenne
Élévation des privilèges : génération de jetons par l'agent IA à l'aide de signJwt (preview)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT	Cloud Audit Logs : Journaux d'audit des accès aux données IAM	Un compte de service associé à un agent IA a utilisé la méthode serviceAccounts.signJwt pour générer un jeton d'accès pour un autre compte de service. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : génération de jetons par l'agent IA à l'aide de la délégation implicite (preview)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION	Cloud Audit Logs : Journaux d'audit des accès aux données IAM	L'autorisation iam.serviceAccounts.implicitDelegation a été utilisée de manière abusive pour générer des jetons d'accès à partir d'un compte de service disposant de droits plus étendus via un agent IA. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : génération de jetons OpenID multiprojet par l'agent IA (preview)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID	Cloud Audit Logs : Journaux d'audit des accès aux données IAM	L'autorisation IAM iam.serviceAccounts.getOpenIdToken a été utilisée dans plusieurs projets via un agent IA. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : génération de jetons d'accès multiprojet par l'agent IA (preview)	AGENT_ENGINE_SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN	Cloud Audit Logs : Journaux d'audit des accès aux données IAM	L'autorisation IAM iam.serviceAccounts.getAccessToken a été utilisée dans plusieurs projets via un agent IA. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : le nouveau compte de service est "Propriétaire" ou "Éditeur"^Indisponibilité temporaire	SERVICE_ACCOUNT_EDITOR_OWNER	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Un compte de service a été créé avec le rôle "Éditeur" ou "Propriétaire" pour un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible. Cette règle est temporairement indisponible. Pour surveiller les modifications IAM, consultez les journaux d'audit des activités d'administration IAM.	—
Découverte : outil de collecte d'informations utilisé	INFORMATION_GATHERING_TOOL_USED	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	L'utilisation de ScoutSuite a été détectée. ScoutSuite est un outil d'audit de sécurité cloud connu pour être utilisé par des acteurs malveillants. Par défaut, les résultats sont classés dans le niveau de gravité faible.	Catégorie : Discovery: Information Gathering Tool Affecting Sensitive Data Gravité : faible à moyenne
Élévation des privilèges : génération de jetons suspects ^Indisponibilité temporaire	SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION	Cloud Audit Logs : Journaux d'audit IAM	L'autorisation iam.serviceAccounts.implicitDelegation a été utilisée de manière abusive pour générer des jetons d'accès à partir d'un compte de service disposant de droits plus étendus. Par défaut, les résultats sont classés dans le niveau de gravité faible. Cette règle est temporairement indisponible. Pour surveiller l'activité IAM, utilisez les journaux d'audit IAM.	—
Élévation des privilèges : génération de jetons suspects ^Indisponibilité temporaire	SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT	Cloud Audit Logs : Journaux d'audit IAM	Un compte de service a utilisé la méthode serviceAccounts.signJwt pour générer un jeton d'accès pour un autre compte de service. Par défaut, les résultats sont classés dans le niveau de gravité faible. Cette règle est temporairement indisponible. Pour surveiller l'activité IAM, utilisez les journaux d'audit IAM.	—
Élévation des privilèges : génération de jetons suspects ^Indisponibilité temporaire	SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID	Cloud Audit Logs : Journaux d'audit IAM	L'autorisation IAM iam.serviceAccounts.getOpenIdToken a été utilisée dans plusieurs projets. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible. Cette règle est temporairement indisponible. Pour surveiller l'activité IAM, utilisez les journaux d'audit IAM.	—
Élévation des privilèges : génération de jetons suspects ^Indisponibilité temporaire	SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN	Cloud Audit Logs : Journaux d'audit IAM	L'autorisation IAM iam.serviceAccounts.getAccessToken a été utilisée dans plusieurs projets. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible. Cette règle est temporairement indisponible. Pour surveiller l'activité IAM, utilisez les journaux d'audit IAM.	—
Élévation des privilèges : utilisation suspecte d'autorisations multiprojets	SUSPICIOUS_CROSS_PROJECT_PERMISSION_DATAFUSION	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	L'autorisation IAM datafusion.instances.create a été utilisée dans plusieurs projets. Ce résultat n'est pas disponible pour les activations au niveau d'un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Commande et contrôle : tunneling DNS ^Temporairement indisponible	DNS_TUNNELING_IODINE_HANDSHAKE	Journaux Cloud DNS	Le handshake de l'outil de tunnelisation DNS Iodine a été détecté. Par défaut, les résultats sont classés dans le niveau de gravité faible. Cette règle est temporairement indisponible. Pour surveiller l'activité DNS, utilisez les journaux Cloud DNS.	—
Contournement des défenses : tentative de masquage de route VPC	VPC_ROUTE_MASQUERADE	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Des routes VPC se faisant passer pour des routes par défaut Google Cloud ont été créées manuellement, ce qui permet au trafic de sortie d'accéder à des adresses IP externes. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Impact : facturation désactivée ^Temporairement indisponible	BILLING_DISABLED_SINGLE_PROJECT	Cloud Audit Logs : Journaux d'audit des activités d'administration Cloud Billing	La facturation a été désactivée pour un projet. Par défaut, les résultats sont classés dans le niveau de gravité faible. Cette règle est temporairement indisponible. Pour surveiller les modifications apportées à la facturation, utilisez les journaux d'audit des activités d'administration Cloud Billing.	—
Impact : facturation désactivée ^Temporairement indisponible	BILLING_DISABLED_MULTIPLE_PROJECTS	Cloud Audit Logs : Journaux d'audit des activités d'administration Cloud Billing	La facturation a été désactivée pour plusieurs projets d'une organisation sur une courte période. Par défaut, les résultats sont classés dans le niveau de gravité faible. Cette règle est temporairement indisponible. Pour surveiller les modifications apportées à la facturation, utilisez les journaux d'audit des activités d'administration Cloud Billing.	—
Impact : blocage à priorité élevée du pare-feu VPC	VPC_FIREWALL_HIGH_PRIORITY_BLOCK	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Une règle de pare-feu VPC qui bloque tout le trafic sortant a été ajoutée avec la priorité 0. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Impact : suppression groupée de règles de pare-feu VPC^Temporairement indisponible	VPC_FIREWALL_MASS_RULE_DELETION	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Des règles de pare-feu VPC ont été supprimées de manière groupée par des comptes non-service. Cette règle est temporairement indisponible. Pour surveiller les modifications apportées à vos règles de pare-feu, utilisez les journaux d'audit Cloud. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Impact : API de service désactivée	SERVICE_API_DISABLED	Cloud Audit Logs : Journaux d'audit pour les activités d'administration IAM	Une API de service Google Cloud a été désactivée dans un environnement de production. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Impact : autoscaling du groupe d'instances géré défini sur "Maximum" ^Temporairement indisponible	MIG_AUTOSCALING_SET_TO_MAX	Cloud Audit Logs : Journaux d'audit des activités d'administration Compute Engine	Un groupe d'instances géré a été configuré pour l'autoscaling maximal. Par défaut, les résultats sont classés dans le niveau de gravité faible. Cette règle est temporairement indisponible. Pour surveiller les modifications apportées aux éléments Compute Engine, utilisez les journaux d'audit des activités d'administration Compute Engine.	—
Découverte : Appel d'API de compte de service non autorisé ^Temporairement indisponible	UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL	Cloud Audit Logs : Journaux d'audit des activités d'administration	Un compte de service a effectué un appel d'API multiprojet non autorisé. Par défaut, les résultats sont classés dans le niveau de gravité faible. Cette règle est temporairement indisponible. Pour surveiller l'utilisation des comptes de service, utilisez les journaux d'audit des activités d'administration.	—
Contournement des systèmes de défense : accès administrateur de cluster accordé aux sessions anonymes	ANONYMOUS_SESSIONS_GRANTED_CLUSTER_ADMIN	Cloud Audit Logs : Journaux d'activité d'administration GKE	Un objet RBAC (contrôle des accès basé sur les rôles) ClusterRoleBinding a été créé, ajoutant le comportement root-cluster-admin-binding aux utilisateurs anonymes. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Persistance : nouvelle zone géographique pour le service d'IA	AI_IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION	Cloud Audit Logs : Journaux d'activité d'administration	Des comptes utilisateur et de service IAM ont accédé aux services d'IA Google Cloud à partir d'emplacements anormaux, d'après la géolocalisation des adresses IP à l'origine de la demande. Ce résultat n'est pas disponible pour les activations au niveau du projet. Par défaut, il est classé dans le niveau de gravité faible.	—
Élévation des privilèges : délégation de compte de service multi-étapes anormale pour une activité d'administration d'IA	AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY	Cloud Audit Logs : Journaux d'activité d'administration	Une requête déléguée multi-étapes anormale a été détectée pour une activité d'administration d'un service d'IA. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Élévation des privilèges : délégation de compte de service multi-étapes anormale pour l'accès à des données d'IA	AI_ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS	Cloud Audit Logs : Journaux d'accès aux données	Une requête déléguée multi-étapes anormale a été détectée pour une activité d'accès aux données d'un service d'IA. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Élévation des privilèges : emprunt d'identité anormal d'un compte de service pour une activité d'administration d'IA	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY	Cloud Audit Logs : Journaux d'activité d'administration	Un appelant ou un emprunteur d'identité potentiellement anormal dans une chaîne de délégation a été utilisé pour une activité d'administration d'un service d'IA. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Élévation des privilèges : emprunt d'identité anormal d'un compte de service pour l'accès à des données d'IA	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS	Cloud Audit Logs : Journaux d'accès aux données	Un appelant ou un emprunteur d'identité potentiellement anormal dans une chaîne de délégation a été utilisé pour une activité d'accès aux données d'un service d'IA. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Élévation des privilèges : emprunt d'identité anormal d'un compte de service pour une activité d'administration d'IA	AI_ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY	Cloud Audit Logs : Journaux d'activité d'administration	Un compte de service dont l'identité a été empruntée potentiellement anormal a été utilisé pour une activité d'administration d'un service d'IA. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Persistance : Nouvelle méthode d'API d'IA	AI_ANOMALOUS_BEHAVIOR_NEW_API_METHOD	Cloud Audit Logs : Journaux d'activité d'administration	Des comptes de service IAM ont utilisé un accès anormal aux services d'IA Google Cloud . Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Accès initial : activité de compte de service inactif dans le service d'IA	AI_DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION	Cloud Audit Logs : journaux d'activité d'administration	Un compte de service géré par l'utilisateur inactif a déclenché une action dans les services d'IA. Dans ce contexte, un compte de service est considéré comme inactif lorsqu'il n'a pas été utilisé depuis plus de 180 jours. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Accès initial : ressource GKE anonyme créée à partir d'Internet (bêta)	GKE_RESOURCE_CREATED_ANONYMOUSLY_FROM_INTERNET	Cloud Audit Logs : Journaux d'activité d'administration GKE.	Une ressource a été créée par un utilisateur Internet anonyme. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Accès initial : ressource GKE modifiée anonymement à partir d'Internet (preview)	GKE_RESOURCE_MODIFIED_ANONYMOUSLY_FROM_INTERNET	Cloud Audit Logs : Journaux d'activité d'administration GKE	Une ressource a été manipulée par un utilisateur Internet anonyme. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Élévation des privilèges : accès au cluster GKE accordé aux utilisateurs anonymes	GKE_ANONYMOUS_USERS_GRANTED_ACCESS	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a créé une liaison RBAC qui fait référence à l'un des utilisateurs ou groupes suivants : system:anonymous system:unauthenticated system:authenticated Ces utilisateurs et groupes sont effectivement anonymes et doivent être évités lors de la création de liaisons de rôles ou de liaisons de rôles de cluster à des rôles RBAC. Examinez la liaison pour vous assurer qu'elle est nécessaire. Si la liaison n'est pas nécessaire, supprimez-la. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Exécution : exécution suspecte d'un pod système ou association suspecte à un pod système (preview)	GKE_SUSPICIOUS_EXEC_ATTACH	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a utilisé les commandes exec ou attach pour obtenir un shell ou exécuter une commande sur un conteneur s'exécutant dans l'espace de noms kube-system. Ces méthodes sont parfois utilisées à des fins de débogage légitimes. Toutefois, l'espace de noms kube-system est destiné aux objets système créés par Kubernetes, et l'exécution de commandes ou la création de shell inattendues doivent être examinées. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Élévation des privilèges : charge de travail créée avec une installation de chemin d'hôte sensible (preview)	GKE_SENSITIVE_HOSTPATH	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a créé une charge de travail qui contient un montage de volume hostPath vers un chemin sensible sur le système de fichiers du nœud hôte. L'accès à ces chemins d'accès sur le système de fichiers hôte peut être utilisé pour accéder à des informations privilégiées ou sensibles sur le nœud et pour les fuites de conteneurs. Si possible, n'autorisez aucun volume hostPath dans votre cluster. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : charge de travail avec shareProcessNamespace activé (preview)	GKE_SHAREPROCESSNAMESPACE_POD	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a déployé une charge de travail avec l'option shareProcessNamespace définie sur true, ce qui permet à tous les conteneurs de partager le même espace de noms de processus Linux. Cela pourrait permettre à un conteneur non fiable ou compromis d'obtenir des privilèges en accédant aux variables d'environnement, à la mémoire et à d'autres données sensibles des processus exécutés dans d'autres conteneurs, et en les contrôlant. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : ClusterRole avec des verbes privilégiés (Preview)	GKE_CLUSTERROLE_PRIVILEGED_VERBS	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a créé un ClusterRole RBAC contenant les verbes bind, escalate ou impersonate. Un sujet lié à un rôle avec ces verbes peut emprunter l'identité d'autres utilisateurs disposant de droits plus élevés, se lier à des Roles ou ClusterRoles supplémentaires contenant des autorisations supplémentaires, ou modifier ses propres autorisations ClusterRole. Cela peut permettre à ces sujets d'obtenir des droits d'administrateur de cluster. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Élévation des privilèges : ClusterRoleBinding pour un rôle avec privilèges	GKE_CRB_CLUSTERROLE_AGGREGATION_CONTROLLER	Cloud Audit Logs : Journaux d'activité d'administration GKE	Un utilisateur a créé un ClusterRoleBinding RBAC qui fait référence au ClusterRole system:controller:clusterrole-aggregation-controller par défaut. Ce ClusterRole par défaut comporte le verbe escalate, qui permet aux sujets de modifier les droits de leurs propres rôles, ce qui permet l'élévation des privilèges. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Évasion de la défense : requête de signature de certificat (CSR) supprimée manuellement	GKE_MANUALLY_DELETED_CSR	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a supprimé manuellement une requête de signature de certificat (CSR). Les CSR sont automatiquement supprimées par un contrôleur de récupération de mémoire, mais des personnes malveillantes peuvent les supprimer manuellement pour échapper à la détection. Si la CSR supprimée concernait un certificat approuvé et émis, l'acteur potentiellement malveillant dispose désormais d'une méthode d'authentification supplémentaire pour accéder au cluster. Les autorisations associées au certificat varient en fonction du sujet inclus, mais elles peuvent être hautement privilégiées. Kubernetes n'est pas compatible avec la révocation de certificats. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Accès aux identifiants : échec de la tentative d'approbation de la requête de signature de certificat (CSR) Kubernetes	GKE_APPROVE_CSR_FORBIDDEN	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a tenté d'approuver manuellement une requête de signature de certificat (CSR), mais l'action a échoué. La création d'un certificat pour l'authentification du cluster est une méthode courante utilisée par les pirates informatiques pour créer un accès persistant à un cluster compromis. Les autorisations associées au certificat varient en fonction du sujet inclus, mais peuvent être hautement privilégiées. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Accès aux identifiants : requête de signature de certificat (CSR) Kubernetes approuvée manuellement (preview)	GKE_CSR_APPROVED	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a approuvé manuellement une demande de signature de certificat (CSR). La création d'un certificat pour l'authentification du cluster est une méthode courante permettant aux pirates informatiques de créer un accès persistant à un cluster compromis. Les autorisations associées au certificat varient en fonction du sujet inclus, mais elles peuvent être hautement privilégiées. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Exécution : pod Kubernetes créé avec de potentiels arguments de shell inversé	GKE_REVERSE_SHELL_POD	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a créé un pod contenant des commandes ou des arguments généralement associés à un shell inversé. Les pirates informatiques utilisent des shells inversés pour étendre ou maintenir leur accès initial à un cluster et exécuter des commandes arbitraires. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Contournement des défenses : dissimulation potentielle de pod Kubernetes	GKE_POD_MASQUERADING	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a déployé un pod avec une convention d'attribution de noms semblable à celle des charges de travail par défaut que GKE crée pour le fonctionnement normal du cluster. Cette technique est appelée masquage. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Élévation des privilèges : noms de conteneurs Kubernetes suspects - Exploitation et fuite (preview)	GKE_SUSPICIOUS_EXPLOIT_POD	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a déployé un pod avec une convention d'attribution de noms semblable à celle des outils couramment utilisés pour les fuites de conteneurs ou pour exécuter d'autres attaques sur le cluster. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Persistance : compte de service créé dans un espace de noms sensible	GKE_SERVICE_ACCOUNT_CREATION_SENSITIVE_NAMESPACE	Cloud Audit Logs : Journaux d'activité d'administration GKE	Un utilisateur a créé un compte de service dans un espace de noms sensible. Les espaces de nomskube-system etkube-public sont essentiels aux opérations des clusters GKE. Des comptes de service non autorisés pourraient compromettre la stabilité et la sécurité des clusters. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Impact : noms de conteneurs Kubernetes suspects – Minage de cryptomonnaie ^Indisponibilité temporaire	GKE_SUSPICIOUS_CRYPTOMINING_POD	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a déployé un pod avec une convention d'attribution de noms semblable à celle des mineurs de cryptomonnaie courants. Il peut s'agir d'une tentative d'un pirate informatique ayant obtenu un accès initial au cluster pour utiliser les ressources du cluster pour le minage de cryptomonnaie. Par défaut, les résultats sont classés dans le niveau de gravité élevé. Cette règle est temporairement indisponible. Pour surveiller l'activité Kubernetes, utilisez les journaux d'activité d'administration GKE.	—
Exécution : charge de travail déclenchée dans un espace de noms sensible	GKE_SENSITIVE_NAMESPACE_WORKLOAD_TRIGGERED	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a déployé une charge de travail (par exemple, un pod ou un déploiement) dans les espaces de noms kube-system ou kube-public. Ces espaces de noms sont essentiels aux opérations des clusters GKE. Des charges de travail non autorisées pourraient compromettre la stabilité ou la sécurité des clusters. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Exécution : lancement d'un conteneur GKE doté de capacités excessives (bêta)	GKE_EXCESSIVELY_CAPABLE_CONTAINER_CREATED	Cloud Audit Logs : Journaux d'activité d'administration GKE	Une personne a créé un conteneur incluant une ou plusieurs des capacités suivantes dans un cluster disposant d'un contexte de sécurité élevé : CAP_SYS_MODULE CAP_SYS_RAWIO CAP_SYS_PTRACE CAP_SYS_BOOT CAP_DAC_READ_SEARCH CAP_NET_ADMIN CAP_BPF Ces capacités peuvent être utilisées pour s'échapper des conteneurs. Soyez prudent lorsque vous provisionnez ces fonctionnalités. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Persistance : configuration de webhook GKE détectée	GKE_WEBHOOK_CONFIG_CREATED	Cloud Audit Logs : Journaux d'activité d'administration GKE	Une configuration de webhook a été détectée dans votre cluster GKE. Les webhooks peuvent intercepter et modifier les requêtes API Kubernetes, ce qui peut permettre à des pirates informatiques de persister dans votre cluster ou de manipuler des ressources. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Contournement des défenses : pod statique créé	GKE_STATIC_POD_CREATED	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a créé un pod statique dans votre cluster GKE. Les pods statiques s'exécutent directement sur le nœud et contournent le serveur d'API Kubernetes, ce qui les rend plus difficiles à surveiller et à contrôler. Les pirates informatiques peuvent utiliser des pods statiques pour échapper à la détection ou maintenir leur persistance. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Accès initial : appel d'API réussi à partir d'une adresse IP de proxy TOR	GKE_TOR_PROXY_IP_REQUEST	Cloud Audit Logs : Journaux d'activité d'administration GKE	Un appel d'API a été effectué avec succès vers votre cluster GKE à partir d'une adresse IP associée au réseau Tor. Tor garantit l'anonymat, ce dont les pirates informatiques profitent souvent pour dissimuler leur identité. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	Catégorie : Initial Access: Successful API call made from a TOR proxy IP Affecting Sensitive Data Gravité : aucun changement (par défaut, "Élevée")
Accès initial : service NodePort créé dans GKE	GKE_NODEPORT_SERVICE_CREATED	Cloud Audit Logs : Journaux d'activité d'administration GKE	Un utilisateur a créé un service NodePort. Les services NodePort exposent les pods directement sur l'adresse IP et le port statique d'un nœud, ce qui les rend accessibles depuis l'extérieur du cluster. Cela peut présenter un risque de sécurité important, car un pirate informatique pourrait exploiter les failles du service exposé pour accéder au cluster ou à des données sensibles. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Impact : détection d'une modification de kube-dns dans GKE (bêta)	GKE_KUBE_DNS_MODIFICATION	Cloud Audit Logs : Journaux d'activité d'administration GKE	Quelqu'un a modifié la configuration kube-dns dans votre cluster GKE. Le kube-dns GKE est un composant essentiel de la mise en réseau de votre cluster. Une mauvaise configuration peut entraîner une brèche de sécurité. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—
Impact : commandes de minage de cryptomonnaie	CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS	Cloud Audit Logs : Journaux d'audit des événements système IAM	Des commandes de minage de cryptomonnaie spécifiques ont été associées à un job Cloud Run lors de l'exécution. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Exécution : image Docker de minage de cryptomonnaie	CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES	Cloud Audit Logs : Journaux d'audit des événements système IAM	Des images Docker spécifiques connues comme étant malveillantes ont été associées à un job ou un service Cloud Run nouveau ou existant. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Élévation des privilèges : SetIAMPolicy du compte de service Compute Engine par défaut	CLOUD_RUN_SERVICES_SET_IAM_POLICY	Cloud Audit Logs : Journaux d'activité d'administration	Le compte de service Compute Engine par défaut a été utilisé pour définir la stratégie IAM d'un service Cloud Run. Il s'agit d'une action d'exploitation potentielle lorsqu'un jeton Compute Engine est compromis à partir d'un service sans serveur. Par défaut, les résultats sont classés dans le niveau de gravité faible.	—
Accès initial : connexion réussie à CloudDB depuis l'adresse IP du proxy d'anonymisation	CLOUD_DB_LOGIN_SUCCEEDED_ANON_IP	Cloud Audit Logs : Journaux d'accès aux données AlloyDB pour PostgreSQL Journaux d'accès aux données Cloud SQL pour PostgreSQL Journaux d'accès aux données Cloud SQL pour MySQL Remarque : Vous devez activer la journalisation des adresses IP dans PostgreSQL pour utiliser cette règle pour AlloyDB et Postgres.	Une connexion réussie a été détectée dans votre instance de base de données à partir d'une adresse IP d'anonymisation connue. Cela peut indiquer qu'un pirate informatique a obtenu un accès initial à votre instance. Par défaut, les résultats sont classés dans le niveau de gravité élevé.	—
Accès aux identifiants : échec de la connexion à CloudDB depuis l'adresse IP du proxy d'anonymisation	CLOUD_DB_LOGIN_FAILED_ANON_IP	Cloud Audit Logs : Journaux d'accès aux données AlloyDB pour PostgreSQL Journaux d'accès aux données Cloud SQL pour PostgreSQL Journaux d'accès aux données Cloud SQL pour MySQL Remarque : Vous devez activer la journalisation des adresses IP dans PostgreSQL pour utiliser cette règle pour AlloyDB et Postgres.	Un échec de connexion a été détecté dans votre instance de base de données à partir d'une adresse IP d'anonymisation connue. Cela peut indiquer qu'un pirate informatique tente d'accéder sans autorisation à votre instance. Par défaut, les résultats sont classés dans le niveau de gravité moyen.	—

Pour en savoir plus sur les règles obsolètes et supprimées, consultez Abandons.

Modules personnalisés pour Event Threat Detection

En plus des règles de détection intégrées, Event Threat Detection fournit des modèles de module que vous pouvez utiliser pour créer des règles de détection personnalisées. Pour en savoir plus, consultez Présentation des modules personnalisés pour Event Threat Detection.

Pour créer des règles de détection pour lesquelles aucun modèle de module personnalisé n'est disponible, vous pouvez exporter vos données de journal vers BigQuery, puis exécuter des requêtes SQL uniques ou récurrentes qui capturent vos modèles de menace.

Modifications non sécurisées apportées aux groupes Google

Cette section explique comment Event Threat Detection utilise les journaux Google Workspace, Cloud Audit Logs et les stratégies IAM pour détecter les modifications non sécurisées apportées aux groupes Google. La détection des modifications apportées à Google Groupes n'est possible que lorsque vous activez Security Command Center au niveau de l'organisation.

Les clientsGoogle Cloud peuvent utiliser des groupes Google pour gérer les rôles et les autorisations des membres de leur organisation, ou appliquer des règles d'accès à des groupes d'utilisateurs. Au lieu d'attribuer des rôles directement aux membres, les administrateurs peuvent attribuer des rôles et des autorisations à des groupes Google, puis ajouter des membres à des groupes spécifiques. Les membres du groupe héritent de l'ensemble des rôles et des autorisations de ce groupe, ce qui leur permet d'accéder à des ressources et à des services spécifiques.

Bien que les groupes Google constituent un moyen pratique de gérer le contrôle des accès à grande échelle, ils peuvent présenter un risque si des utilisateurs externes à votre organisation ou à votre domaine sont ajoutés à des groupes privilégiés, c'est-à-dire des groupes dotés de rôles ou d'autorisations sensibles. Les rôles sensibles contrôlent l'accès aux paramètres de sécurité et aux paramètres des réseaux, aux journaux et aux informations permettant d'identifier personnellement l'utilisateur (PII). Ils ne sont pas recommandés pour les membres de groupes externes.

Dans les grandes organisations, les administrateurs peuvent ne pas être informés lorsque des membres externes sont ajoutés à des groupes privilégiés. Cloud Audit Logs enregistre les attributions de rôles aux groupes, mais ces événements de journaux ne contiennent pas d'informations sur les membres des groupes, ce qui peut masquer l'impact potentiel de certaines modifications de groupes.

Si vous partagez vos journaux Google Workspace avec Google Cloud, Event Threat Detection surveille vos flux de journalisation pour détecter les nouveaux membres ajoutés aux groupes Google de votre organisation. Étant donné que les journaux sont au niveau de l'organisation, Event Threat Detection ne peut analyser les journaux Google Workspace que si Security Command Center est activé à ce niveau. Event Threat Detection ne peut pas analyser ces journaux lorsque vous activez Security Command Center au niveau du projet.

Event Threat Detection identifie les membres du groupe externe et, à l'aide de Cloud Audit Logs, examine les rôles IAM de chaque groupe concerné pour vérifier si des rôles sensibles ont été attribués aux groupes. Ces informations permettent de détecter les modifications non sécurisées suivantes apportées aux groupes Google privilégiés :

• Membres de groupe externes ajoutés aux groupes privilégiés
• Rôles ou autorisations sensibles accordés aux groupes comportant des membres externes
• Groupes privilégiés modifiés pour permettre à tous leurs utilisateurs d'y accéder

Event Threat Detection écrit les résultats dans Security Command Center. Les résultats contiennent les adresses e-mail des nouveaux membres externes, les membres de groupe internes qui envoient les événements, les noms de groupes et les rôles sensibles associés aux groupes. Vous pouvez utiliser ces informations pour supprimer des membres externes des groupes ou révoquer les rôles sensibles accordés aux groupes.

Pour en savoir plus sur les résultats d'Event Threat Detection, consultez Règles d'Event Threat Detection.

Rôles et autorisations IAM sensibles

Cette section explique comment Event Threat Detection définit les rôles IAM sensibles. Pour en savoir plus sur les rôles et autorisations sensibles pour les menaces liées à l'IA, consultez Rôles et autorisations IAM sensibles pour l'IA.

Les détections telles que l'octroi anormal d'autorisations IAM et les modifications non sécurisées d'un groupe Google ne génèrent des résultats que si les modifications impliquent des rôles de sensibilité élevée ou moyenne. La sensibilité des rôles a une incidence sur le niveau de gravité attribué aux résultats.

• Les rôles à sensibilité élevée contrôlent les services critiques dans les organisations, y compris la facturation, les paramètres de pare-feu et la journalisation. Les résultats correspondant à ces rôles sont classés dans le niveau de gravité élevé.
• Les rôles de sensibilité moyenne disposent d'autorisations de modification qui permettent aux comptes principaux d'apporter des modifications aux ressources Google Cloud , ainsi que d'autorisations d'affichage et d'exécution sur les services de stockage de données qui contiennent souvent des données sensibles. Le niveau de gravité attribué aux résultats dépend de la ressource :
  • Si des rôles à sensibilité moyenne sont attribués au niveau de l'organisation, les résultats sont classés dans le niveau de gravité élevé.
  • Si les rôles à sensibilité moyenne sont attribués à des niveaux inférieurs dans la hiérarchie des ressources (dossiers, projets et buckets, entre autres), les résultats sont classés dans le niveau de gravité moyen.

L'attribution de ces rôles sensibles est considérée comme dangereuse si le bénéficiaire est un membre externe ou une identité anormale, comme un compte principal inactif depuis longtemps.

L'attribution de rôles sensibles à des membres externes crée une menace potentielle, car ils peuvent être utilisés de manière abusive pour compromettre des comptes et exfiltrer des données.

Les catégories de résultats qui utilisent ces rôles sensibles incluent les suivantes :

• Persistance : octroi anormal d'autorisations IAM
  • Sous-règle : external_service_account_added_to_policy
  • Sous-règle : external_member_added_to_policy
• Élévation des privilèges : rôle sensible attribué au groupe hybride
• Élévation des privilèges : rôle sensible attribué à un compte de service inactif

Les catégories de résultats qui utilisent un sous-ensemble des rôles sensibles incluent les suivantes :

• Persistance : octroi anormal d'autorisations IAM
  • Sous-règle : service_account_granted_sensitive_role_to_member

La sous-règle service_account_granted_sensitive_role_to_member cible généralement les membres externes et internes. Elle n'utilise donc qu'un sous-ensemble de rôles sensibles, comme expliqué dans Règles Event Threat Detection.

Catégorie	Rôle	Description
Rôles de base : contiennent des milliers d'autorisations pour tous les services Google Cloud .	roles/owner	Rôles de base
	roles/editor
Rôles de sécurité : contrôlez l'accès aux paramètres de sécurité.	roles/cloudkms.*	Tous les rôles Cloud Key Management Service
	roles/cloudsecurityscanner.*	Tous les rôles Web Security Scanner
	roles/dlp.*	Tous les rôles Sensitive Data Protection
	roles/iam.*	Tous les rôles IAM
	roles/secretmanager.*	Tous les rôles Secret Manager
	roles/securitycenter.*	Tous les rôles Security Command Center
Rôles Logging : contrôlent l'accès aux journaux d'une organisation.	roles/errorreporting.*	Tous les rôles Error Reporting
	roles/logging.*	Tous les rôles Cloud Logging
	roles/stackdriver.*	Tous les rôles Cloud Monitoring
Rôles d'informations personnelles : contrôlent l'accès aux ressources contenant des informations permettant d'identifier personnellement l'utilisateur, y compris les coordonnées bancaires et les informations de contact.	roles/billing.*	Tous les rôles Cloud Billing
	roles/healthcare.*	Tous les rôles de l'API Cloud Healthcare
	roles/essentialcontacts.*	Tous les rôles de contacts essentiels
Rôles de mise en réseau : contrôlent l'accès aux paramètres réseau d'une organisation.	roles/dns.*	Tous les rôles Cloud DNS
	roles/domains.*	Tous les rôles Cloud Domains
	roles/networkconnectivity.*	Tous les rôles Network Connectivity Center
	roles/networkmanagement.*	Tous les rôles NCC
	roles/privateca.*	Tous les rôles Certificate Authority Service
Rôles de service : contrôlent l'accès aux ressources de service dans Google Cloud	roles/cloudasset.*	Tous les rôles d'inventaire des éléments cloud
	roles/servicedirectory.*	Tous les rôles de l'Annuaire des services
	roles/servicemanagement.*	Tous les rôles Service Management
	roles/servicenetworking.*	Tous les rôles Service Networking
	roles/serviceusage.*	Tous les rôles Service Usage
Rôles Compute Engine : contrôlent l'accès aux machines virtuelles Compute Engine, qui exécutent des jobs de longue durée et sont associées à des règles de pare-feu.	roles/compute.admin roles/compute.instanceAdmin roles/compute.instanceAdmin.v1 roles/compute.loadBalancerAdmin roles/compute.networkAdmin roles/compute.orgFirewallPolicyAdmin roles/compute.orgFirewallPolicyUser roles/compute.orgSecurityPolicyAdmin roles/compute.orgSecurityPolicyUser roles/compute.orgSecurityResourceAdmin roles/compute.osAdminLogin roles/compute.publicIpAdmin roles/compute.securityAdmin roles/compute.storageAdmin roles/compute.xpnAdmin	Tous les rôles Administrateur et Éditeur de Compute Engine

Catégorie	Rôle	Description
Rôles de modification : rôles IAM incluant les autorisations nécessaires pour modifier les ressources Google Cloud	Exemples : roles/storage.objectAdmin roles/file.editor roles/source.writer roles/container.developer	Les noms de rôles se terminent généralement par des titres tels que Administrateur, Propriétaire, Éditeur ou Rédacteur. Développez le nœud de la dernière ligne du tableau pour afficher Tous les rôles moyennement sensibles.
Rôles de stockage de données : rôles IAM incluant des autorisations permettant d'afficher et d'exécuter des services de stockage de données	Exemples : roles/cloudsql.viewer roles/cloudsql.client roles/bigquery.dataViewer roles/bigquery.user roles/spanner.databaseReader roles/spanner.databaseUser	Développez le nœud de la dernière ligne du tableau pour afficher Tous les rôles moyennement sensibles.
Tous les rôles à sensibilité moyenne Access Approval roles/accessapproval.approver roles/accessapproval.configEditor Access Context Manager roles/accesscontextmanager.gcpAccessAdmin roles/accesscontextmanager.policyAdmin roles/accesscontextmanager.policyEditor Actions roles/actions.Admin Plate-forme IA roles/ml.admin roles/ml.developer roles/ml.jobOwner roles/ml.modelOwner roles/ml.modelUser API Gateway roles/apigateway.admin App Engine roles/appengine.appAdmin roles/appengine.appCreator roles/appengine.serviceAdmin Artifact Analysis roles/containeranalysis.admin roles/containeranalysis.notes.attacher roles/containeranalysis.notes.editor roles/containeranalysis.occurrences.editor AutoML roles/automl.admin roles/automl.editor BigQuery roles/bigquery.admin roles/bigquery.dataEditor roles/bigquery.dataOwner roles/bigquery.dataViewer roles/bigquery.resourceAdmin roles/bigquery.resourceEditor roles/bigquery.resourceViewer roles/bigquery.user Bigtable roles/bigtable.admin roles/bigtable.reader roles/bigtable.user Autorisation binaire roles/binaryauthorization.attestorsAdmin roles/binaryauthorization.attestorsEditor roles/binaryauthorization.policyAdmin roles/binaryauthorization.policyEditor Cloud Autoscaling roles/autoscaling.metricsWriter roles/autoscaling.sitesAdmin roles/autoscaling.stateWriter Cloud Build roles/cloudbuild.builds.builder roles/cloudbuild.builds.editor Cloud Deployment Manager roles/deploymentmanager.editor roles/deploymentmanager.typeEditor Cloud Endpoints roles/endpoints.portalAdmin^Bêta Cloud Monitoring roles/monitoring.admin roles/monitoring.alertPolicyEditor roles/monitoring.dashboardEditor roles/monitoring.editor roles/monitoring.metricWriter roles/monitoring.notificationChannelEditor roles/monitoring.servicesEditor roles/monitoring.uptimeCheckConfigEditor Cloud Run roles/run.admin roles/run.developer Cloud Run Functions roles/cloudfunctions.admin roles/cloudfunctions.developer roles/cloudfunctions.invoker API Cloud Runtime Configuration roles/runtimeconfig.admin Cloud Scheduler roles/cloudscheduler.admin Cloud Source Repositories roles/source.admin roles/source.writer Cloud SQL roles/cloudsql.admin roles/cloudsql.editor roles/cloudsql.client roles/cloudsql.instanceUser roles/cloudsql.viewer Cloud Storage roles/storage.admin roles/storage.hmacKeyAdmin roles/storage.objectAdmin roles/storage.objectCreator roles/storage.objectViewer roles/storage.legacyBucketOwner roles/storage.legacyBucketWriter roles/storage.legacyBucketReader roles/storage.legacyObjectOwner roles/storage.legacyObjectReader Cloud Tasks roles/cloudtasks.admin roles/cloudtasks.enqueuer roles/cloudtasks.queueAdmin roles/cloudtasks.taskDeleter Cloud TPU tpu.admin Cloud Trace roles/cloudtrace.admin roles/cloudtrace.agent Compute Engine roles/compute.imageUser roles/compute.osLoginExternalUser roles/osconfig.guestPolicyAdmin roles/osconfig.guestPolicyEditor roles/osconfig.osPolicyAssignmentAdmin roles/osconfig.osPolicyAssignmentEditor roles/osconfig.patchDeploymentAdmin Traitement des données d'utilisation du client roles/dataprocessing.admin Dataflow roles/dataflow.admin roles/dataflow.developer Managed Service pour Apache Spark roles/dataproc.admin roles/dataproc.editor Dataproc Metastore roles/metastore.admin roles/metastore.editor Datastore roles/datastore.importExportAdmin roles/datastore.indexAdmin roles/datastore.owner roles/datastore.user Eventarc roles/eventarc.admin roles/eventarc.developer roles/eventarc.eventReceiver Filestore roles/file.editor Firebase roles/firebase.admin roles/firebase.analyticsAdmin roles/firebase.developAdmin roles/firebase.growthAdmin roles/firebase.qualityAdmin roles/firebaseabt.admin roles/firebaseappcheck.admin roles/firebaseappdistro.admin roles/firebaseauth.admin roles/firebasecrash.symbolMappingsAdmin roles/firebasecrashlytics.admin roles/firebasedatabase.admin roles/firebasedynamiclinks.admin roles/firebasehosting.admin roles/firebaseinappmessaging.admin roles/firebaseml.admin roles/firebasenotifications.admin roles/firebaseperformance.admin roles/firebasepredictions.admin roles/firebaserules.admin roles/firebasestorage.admin roles/cloudconfig.admin roles/cloudtestservice.testAdmin Google Cloud VMware Engine vmwareengine.vmwareengineAdmin Google Kubernetes Engine roles/container.admin roles/container.clusterAdmin roles/container.developer Hub Google Kubernetes Engine roles/gkehub.admin roles/gkehub.gatewayAdmin roles/gkehub.connect Gestion des services Google Security Operations roles/chroniclesm.admin Google Workspace roles/gsuiteaddons.developer Identity-Aware Proxy roles/iap.admin roles/iap.settingsAdmin Identity Platform roles/identityplatform.admin Identity Toolkit roles/identitytoolkit.admin Service géré pour Microsoft Active Directory roles/managedidentities.admin roles/managedidentities.domainAdmin roles/managedidentities.viewer Memorystore pour Redis roles/redis.admin roles/redis.editor OAuthConfig roles/oauthconfig.editor API On-Demand Scanning roles/ondemandscanning.admin Surveillance de la configuration des opérations roles/opsconfigmonitoring.resourceMetadata.writer Service de règles d'administration roles/axt.admin roles/orgpolicy.policyAdmin Proximity Beacon roles/proximitybeacon.attachmentEditor roles/proximitybeacon.beaconEditor Pub/Sub roles/pubsub.admin roles/pubsub.editor Pub/Sub Lite roles/pubsublite.admin roles/pubsublite.editor roles/pubsublite.publisher reCAPTCHA roles/recaptchaenterprise.admin roles/recaptchaenterprise.agent Recommandations roles/automlrecommendations.admin roles/automlrecommendations.editor Outil de recommandation roles/recommender.billingAccountCudAdmin roles/recommender.cloudAssetInsightsAdmin roles/recommender.cloudsqlAdmin roles/recommender.computeAdmin roles/recommender.firewallAdmin roles/recommender.iamAdmin roles/recommender.productSuggestionAdmin roles/recommender.projectCudAdmin Resource Manager roles/resourcemanager.folderAdmin roles/resourcemanager.folderCreator roles/resourcemanager.folderEditor roles/resourcemanager.folderIamAdmin roles/resourcemanager.folderMover roles/resourcemanager.lienModifier roles/resourcemanager.organizationAdmin roles/resourcemanager.projectCreator roles/resourcemanager.projectDeleter roles/resourcemanager.projectIamAdmin roles/resourcemanager.projectMover roles/resourcemanager.tagAdmin Paramètres des ressources roles/resourcesettings.admin API AI Commerce Search roles/retail.admin roles/retail.editor Accès au VPC sans serveur roles/vpcaccess.admin Service Consumer Management roles/serviceconsumermanagement.tenancyUnitsAdmin Spanner roles/spanner.admin roles/spanner.backupAdmin roles/spanner.backupWriter roles/spanner.databaseAdmin roles/spanner.restoreAdmin roles/spanner.databaseReader roles/spanner.databaseUser Service de transfert de stockage roles/storagetransfer.admin roles/storagetransfer.user Gemini Enterprise Agent Platform roles/aiplatform.admin roles/aiplatform.featurestoreAdmin roles/aiplatform.migrator roles/aiplatform.user Notebooks Vertex AI Workbench gérés par l'utilisateur roles/notebooks.admin roles/notebooks.legacyAdmin Workflows roles/workflows.admin roles/workflows.editor

Rôles et autorisations IAM sensibles pour l'IA

Pour les résultats d'Event Threat Detection liés aux menaces d'IA, les rôles sensibles sont définis différemment des rôles sensibles pour les menaces non liées à l'IA.

• Les rôles à haute sensibilité pour les résultats d'IA incluent les rôles de base, de base anciens et prédéfinis suivants :

  • roles/admin
  • roles/writer
  • roles/owner
  • roles/editor
  • roles/resourcemanager.organizationAdmin
  • roles/iam.securityAdmin

• Les rôles de sensibilité moyenne pour les résultats d'IA incluent tous les rôles d'administrateur, d'éditeur, de propriétaire et d'agent de service pour n'importe quel service Google Cloud . Les rôles suivants sont également considérés comme des rôles à sensibilité moyenne :

  • roles/cloudkms.cryptoKeyDecrypter
  • roles/compute.osAdminLogin
  • roles/compute.osLogin
  • roles/iam.serviceAccountTokenCreator
  • roles/iam.serviceAccountUser
  • roles/logging.configWriter
  • roles/logging.privateLogViewer
  • roles/secretmanager.secretAccessor

• Les rôles à faible sensibilité pour les résultats d'IA sont les suivants :

  • roles/cloudfunctions.developer
  • roles/run.developer
  • roles/appengine.deployer
  • roles/iam.workloadIdentityUser
  • roles/iam.serviceAccountOpenIdTokenCreator
  • roles/artifactregistry.createOnPushWriter

Les autorisations d'IA sensibles incluent celles qui permettent de créer, de mettre à jour, de supprimer ou d'exporter des modèles et des données d'IA, de gérer le contrôle des accès aux services d'IA (par exemple, setIamPolicy) et d'utiliser des fonctionnalités d'IA telles que la réalisation de prédictions. Cela inclut également les autorisations permettant de gérer les identifiants sensibles, tels que les clés HMAC Storage, qui sont souvent utilisées conjointement avec les charges de travail d'IA.

Types de journaux et conditions d'activation

Cette section répertorie les journaux utilisés par Event Threat Detection, ainsi que les menaces qu'Event Threat Detection recherche dans chaque journal et, le cas échéant, ce que vous devez faire pour activer chaque journal.

Vous ne devez activer un journal pour Event Threat Detection que si toutes les conditions suivantes sont remplies :

• Vous utilisez le produit ou le service qui écrit dans le journal.
• Vous devez protéger le produit ou le service contre les menaces détectées par Event Threat Detection dans le journal.
• Le journal est un journal d'audit des accès aux données ou un autre journal désactivé par défaut.

Certaines menaces peuvent être détectées dans plusieurs journaux. Si Event Threat Detection peut détecter une menace dans un journal déjà activé, vous n'avez pas besoin d'activer un autre journal pour détecter cette même menace.

Si un journal ne figure pas dans cette section, Event Threat Detection ne l'analyse pas, même s'il est activé. Pour en savoir plus, consultez Analyses de journaux potentiellement redondantes.

Comme décrit dans le tableau suivant, certains types de journaux ne sont disponibles qu'au niveau de l'organisation. Si vous activez Security Command Center au niveau du projet, Event Threat Detection n'analyse pas ces journaux et ne génère aucun résultat.

Conseil : Pour vous aider à déterminer quels journaux exporter et analyser afin de répondre à vos besoins de sécurité et de conformité, utilisez l'outil de champ d'application des journaux de Google Cloud.

Sources de journaux fondamentales

Event Threat Detection utilise des sources de données fondamentales pour détecter les activités potentiellement malveillantes sur votre réseau.

• Si vous activez Event Threat Detection sans les journaux de flux VPC, Event Threat Detection commence immédiatement à analyser un flux interne indépendant et dupliqué de journaux de flux VPC. Pour examiner plus en détail un résultat Event Threat Detection existant, vous devez activer les journaux de flux VPC et accéder manuellement à l'explorateur de journaux et à Flow Analyzer. Si vous activez les journaux de flux VPC ultérieurement, seuls les résultats futurs contiendront les liens pertinents pour une investigation plus approfondie.

• Si vous activez Event Threat Detection avec les journaux de flux VPC, Event Threat Detection commence immédiatement à analyser les journaux de flux VPC de votre déploiement et fournit des liens vers l'explorateur de journaux et Flow Analyzer pour vous aider à approfondir vos recherches.

Journaux pour la détection des logiciels malveillants sur le réseau

Event Threat Detection peut détecter les logiciels malveillants sur le réseau en analysant l'un des journaux suivants :

• Journalisation Cloud DNS
• Journalisation Cloud NAT
• Journalisation des règles de pare-feu
• Journaux de flux VPC

Vous n'avez pas besoin d'activer plusieurs de ces fonctionnalités : journalisation Cloud NAT, journalisation des règles de pare-feu ou journaux de flux VPC.

Si vous utilisez déjà la journalisation Cloud DNS, Event Threat Detection peut détecter les logiciels malveillants à l'aide de la résolution de domaine. Pour la plupart des utilisateurs, les journaux Cloud DNS suffisent pour détecter les logiciels malveillants sur le réseau.

Si vous avez besoin d'un autre niveau de visibilité que la résolution de domaine, vous pouvez activer les journaux de flux VPC, mais cela peut entraîner des coûts. Pour gérer ces coûts, nous vous recommandons d'augmenter l'intervalle d'agrégation à 15 minutes et de réduire le taux d'échantillonnage à une valeur comprise entre 5% et 10 %. Toutefois, il existe un compromis entre le rappel (échantillon plus élevé) et la gestion des coûts (taux d'échantillonnage plus faible). Pour en savoir plus, consultez la section Échantillonnage et traitement des journaux.

Si vous utilisez déjà la journalisation des règles de pare-feu ou la journalisation Cloud NAT, ces journaux sont utiles à la place des journaux de flux VPC.

Données de journaux compatibles et menaces détectées

Cette section répertorie les journaux Cloud Logging et Google Workspace que vous pouvez activer ou configurer pour augmenter le nombre de menaces qu'Event Threat Detection peut détecter.

Certaines menaces, telles que celles posées par l'usurpation d'identité ou la délégation d'un compte de service, peuvent être détectées dans la plupart des journaux d'audit. Pour ces types de menaces, vous déterminez les journaux que vous devez activer en fonction des produits et services que vous utilisez.

Coûts de journalisation : avant d'activer un journal pour qu'Event Threat Detection l'analyse, assurez-vous de bien comprendre comment Cloud Logging facture les données de journal. Après avoir activé un journal, surveillez-le pendant quelques jours pour vous assurer qu'il n'entraîne pas de coûts Logging inattendus.

Bien que l'analyse des journaux par Event Threat Detection n'entraîne pas de frais supplémentaires, Cloud Logging peut vous facturer l'ingestion et le stockage des données de journaux, en fonction du volume de données de journaux produit par vos organisations et vos projets.

Pour en savoir plus sur les frais de journalisation de Logging, consultez Tarifs de Cloud Logging.

Le tableau suivant présente les journaux spécifiques que vous pouvez activer et le type de menaces pouvant être détectées.

Log type	Threats detected	Configuration required
AlloyDB for PostgreSQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Initial Access: CloudDB Successful login from Anonymizing Proxy IP Privilege Escalation: AlloyDB Database Superuser Writes to User Tables Privilege Escalation: AlloyDB Over-Privileged Grant	Activate Logging Data Access audit logs for AlloyDB for PostgreSQL To detect the Privilege Escalation: AlloyDB Database Superuser Writes to User Tables and Privilege Escalation: AlloyDB Over-Privileged Grant threats, you must also enable the pgAudit extension
authlogs/authlog on virtual machines	Brute force SSH	Install the Ops Agent or the legacy Logging agent on your VM hosts
Cloud DNS logging	Log4j Malware: Bad Domain Malware: bad domain Malware: Cryptomining Bad Domain	Turn on Cloud DNS logging See also Logs for network detection of malware.
Cloud SQL MySQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket Initial Access: CloudDB Successful login from Anonymizing Proxy IP	Activate Logging Data Access audit logs for Cloud SQL for MySQL
Cloud NAT logging	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on Cloud NAT logging See also Logs for network detection of malware.
Cloud SQL PostgreSQL Data Access audit logs	Credential Access: CloudDB Failed login from Anonymizing Proxy IP Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket Exfiltration: Cloud SQL Over-Privileged Grant Initial Access: CloudDB Successful login from Anonymizing Proxy IP	Activate Logging Data Access audit logs for Cloud SQL for PostgreSQL. To detect the Exfiltration: Cloud SQL Over-Privileged Grant threat, you must also enable the pgAudit extension
External Application Load Balancer backend service logs	Initial Access: Log4j Compromise Attempt	Turn on external Application Load Balancer logging
Firewall Rules Logging	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on Firewall Rules Logging See also Logs for network detection of malware.
Generic Data Access audit logs	Initial Access: Leaked Service Account Key Used Privilege Escalation: Anomalous Multistep Service Account Delegation for AI Data Access Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Privilege Escalation: Anomalous Service Account Impersonator for AI Data Access Privilege Escalation: Anomalous Service Account Impersonator for Data Access	Activate Logging Data Access audit logs.
Google Kubernetes Engine (GKE) Data Access audit logs	Discovery: Can get sensitive Kubernetes object check Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials	Activate Logging Data Access audit logs for GKE
Google Workspace Admin Audit logs	Persistence: SSO Enablement Toggle Persistence: SSO Settings Changed Persistence: Strong Authentication Disabled Persistence: Two Step Verification Disabled Privilege Escalation: Privileged Group Opened To Public	Share Google Workspace Admin Audit logs with Cloud Logging This log type can't be scanned in project-level activations.
Google Workspace Login Audit logs	Credential Access: External Member Added To Privileged Group Initial Access: Account Disabled Hijacked Initial Access: Disabled Password Leak Initial Access: Government Based Attack Initial Access: Suspicious Login Blocked Persistence: Two Step Verification Disabled	Share Google Workspace Login Audit logs with Cloud Logging This log type can't be scanned in project-level activations.
IAM Data Access audit logs	Discovery: AI Agent Service Account Self-Investigation Discovery: Service Account Self-Investigation Privilege Escalation: AI Agent Cross-Project Access Token Generation Privilege Escalation: AI Agent Cross-Project OpenID Token Generation Privilege Escalation: AI Agent Token Generation Using Implicit Delegation Privilege Escalation: AI Agent Token Generation Using signJwt	Activate Logging Data Access audit logs for Resource Manager
SQL Server Data Access audit logs	Exfiltration: Cloud SQL Data Exfiltration Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to Public Bucket Exfiltration: AI Agent Initiated Cloud SQL Exfiltration to External Bucket	Activate Logging Data Access audit logs for Cloud SQL for SQL Server
VPC Flow Logs	Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP	Turn on VPC Flow Logs See also Logs for network detection of malware.

Journaux toujours activés

Le tableau suivant répertorie les journaux Cloud Logging que vous n'avez pas besoin d'activer ni de configurer. Ces journaux sont toujours activés et Event Threat Detection les analyse automatiquement.

Type de journal	Menaces détectées	Configuration obligatoire
Journaux Agent Engine	Accès aux identifiants : accès anormal de l'agent d'IA au service de métadonnées (preview) Découverte : preuve d'analyse de ports à partir de l'agent d'IA (preview)	Aucun
Journaux d'audit des activités d'administration de Backup and DR	Impact : Backup and DR Google Cloud fait expirer toutes les images Impact : sauvegarde Google Cloud Backup and DR supprimée Impact : l'hôte Backup and DR Google Cloud a été supprimé Impact : suppression de l'association du plan Google Cloud Backup and DR Impact : coffre Backup and DR Google Cloud supprimé Impact : règle de suppression de Backup and DR Google Cloud Impact : suppression du profil de sauvegarde et de reprise après sinistre Google Cloud Impact : Google Cloud Backup and DR : Supprimer le modèle Impact : expiration de l'image de sauvegarde et de reprise après sinistre Google Cloud Impact : Backup and DR Google Cloud réduit le délai d'expiration des sauvegardes Impact : Google Cloud Backup and DR réduit la fréquence de sauvegarde Impact : Suppression de l'appareil Backup and DR Google Cloud Impact : Suppression du plan Google Cloud Backup and DR Inhiber la récupération du système : Google Cloud Backup and DR supprime le pool de stockage	Aucun
Journaux d'accès aux données BigQueryAuditMetadata	Exfiltration : extraction de données BigQuery initiée par l'agent IA Exfiltration : exfiltration de données BigQuery vers une table externe initiée par l'agent IA Exfiltration : non-respect du périmètre VPC BigQuery initié par l'agent IA Exfiltration : exfiltration de données BigQuery Exfiltration : extraction de données BigQuery Exfiltration : données BigQuery vers Google Drive Exfiltration : déplacement vers une ressource BigQuery publique (preview)	Aucun
Journaux d'audit des activités d'administration génériques	Contournement des défenses : filtrage des adresses IP du bucket GCS modifié Évasion de la défense : blocage de la règle HTTP du projet désactivé Contournement des défenses : rôle TokenCreator ajouté au niveau du dossier Contournement des défenses : rôle TokenCreator au niveau du dossier attribué à un agent IA Contournement des défenses : rôle TokenCreatorRole ajouté au niveau de l'organisation Éviction de défense : rôle TokenCreator au niveau de l'organisation attribué à un agent IA Contournement des défenses : rôle TokenCreator ajouté au niveau du projet Évasion de la défense : rôle TokenCreator au niveau du projet attribué à un agent IA Découverte : Appel d'API de compte de service par un agent IA non autorisé Accès initial : opérations refusées en raison d'autorisations excessives pour l'identité de l'agent IA Accès initial : action sur un compte de service inactif Accès initial : activité de compte de service inactif dans le service d'IA Accès initial : clé de compte de service inactif créée Accès initial : opérations refusées en raison d'autorisations excessives Accès initial : une clé de compte de service divulguée a été utilisée Mouvement latéral : disque de démarrage modifié associé à l'instance (preview) Persistance : ajout d'une clé SSH par l'administrateur GCE Persistance : ajout d'un script de démarrage par l'administrateur GCE Persistance : nouvelle méthode d'API d'IA Persistance : nouvelle méthode d'API Persistance : nouvelle zone géographique Persistance : nouvelle zone géographique pour le service d'IA Persistance : Nouvel agent utilisateur Persistance : autorisation liée à l'IA sensible ajoutée à un rôle personnalisé Persistance : rôle sensible attribué à un agent IA externe Persistance : rôle sensible accordé par un agent IA Élévation des privilèges : emprunt d'identité anormal d'un compte de service pour les activités d'administration Élévation des privilèges : emprunt d'identité anormal d'un compte de service pour une activité d'administration d'IA Élévation des privilèges : délégation de compte de service multi-étapes anormale pour les activités d'administration Élévation des privilèges : délégation de compte de service multi-étapes anormale pour une activité d'administration d'IA Élévation des privilèges : emprunt d'identité anormal d'un compte de service pour les activités d'administration Élévation des privilèges : emprunt d'identité anormal d'un compte de service pour une activité d'administration d'IA	Aucun
Journaux d'audit des activités d'administration Google Kubernetes Engine (GKE)	Accès aux identifiants : échec de la tentative d'approbation de la requête de signature de certificat (CSR) Kubernetes Accès aux identifiants : requête de signature de certificat (CSR) Kubernetes approuvée manuellement (preview) Contournement des systèmes de défense : accès administrateur de cluster accordé aux sessions anonymes Évasion de la défense : requête de signature de certificat (CSR) supprimée manuellement Contournement des défenses : dissimulation potentielle de pod Kubernetes Contournement des défenses : pod statique créé Exécution : lancement d'un conteneur GKE doté de capacités excessives (bêta) Exécution : pod Kubernetes créé avec de potentiels arguments de shell inversé Exécution : exécution suspecte d'un pod système ou association suspecte à un pod système (preview) Exécution : charge de travail déclenchée dans un espace de noms sensible Impact : détection d'une modification de kube-dns dans GKE (bêta) Impact : noms de conteneurs Kubernetes suspects – Minage de cryptomonnaie Accès initial : ressource GKE anonyme créée à partir d'Internet (preview) Accès initial : service NodePort créé dans GKE Accès initial : ressource GKE modifiée anonymement à partir d'Internet (bêta) Accès initial : appel d'API réussi à partir d'une adresse IP de proxy TOR Persistance : configuration de webhook GKE détectée Persistance : compte de service créé dans un espace de noms sensible Élévation des privilèges : modifications apportées à des objets Kubernetes RBAC sensibles Élévation des privilèges : ClusterRole contenant des verbes avec privilèges (Preview) Élévation des privilèges : ClusterRoleBinding pour un rôle avec privilèges Élévation des privilèges : création d'une requête de signature de certificat Kubernetes pour le certificat principal Élévation des privilèges : création de liaisons Kubernetes sensibles Élévation des privilèges : accès au cluster GKE accordé aux utilisateurs anonymes Élévation des privilèges : exécution d'un conteneur Kubernetes privilégié Élévation des privilèges : noms de conteneurs Kubernetes suspects - Exploitation et fuite (preview) Élévation des privilèges : charge de travail créée avec une installation de chemin d'hôte sensible (preview) Élévation des privilèges : charge de travail avec shareProcessNamespace activé (preview)	Aucun
Journaux d'audit pour les activités d'administration IAM	Persistance : octroi anormal d'autorisations IAM (preview) Persistance : rôle sensible attribué à un compte non géré Élévation des privilèges : SetIAMPolicy du compte de service Compute Engine par défaut Élévation des privilèges : rôle sensible attribué à un compte de service inactif Élévation des privilèges : rôle autorisant l'emprunt d'identité attribué à un compte de service inactif Élévation des privilèges : rôle sensible attribué au groupe hybride	Aucun
Journaux d'audit des événements système IAM	Exécution : image Docker de minage de cryptomonnaie Impact : commandes de minage de cryptomonnaie	Aucun
Journaux d'activité d'administration MySQL	Exfiltration : restauration de la sauvegarde Cloud SQL dans l'organisation externe	Aucun
Journaux d'activité d'administration PostgreSQL	Exfiltration : restauration de la sauvegarde Cloud SQL dans l'organisation externe	Aucun
Journaux d'activité d'administration SQL Server	Exfiltration : restauration de la sauvegarde Cloud SQL dans l'organisation externe	Aucun
Journaux d'audit VPC Service Controls	Defense Evasion : Modifier VPC Service Controls (bêta)	Aucun

Étapes suivantes

• Découvrez comment utiliser Event Threat Detection.
• Découvrez comment examiner et développer des plans d'intervention sur les menaces.