Exfiltration : extraction de données BigQuery initiée par Agent Engine

Ce document décrit un type de résultat de détection de menace dans Security Command Center. Ces résultats sont générés par les détecteurs de menaces lorsqu'ils détectent une menace potentielle dans vos ressources cloud. Pour obtenir la liste complète des résultats de détection de menace disponibles, consultez cet index.

Présentation

L'exfiltration de données initiée par un agent déployé dans Vertex AI Agent Engine à partir de BigQuery est détectée en examinant les journaux d'audit pour deux scénarios :

  • Une ressource est enregistrée dans un bucket Cloud Storage extérieur à votre organisation.
  • Une ressource est enregistrée dans un bucket Cloud Storage accessible au public et appartenant à votre organisation.

Pour les activations du niveau Premium de Security Command Center au niveau du projet, ce résultat n'est disponible que si le niveau Standard est activé dans l'organisation parente.

Event Threat Detection est la source de ce résultat.

Actions à mettre en place

Pour traiter ce résultat, procédez comme suit :

Étape 1 : Examiner les détails du résultat

  1. Ouvrez un résultat Exfiltration: Agent Engine Initiated BigQuery Data Extraction, comme indiqué dans la section Examiner les résultats. Le panneau des détails du résultat s'ouvre dans l'onglet Résumé.

  2. Dans l'onglet Résumé du panneau "Détails du résultat", examinez les valeurs listées dans les sections suivantes :

    • Risque détecté :
      • Adresse e-mail du compte principal : compte utilisé pour exfiltrer les données.
      • Sources d'exfiltration : détails concernant les tables à partir desquelles les données ont été exfiltrées.
      • Cibles d'exfiltration : détails concernant les tables dans lesquelles les données exfiltrées ont été stockées.
    • Ressource concernée :
      • Nom complet de la ressource : nom de la ressource BigQuery dont les données ont été exfiltrées.
      • Nom complet du projet : projet Google Cloud contenant l'ensemble de données BigQuery source.
    • Liens associés :
      • URI Cloud Logging : lien vers les entrées Logging.
      • Méthode MITRE ATT&CK : lien vers la documentation MITRE ATT&CK.
      • Résultats associés : liens vers les éventuels résultats associés.

  3. Dans le panneau des détails du résultat, cliquez sur l'onglet JSON.

  4. Dans le fichier JSON, notez les champs suivants.

    • sourceProperties :
      • evidence :
        • sourceLogId :
        • projectId : projet Google Cloud contenant l'ensemble de données BigQuery source.
      • properties :
        • extractionAttempt :
        • jobLink : lien vers la tâche BigQuery qui a exfiltré des données.

Étape 2 : Vérifier les autorisations et les paramètres

  1. Dans la console Google Cloud , accédez à la page IAM.

    Accéder à IAM

  2. Si nécessaire, sélectionnez le projet indiqué dans le champ projectId du JSON du résultat (à l'étape 1).

  3. Sur la page qui s'affiche, dans la zone Filtre, saisissez l'adresse e-mail répertoriée dans Adresse e-mail du compte principal (à l'étape 1) et vérifiez quelles autorisations sont attribuées au compte.

Étape 3 : Vérifier les journaux

  1. Dans l'onglet Résumé du panneau de détails du résultat, cliquez sur le lien URI Cloud Logging pour ouvrir l'explorateur de journaux.
  2. Recherchez les journaux d'activité d'administration liés aux tâches BigQuery à l'aide des filtres suivants :
    • protoPayload.methodName="Jobservice.insert"
    • protoPayload.methodName="google.cloud.bigquery.v2.JobService.InsertJob"

Étape 4 : Étudiez les méthodes d'attaque et de réponse

  1. Examinez l'entrée du framework MITRE ATT&CK pour ce type de résultat : Exfiltration vers Cloud Storage.
  2. Consultez les résultats associés en cliquant sur le lien de la ligne Résultats associés dans l'onglet Résumé des détails du résultat. Les résultats associés sont du même type de résultat, sur la même instance et sur le même réseau.
  3. Pour élaborer un plan de réponse, combinez les résultats de vos enquêtes avec la recherche MITRE.

Étape 5 : Mettez en œuvre votre plan de réponse

Le plan de réponse suivant peut être adapté à ce résultat, mais il peut également avoir un impact sur vos opérations. Veillez à bien évaluer les informations que vous collectez dans votre enquête pour déterminer quelle est la meilleure réponse à apporter aux problèmes soulevés par les résultats.

Étapes suivantes