Exfiltration: Agent Engine-initiierte BigQuery-Daten-Exfiltration

In diesem Dokument wird ein bestimmter Typ von Bedrohungsergebnissen in Security Command Center beschrieben. Bedrohungsergebnisse werden von Bedrohungsdetektoren generiert, wenn sie eine potenzielle Bedrohung in Ihren Cloud-Ressourcen erkennen. Eine vollständige Liste der verfügbaren Bedrohungsergebnisse finden Sie im Index der Bedrohungsergebnisse.

Übersicht

Ergebnisse, die von Exfiltration: Agent Engine Initiated BigQuery Data Exfiltration zurückgegeben werden, enthalten eine von zwei möglichen Unterregeln. Jede untergeordnete Regel hat einen anderen Schweregrad:

  • Unterregel agent_engine_exfil_to_external_table mit Schweregrad = HIGH:
    • Eine Ressource wurde außerhalb Ihrer Organisation oder Ihres Projekts gespeichert, das von einem in Vertex AI Agent Engine bereitgestellten Agenten initiiert wurde. Diese untergeordnete Regel entspricht dem Modul AGENT_ENGINE_BIG_QUERY_EXFIL_TO_EXTERNAL_TABLE.
  • Unterregel agent_engine_vpc_perimeter_violation mit Schweregrad = LOW:
    • VPC Service Controls hat einen Kopiervorgang oder einen Zugriffsversuch auf BigQuery-Ressourcen blockiert, der von einem in Vertex AI Agent Engine bereitgestellten Agenten initiiert wurde. Diese untergeordnete Regel entspricht dem Modul AGENT_ENGINE_BIG_QUERY_EXFIL_VPC_PERIMETER_VIOLATION.

Die Quelle dieses Ergebnisses ist Event Threat Detection.

Maßnahmen

So reagieren Sie auf dieses Ergebnis:

Schritt 1: Ergebnisdetails prüfen

  1. Öffnen Sie das Exfiltration: Agent Engine Initiated BigQuery Data Exfiltration-Ergebnis, wie unter Ergebnisse prüfen beschrieben.

  2. Sehen Sie sich auf dem Tab Zusammenfassung des Bereichs „Ergebnisdetails“ die aufgeführten Werte in den folgenden Abschnitten an:

    • Was wurde erkannt?:
      • Schweregrad: Der Schweregrad ist entweder HIGH für die Unterregel agent_engine_exfil_to_external_table oder LOW für die Unterregel agent_engine_vpc_perimeter_violation.
      • Haupt-E-Mail-Adresse: Das Konto, das zum Exfiltrieren der Daten verwendet wird.
      • Exfiltrationsquellen: Details zu den Tabellen, aus denen Daten exfiltriert wurden.
      • Exfiltrationsziele: Details zu den Tabellen, in denen exfiltrierte Daten gespeichert wurden.
    • Betroffene Ressource:
      • Vollständiger Name der Ressource: Der vollständige Ressourcenname des Projekts, Ordners oder der Organisation, aus dem Daten exfiltriert wurden.
    • Weitere Informationen:
      • Cloud Logging-URI: Link zu Logging-Einträgen.
      • MITRE-ATT&CK-Methode: Link zur MITRE-ATT&CK-Dokumentation.
      • Ähnliche Ergebnisse: Links zu ähnlichen Ergebnissen.

  3. Klicken Sie auf den Tab Quellattribute und sehen Sie sich die angezeigten Felder an, insbesondere:

    • detectionCategory:
      • subRuleName: entweder agent_engine_exfil_to_external_table oder agent_engine_vpc_perimeter_violation.
    • evidence:
      • sourceLogId:
        • projectId: das Google Cloud Projekt, das das BigQuery-Quelldataset enthält.
    • properties
      • dataExfiltrationAttempt
        • jobLink: der Link zum BigQuery-Job, der Daten exfiltriert hat.
        • query: die SQL-Abfrage, die für das BigQuery-Dataset ausgeführt wird.

  4. Optional: Klicken Sie auf den Tab JSON, um die vollständige Liste der JSON-Attribute des Ergebnisses aufzurufen.

Schritt 2: Berechtigungen und Einstellungen prüfen

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Wählen Sie bei Bedarf das Projekt aus, das im Feld projectId im JSON-Ergebnis aufgeführt ist.

  3. Geben Sie auf der angezeigten Seite im Feld Filter die E-Mail-Adresse ein, die unter E-Mail-Adresse des Hauptkontos aufgeführt ist, und prüfen Sie, welche Berechtigungen dem Konto zugewiesen sind.

Schritt 3: Protokolle prüfen

  1. Klicken Sie im Detailbereich für das Ergebnis auf dem Tab „Zusammenfassung“ auf den Link Cloud Logging-URI, um den Log-Explorer zu öffnen.

  2. Suchen Sie mit den folgenden Filtern nach Administratoraktivitätslogs, die sich auf BigQuery-Jobs beziehen:

    • protoPayload.methodName="Jobservice.insert"
    • protoPayload.methodName="google.cloud.bigquery.v2.JobService.InsertJob"

Schritt 4: Angriffs- und Reaktionsmethoden untersuchen

  1. Sehen Sie sich den MITRE-ATT&CK-Framework-Eintrag für diesen Ergebnistyp an: Exfiltration to Cloud Storage.
  2. Klicken Sie auf den Tab Zusammenfassung der Ergebnisdetails und dann in der Zeile Ähnliche Ergebnisse auf den Link unter Ähnliche Ergebnisse, um ähnliche Ergebnisse aufzurufen. Ähnliche Ergebnisse sind für dieselbe Instanz und dasselbe Netzwerk identisch.
  3. Um einen Antwortplan zu entwickeln, kombinieren Sie Ihre Prüfungsergebnisse mit der MITRE-Studie.

Schritt 5: Antwort implementieren

Der folgende Reaktionplan ist möglicherweise für dieses Ergebnis geeignet, kann sich jedoch auch auf Abläufe auswirken. Prüfen Sie die Informationen, die Sie im Rahmen Ihrer Untersuchung erfasst haben, sorgfältig, um die beste Lösung für die Behebung der Ergebnisse zu finden.

Nächste Schritte