Exfiltración: exfiltración de datos de BigQuery iniciada por Agent Engine

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Los resultados devueltos por Exfiltration: Agent Engine Initiated BigQuery Data Exfiltration contienen una de las dos subreglas posibles. Cada subregla tiene una gravedad diferente:

  • Subregla agent_engine_exfil_to_external_table con gravedad HIGH:
    • Un agente desplegado en Vertex AI Agent Engine ha guardado un recurso fuera de tu organización o proyecto. Esta subregla corresponde al módulo AGENT_ENGINE_BIG_QUERY_EXFIL_TO_EXTERNAL_TABLE.
  • Subregla agent_engine_vpc_perimeter_violation con gravedad LOW:
    • Los Controles de Servicio de VPC han bloqueado una operación de copia o un intento de acceder a recursos de BigQuery iniciado por un agente implementado en Vertex AI Agent Engine. Esta subregla corresponde al módulo AGENT_ENGINE_BIG_QUERY_EXFIL_VPC_PERIMETER_VIOLATION.

Event Threat Detection es la fuente de esta detección.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre el resultado Exfiltration: Agent Engine Initiated BigQuery Data Exfiltration, tal como se indica en el artículo Revisar los resultados.

  2. En la pestaña Resumen del panel de detalles de la detección, consulta los valores que se indican en las siguientes secciones:

    • Qué se detectó:
      • Gravedad: la gravedad es HIGH para la subregla agent_engine_exfil_to_external_table o LOW para la subregla agent_engine_vpc_perimeter_violation.
      • Correo principal: la cuenta que se ha usado para extraer los datos.
      • Fuentes de exfiltración: detalles sobre las tablas de las que se han exfiltrado datos.
      • Destinos de filtraciones externas: detalles sobre las tablas en las que se almacenaron los datos filtrados.
    • Recurso afectado:
      • Nombre completo del recurso: el nombre completo del recurso del proyecto, la carpeta o la organización de los que se han filtrado datos.
    • Enlaces relacionados:
      • URI de Cloud Logging: enlace a las entradas de registro.
      • Método MITRE ATT&CK: enlace a la documentación de MITRE ATT&CK.
      • Hallazgos relacionados: enlaces a los hallazgos relacionados.

  3. Haga clic en la pestaña Propiedades de origen y revise los campos que se muestran, especialmente:

    • detectionCategory:
      • subRuleName: agent_engine_exfil_to_external_table o agent_engine_vpc_perimeter_violation.
    • evidence:
      • sourceLogId:
        • projectId: el proyecto Google Cloud que contiene el conjunto de datos de BigQuery de origen.
    • properties
      • dataExfiltrationAttempt
        • jobLink: el enlace al trabajo de BigQuery que ha exfiltrado los datos.
        • query: la consulta SQL ejecutada en el conjunto de datos de BigQuery.

  4. También puede hacer clic en la pestaña JSON para ver la lista completa de las propiedades JSON de la detección.

Paso 2: Revisa los permisos y la configuración

  1. En la consola de Google Cloud , ve a la página Gestión de identidades y accesos.

    Ir a IAM

  2. Si es necesario, seleccione el proyecto que aparece en el campo projectId del JSON del resultado.

  3. En la página que aparece, en el cuadro Filtrar, introduce la dirección de correo que figura en Correo principal y comprueba qué permisos se han asignado a la cuenta.

Paso 3: Consulta los registros

  1. En la pestaña Resumen del panel de detalles de la detección, haz clic en el enlace URI de Cloud Logging para abrir Explorador de registros.

  2. Para encontrar registros de actividad de administrador relacionados con tareas de BigQuery, usa los siguientes filtros:

    • protoPayload.methodName="Jobservice.insert"
    • protoPayload.methodName="google.cloud.bigquery.v2.JobService.InsertJob"

Paso 4: Investiga los métodos de ataque y respuesta

  1. Consulta la entrada del framework ATT&CK de MITRE para este tipo de resultado: Exfiltración a Cloud Storage.
  2. Para consultar los hallazgos relacionados, haga clic en el enlace de la sección Hallazgos relacionados de la fila Hallazgos relacionados de la pestaña Resumen de los detalles del hallazgo. Los hallazgos relacionados son del mismo tipo y se producen en la misma instancia y red.
  3. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE.

Paso 5: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

Siguientes pasos