Exfiltração: exfiltração de dados do BigQuery iniciada pelo motor do agente

Este documento descreve um tipo de deteção de ameaças no Security Command Center. As conclusões de ameaças são geradas por detetores de ameaças quando detetam uma potencial ameaça nos seus recursos da nuvem. Para ver uma lista completa das deteções de ameaças disponíveis, consulte o Índice de deteções de ameaças.

Vista geral

Os resultados devolvidos pela Exfiltration: Agent Engine Initiated BigQuery Data Exfiltration contêm uma de duas subregras possíveis. Cada subregra tem uma gravidade diferente:

  • Subregra agent_engine_exfil_to_external_table com gravidade = HIGH:
    • Um recurso foi guardado fora da sua organização ou projeto iniciado por um agente implementado no Vertex AI Agent Engine. Esta subregra corresponde ao módulo AGENT_ENGINE_BIG_QUERY_EXFIL_TO_EXTERNAL_TABLE.
  • Subregra agent_engine_vpc_perimeter_violation com gravidade = LOW:
    • Os VPC Service Controls bloquearam uma operação de cópia ou uma tentativa de acesso a recursos do BigQuery iniciada por um agente implementado no Vertex AI Agent Engine. Esta subregra corresponde ao módulo AGENT_ENGINE_BIG_QUERY_EXFIL_VPC_PERIMETER_VIOLATION.

A Deteção de ameaças de eventos é a origem desta descoberta.

Como responder

Para responder a esta descoberta, faça o seguinte:

Passo 1: reveja os detalhes da descoberta

  1. Abra a descoberta Exfiltration: Agent Engine Initiated BigQuery Data Exfiltration, conforme indicado em Rever descobertas.

  2. No separador Resumo do painel de detalhes da deteção, reveja os valores indicados nas seguintes secções:

    • O que foi detetado:
      • Gravidade: a gravidade é HIGH para a subregra agent_engine_exfil_to_external_table ou LOW para a subregra agent_engine_vpc_perimeter_violation.
      • Email principal: a conta usada para exfiltrar os dados.
      • Origens de exfiltração: detalhes sobre as tabelas a partir das quais os dados foram exfiltrados.
      • Alvos de exfiltração: detalhes sobre as tabelas onde os dados exfiltrados foram armazenados.
    • Recurso afetado:
      • Nome completo do recurso: o nome completo do recurso do projeto, da pasta ou da organização a partir do qual os dados foram exfiltrados.
    • Links relacionados:
      • URI do Cloud Logging: link para as entradas do Logging.
      • Método MITRE ATT&CK: link para a documentação do MITRE ATT&CK.
      • Resultados relacionados: links para resultados relacionados.

  3. Clique no separador Propriedades de origem e reveja os campos apresentados, especialmente:

    • detectionCategory:
      • subRuleName: agent_engine_exfil_to_external_table ou agent_engine_vpc_perimeter_violation.
    • evidence:
      • sourceLogId:
        • projectId: o Google Cloud projeto que contém o conjunto de dados do BigQuery de origem.
    • properties
      • dataExfiltrationAttempt
        • jobLink: o link para a tarefa do BigQuery que exfiltrou dados.
        • query: a consulta SQL executada no conjunto de dados do BigQuery.

  4. Opcionalmente, clique no separador JSON para ver a lista completa das propriedades JSON da descoberta.

Passo 2: reveja as autorizações e as definições

  1. Na Google Cloud consola, aceda à página IAM.

    Aceda ao IAM

  2. Se necessário, selecione o projeto indicado no campo projectId no JSON de deteção.

  3. Na página apresentada, na caixa Filtrar, introduza o endereço de email indicado em Email principal e verifique que autorizações estão atribuídas à conta.

Passo 3: verifique os registos

  1. No separador Resumo do painel de detalhes da descoberta, clique no link URI do Cloud Logging para abrir o explorador de registos.

  2. Encontre registos de atividade de administrador relacionados com tarefas do BigQuery através dos seguintes filtros:

    • protoPayload.methodName="Jobservice.insert"
    • protoPayload.methodName="google.cloud.bigquery.v2.JobService.InsertJob"

Passo 4: pesquise métodos de ataque e resposta

  1. Reveja a entrada da framework MITRE ATT&CK para este tipo de descoberta: Exfiltração para o Cloud Storage.
  2. Reveja as conclusões relacionadas clicando no link em Conclusões relacionadas na linha Conclusões relacionadas no separador Resumo dos detalhes da conclusão. As descobertas relacionadas são do mesmo tipo de descoberta na mesma instância e rede.
  3. Para desenvolver um plano de resposta, combine os resultados da sua investigação com a investigação da MITRE.

Passo 5: implemente a sua resposta

O seguinte plano de resposta pode ser adequado para esta descoberta, mas também pode afetar as operações. Avalie cuidadosamente as informações recolhidas na sua investigação para determinar a melhor forma de resolver as conclusões.

O que se segue?