Descubrimiento: Autoinvestigación de la cuenta de servicio de Agent Engine

En este documento, se describe un tipo de hallazgo de amenazas en Security Command Center. Los detectores de amenazas generan hallazgos de amenazas cuando identifican una posible amenaza en tus recursos de Cloud. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.

Descripción general

Se usa una credencial de la cuenta de servicio para investigar los roles y los permisos asociados con esa misma cuenta de servicio iniciada por un agente implementado en Vertex AI Agent Engine. Este hallazgo indica que las credenciales de la cuenta de servicio pueden estar comprometidas y se debe tomar medidas inmediatas.

Event Threat Detection es la fuente de este hallazgo.

Cómo responder

Para responder a este hallazgo, haz lo siguiente:

Paso 1: Revisa los detalles del hallazgo

  1. Abre un hallazgo de Discovery: Agent Engine Service Account Self-Investigation, como se indica en Revisa los detalles de hallazgos antes en esta página. Se abrirá el panel de detalles del hallazgo en la pestaña Resumen.

  2. En la pestaña Resumen, revisa la información de las siguientes secciones:

    • Qué se detectó, especialmente los siguientes campos:
      • Gravedad: Es el nivel de riesgo asignado al hallazgo. La gravedad es HIGH si la llamada a la API que activó este resultado no estaba autorizada; la cuenta de servicio no tiene permiso para consultar sus propios permisos de IAM con la API de projects.getIamPolicy.
      • Correo electrónico principal: Es la cuenta de servicio potencialmente comprometida.
      • IP de la persona que llama: La dirección IP interna o externa
    • Recurso afectado, en especial los siguientes campos:
      • Nombre completo del recurso:
      • Nombre completo del proyecto: Es el proyecto que contiene las credenciales de la cuenta que se podrían filtrar.
    • Vínculos relacionados, en especial los siguientes campos:
      • URI de Cloud Logging: Es el vínculo a las entradas de Logging.
      • Método MITRE ATT&CK: Vínculo a la documentación de MITRE ATT&CK.
      • Resultados relacionados: Vínculos a los resultados relacionados
    1. Para ver el JSON completo del hallazgo, haz clic en la pestaña JSON.

Paso 2: revisa los permisos del proyecto y de la cuenta de servicio

  1. En la consola de Google Cloud , dirígete a la página IAM.

    Ir a IAM

  2. Si es necesario, selecciona el proyecto que aparece en el campo projectID del JSON del hallazgo.

  3. En la página que aparece, en el cuadro Filtro, ingresa el nombre de la cuenta que aparece en Correo electrónico principal y verifica los permisos asignados. Si no ves la cuenta de servicio, es posible que se trate de una cuenta de servicio de Vertex AI Agent Engine proporcionada por Google. En este caso, selecciona Incluir asignaciones de roles proporcionadas por Google para ver la cuenta de servicio.

  4. En el caso de la cuenta de servicio de Vertex AI Agent Engine que no proporciona Google, en la consola de Google Cloud , ve a la página Cuentas de servicio.

    Ir a Cuentas de servicio

  5. En el caso de la cuenta de servicio de Vertex AI Agent Engine que no proporciona Google, en la página que aparece, en el cuadro Filtro, ingresa el nombre de la cuenta de servicio comprometida y verifica las claves y las fechas de creación de las claves de la cuenta de servicio.

Paso 3: Comprueba los registros

  1. En la pestaña Resumen del panel de detalles del hallazgo, haz clic en el vínculo URI de Cloud Logging para abrir el Explorador de registros.
  2. Si es necesario, selecciona tu proyecto.
  3. En la página que se carga, usa los siguientes filtros para verificar los registros en busca de actividad de los recursos de IAM nuevos o actualizados:
    • proto_payload.method_name="google.iam.admin.v1.CreateServiceAccount"
    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

Paso 4: Investiga los métodos de ataque y respuesta

  1. Revisa la entrada del framework de MITRE ATT&CK para este tipo de resultado: Descubrimiento de los grupos de permisos: grupos de Cloud.
  2. Para desarrollar un plan de respuesta, combina los resultados de la investigación con la investigación del MITRE.

Paso 5: Implementa tu respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas en tu investigación para determinar la mejor manera de resolver los hallazgos.

  • Comunícate con el propietario del proyecto en el que se encuentra la cuenta vulnerada.
  • Si la cuenta de servicio vulnerada es una cuenta de servicio de Vertex AI Agent Engine proporcionada por Google, no podrás borrarla directamente. En este caso, limita los permisos de la cuenta de servicio al mínimo requerido. De lo contrario, borra la cuenta de servicio vulnerada, y rota y borra todas las claves de acceso de la cuenta de servicio del proyecto vulnerado. Después de la eliminación, los recursos que usan la cuenta de servicio para la autenticación perderán el acceso.
  • Borra los recursos del proyecto que creó la cuenta vulnerada, como instancias desconocidas de Compute Engine, instantáneas, cuentas de servicio y usuarios de IAM.

¿Qué sigue?