検出: Agent Engine: 未承認のサービス アカウント API 呼び出し

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

エージェント ID が未承認のプロジェクト間 API 呼び出しを行いました。検出結果は、デフォルトで重大度「低」に分類されます。

この検出結果のソースは Event Threat Detection です。

対処方法

この検出結果に対応する手順は次のとおりです。

検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、Discovery: Agent Engine Unauthorized Service Account API Call の検出結果を開きます。[概要] タブと [JSON] タブで詳細を確認します。

    • 検出された内容（特に次のフィールド）:
      • プリンシパルのメール: 変更を行ったアカウント。
      • メソッド名: 呼び出されたメソッド。
    • 影響を受けているリソース（特に次のフィールド）:
      • リソースの表示名: サービス アカウントがアクセスまたは変更を試みたリソース。
    • 関連リンク:
      • Cloud Logging URI: Logging エントリへのリンク。
      • MITRE ATT&CK 方式: MITRE ATT&CK ドキュメントへのリンク。

  2. このリソースで同様のタイミングで発生した他の検出結果を特定します。関連する検出結果は、このアクティビティがベスト プラクティスに従っていないのではなく、悪意のあるものであることを示している可能性があります。

  3. 影響を受けているリソースの設定を確認します。

  4. 影響を受けているリソースのログを確認します。

    1. Google Cloud コンソールの検出結果の詳細の [概要] タブで、[Cloud Logging URI] フィールドにあるリンクをクリックして [ログ エクスプローラ] に移動します。
    2. protoPayload.methodName フィールドと protoPayload.resourceName フィールドを確認して、API 呼び出しとそのターゲット リソースを把握します。

    3. 次のフィルタを使用して、プリンシパルが行ったその他のアクションを確認します。

      • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"
      • protoPayload.methodName="METHOD_NAME"
      • protoPayload.resourceName="RESOURCE_NAME"

      次のように置き換えます。

      • PRINCIPAL_EMAIL: 検出結果の詳細の [プリンシパル メール] フィールドからメモした値。
      • METHOD_NAME: 検出結果の詳細の [メソッド名] フィールドの値。
      • RESOURCE_NAME: 検出結果の詳細の [リソースの完全名] フィールドの値。

攻撃とレスポンスのメソッドを調査する

この検出結果タイプに対応する MITRE ATT&CK フレームワーク エントリ（Cloud Infrastructure Discovery）を確認します。

レスポンスを実装する

レスポンスの推奨事項については、AI の脅威の検出結果に対応するをご覧ください。

次のステップ