Elevación de privilegios: Uso anómalo de la identidad temporal como cuenta de servicio para las actividades del administrador de IA

En este documento, se describe un tipo de hallazgo de amenazas de Security Command Center. Los detectores de amenazas generan hallazgos cuando identifican una posible amenaza en tus recursos alojados en la nube. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.

Descripción general

Anomalous Service Account Impersonator se detecta cuando los registros de auditoría de actividad del administrador de un servicio de IA muestran que se produjo una anomalía en una solicitud de identidad temporal como cuenta de servicio.

Event Threat Detection es la fuente de este hallazgo.

Cómo se debe responder

Para responder a este hallazgo, sigue los pasos que se indican a continuación:

Paso 1: Revisa los detalles del hallazgo

  1. Abre un hallazgo de Privilege Escalation: Anomalous Service Account Impersonator for AI Admin Activity como se indica en Revisa los hallazgos. Se abrirá el panel de detalles del hallazgo en la pestaña Resumen.

  2. En la pestaña Resumen, revisa la información de las secciones que se indican a continuación:

    • Qué se detectó, en especial, los campos siguientes:
      • Correo electrónico del principal: Es la cuenta de servicio final indicada en la solicitud de suplantación de identidad que se usó para acceder a Google Cloud.
      • Nombre del método: Es el método al que se llamó.
      • Información de delegación de la cuenta de servicio: Son los datos de las cuentas de servicio presentes en la cadena de delegación. La principal, que se encuentra en la parte inferior de la lista, es el emisor de la solicitud de suplantación de identidad.
      • Recursos de IA: Son los recursos de IA que podrían verse afectados, como los de Vertex AI y el modelo de IA.
    • Recurso afectado
    • Vínculos relacionados, en especial, los campos siguientes:
      • URI de Cloud Logging: Es el vínculo a las entradas de Logging.
      • Método MITRE ATT&CK: Es el vínculo a la documentación de MITRE ATT&CK.
      • Hallazgos relacionados: Son los vínculos a los hallazgos relacionados.

Paso 2: Investiga los métodos de ataque y respuesta

  1. Comunícate con el propietario de la cuenta de servicio en el campo Correo electrónico del principal. Confirma si el propietario legítimo llevó a cabo la acción.
  2. Investiga las entidades principales de la cadena de delegación para verificar si la solicitud es anormal y si alguna cuenta se vio comprometida.
  3. Comunícate con el propietario de la persona que llama a la suplantación de identidad en la lista Información de delegación de la cuenta de servicio. Confirma si el propietario legítimo llevó a cabo la acción.

Paso 3: Implementa la respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas durante la investigación para determinar la mejor manera de resolver los hallazgos.

  • Comunícate con el propietario del proyecto en el que se llevó a cabo la acción.
  • Considera borrar la cuenta de servicio que podría estar vulnerada, además de rotar y borrar todas las claves de acceso de la cuenta de servicio del proyecto que podría estar vulnerado. Después de la eliminación, los recursos que usan la cuenta de servicio para la autenticación perderán el acceso. Antes de continuar, el equipo de seguridad debe identificar todos los recursos afectados y trabajar con los propietarios de los recursos para garantizar la continuidad empresarial.
  • Trabaja con el equipo de seguridad para identificar recursos desconocidos, incluidos instancias de Compute Engine, instantáneas, cuentas de servicio y usuarios de IAM. Borra los recursos que se crearon con cuentas no autorizadas.
  • Responde a las notificaciones de Atención al cliente de Cloud.
  • Para limitar quién puede crear cuentas de servicio, usa el Servicio de políticas de la organización.
  • Para identificar y corregir roles demasiado permisivos, usa el recomendador de IAM.

¿Qué sigue?