Persistensi: Geografi Baru untuk Layanan AI

Dokumen ini menjelaskan jenis temuan ancaman di Security Command Center. Temuan ancaman dihasilkan oleh detektor ancaman saat mendeteksi potensi ancaman di resource cloud Anda. Untuk daftar lengkap temuan ancaman yang tersedia, lihat Indeks temuan ancaman.

Ringkasan

Temuan ini tidak tersedia untuk aktivasi level project.

Akun layanan atau pengguna IAM mengakses Google Cloud layanan AI dari lokasi yang anomali, berdasarkan geolokasi alamat IP yang meminta.

Event Threat Detection adalah sumber temuan ini.

Cara merespons

Untuk merespons temuan ini, lakukan hal berikut:

Langkah 1: Tinjau detail temuan

  1. Buka temuan Persistence: New Geography for AI Service, seperti yang diarahkan di Meninjau detail temuan sebelumnya di halaman ini. Panel detail untuk temuan akan terbuka di tab Ringkasan.

  2. Di tab Ringkasan, tinjau informasi di bagian berikut:

  • Yang terdeteksi, terutama kolom berikut:
    • Email utama: akun pengguna yang berpotensi disusupi.
    • Resource AI: resource AI yang berpotensi terpengaruh, seperti resource Agent Platform dan model AI.
  • Resource yang terpengaruh, terutama kolom berikut:
    • Nama lengkap project: project yang berisi akun pengguna yang berpotensi disusupi.
  • Link terkait, terutama kolom berikut:
    • URI Cloud Logging: link ke entri Logging.
    • Metode MITRE ATT&CK: link ke dokumentasi MITRE ATT&CK.
    • Temuan terkait: link ke temuan terkait.
  1. Di tampilan detail temuan, klik tab JSON.

  2. Di JSON, perhatikan kolom sourceProperties berikut:

    • affectedResources:
      • gcpResourceName: resource yang terpengaruh
    • evidence:
      • sourceLogId:
      • projectId: ID project yang berisi temuan.
    • properties:
      • anomalousLocation:
      • anomalousLocation: perkiraan lokasi pengguna saat ini.
      • callerIp: alamat IP eksternal.
      • notSeenInLast: jangka waktu yang digunakan untuk menetapkan dasar pengukuran perilaku normal.
      • typicalGeolocations: lokasi tempat pengguna biasanya mengakses Google Cloud resource.
    • aiModel:
      • name: AI Model yang terpengaruh
    • vertexAi:
      • datasets: set data Platform Agen yang terpengaruh
      • pipelines: pipeline pelatihan Platform Agen yang terpengaruh

Langkah 2: Tinjau izin project dan akun

  1. Di Google Cloud konsol, buka halaman IAM.

    Buka IAM

  2. Jika perlu, pilih project yang tercantum di kolom projectID dalam JSON temuan.

  3. Di halaman yang muncul, di kotak Filter, masukkan nama akun yang tercantum di Email utama dan periksa peran yang diberikan.

Langkah 3: Periksa log

  1. Di tab Ringkasan panel detail temuan, klik link URI Cloud Logging untuk membuka Logs Explorer.
  2. Jika perlu, pilih project Anda.
  3. Di halaman yang dimuat, periksa log untuk aktivitas dari resource IAM baru atau yang diperbarui menggunakan filter berikut:
    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.methodName="google.iam.admin.v1.UpdateRole"
    • protoPayload.methodName="google.iam.admin.v1.CreateRole"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

Langkah 4: Teliti metode serangan dan respons

  1. Tinjau entri framework MITRE ATT&CK untuk jenis temuan ini: Valid Accounts: Cloud Accounts.
  2. Untuk mengembangkan rencana respons, gabungkan hasil penyelidikan Anda dengan penelitian MITRE.

Langkah 5: Terapkan respons Anda

Rencana respons berikut mungkin sesuai untuk temuan ini, tetapi juga dapat memengaruhi operasi. Evaluasi dengan cermat informasi yang Anda kumpulkan dalam penyelidikan untuk menentukan cara terbaik dalam menyelesaikan temuan.

  • Hubungi pemilik project dengan akun yang disusupi.
  • Tinjau kolom anomalousLocation, typicalGeolocations, dan notSeenInLast untuk memverifikasi apakah aksesnya tidak normal dan apakah akun tersebut telah disusupi.
  • Hapus resource project yang dibuat oleh akun yang tidak sah, seperti instance Compute Engine, snapshot, akun layanan, dan pengguna IAM yang tidak dikenal.
  • Untuk membatasi pembuatan resource baru ke region tertentu, lihat Membatasi lokasi resource.
  • Untuk mengidentifikasi dan memperbaiki peran yang terlalu permisif, gunakan IAM Recommender.

Contoh JSON temuan

Berikut adalah contoh JSON temuan.

{
  "finding": {
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "resourceName": "//aiplatform.googleapis.com/projects/PROJECT_NUMBER/locations/us-central1/models/MODEL_NAME",
    "state": "ACTIVE",
    "category": "Persistence: New Geography for AI Service",
    "serviceName": "aiplatform.googleapis.com",
    "methodName": "METHOD_NAME",
    "mitreAttack": {
      "primaryTactic": "PERSISTENCE",
      "primaryTechniques": [
        "CLOUD_ACCOUNTS"
      ]
    },
    "domains": [
      {
        "category": "AI"
      },
      {
        "category": "IDENTITY_AND_ACCESS"
      }
    ],
    "aiModel": {
      "name": "//aiplatform.googleapis.com/projects/PROJECT_NUMBER/locations/us-central1/models/MODEL_NAME",
      "deploymentPlatform": "VERTEX_AI"
    },
    "securityMarks": {
      "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID/securityMarks"
    },
    "eventTime": "2021-04-09T18:59:43.860Z",
    "createTime": "2021-04-09T18:59:44.440Z",
    "severity": "LOW",
    "workflowState": "NEW",
    "canonicalName": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "displayName": "projects/PROJECT_NUMBER/locations/us-central1/models/MODEL_NAME",
    "gcpMetadata": {
      "project": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
      "projectDisplayName": "PROJECT_ID",
      "parent": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
      "parentDisplayName": "PROJECT_ID",
      "organization": "organizations/ORGANIZATION_ID"
    },
    "type": "google.aiplatform.Model",
    "folders": []
  },
  "sourceProperties": {
    "sourceId": {
      "projectNumber": "PROJECT_NUMBER",
      "customerOrganizationNumber": "ORGANIZATION_ID"
    },
    "detectionCategory": {
      "ruleName": "ai_iam_anomalous_behavior_ip_geolocation"
    },
    "detectionPriority": "MEDIUM",
    "affectedResources": [
      {
        "gcpResourceName": "//aiplatform.googleapis.com/projects/PROJECT_NUMBER/locations/us-central1/models/MODEL_NAME"
      },
      {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }
    ],
    "evidence": [
      {
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "1675913160",
            "nanos": 929341814
          },
          "insertId": "o5ii7hddddd"
        }
      }
    ],
    "properties": {},
    "findingId": "FINDING_ID",
    "contextUris": {
      "mitreUri": {
        "displayName": "MITRE Link",
        "url": "https://attack.mitre.org/techniques/T1078/004/"
      }
    }
  }
}

Langkah berikutnya