השפעה: תמונת Google Cloud Backup and DR תפוג

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

גורם זדוני פוטנציאלי ביקש למחוק תמונת גיבוי.

המקור של הממצא הזה הוא Event Threat Detection.

איך מגיבים

כדי להגיב לממצא הזה:

שלב 1: בדיקת פרטי הממצא

  1. פותחים את הממצא Inhibit System Recovery: Google Cloud Backup and DR expire image, כמו שמתואר במאמר בדיקת הממצאים. חלונית הפרטים של הממצא נפתחת בכרטיסייה סיכום.
  2. בכרטיסייה סיכום, בודקים את המידע בקטעים הבאים:
    • מה זוהה, במיוחד השדות הבאים:
      • שם המדיניות: השם של מדיניות יחידה, שמגדירה את תדירות הגיבוי, לוח הזמנים וזמן השמירה
      • שם התבנית: השם של קבוצת מדיניות שמגדירה את תדירות הגיבוי, לוח הזמנים וזמן השמירה
      • שם הפרופיל: מציין את יעד האחסון לגיבויים של נתוני אפליקציות ומכונות וירטואליות
      • הנושא העיקרי: משתמש שביצע פעולה בהצלחה
    • מקור המידע שהושפע
      • השם המוצג של המשאב: הפרויקט שבו נמחקה תמונת הגיבוי
    • קישורים קשורים, במיוחד השדות הבאים:
      • שיטת MITRE ATTACK: קישור למסמכי התיעוד של MITRE ATT&CK
      • Logging URI: קישור לפתיחת Logs Explorer

שלב 2: מחקר על שיטות התקפה ותגובה

פונים לבעלים של חשבון השירות בשדה Principal email (כתובת האימייל של חשבון המשתמש). בודקים אם הבעלים החוקי ביצע את הפעולה.

שלב 3: מיישמים את התגובה

  1. בפרויקט שבו בוצעה הפעולה, עוברים אל מסוף הניהול.
  2. עוברים לכרטיסייה מעקב ובוחרים באפשרות משימות כדי לבדוק את הסטטוס של משימת מחיקת הגיבוי.
  3. אם משימת מחיקה לא מאושרת, צריך לעבור להרשאות IAM כדי לבדוק את המשתמשים שיש להם גישה לנתוני הגיבוי.

דוגמה למציאת JSON

הנה דוגמה ל-JSON של הממצא.

{
  "finding": {
    "access": {
      "principalEmail": "USER_EMAIL",
      "callerIp": "IP_ADDRESS",
      "callerIpGeo": {
        "regionCode": "REGION_CODE"
      },
      "serviceName": "backupdr.googleapis.com",
      "methodName": "expireBackup",
      "principalSubject": "user:USER_EMAIL"
    },
    "attackExposure": {},
    "backupDisasterRecovery": {
      "backupTemplate": "TEMPLATE_NAME",
      "policies": [
        "POLICY_NAME"
      ],
      "profile": "PROFILE_NAME",
      "backupCreateTime": "EVENT_TIMESTAMP"
    },
    "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/locations/FINDING_LOCATION/findings/FINDING_ID",
    "category": "Impact: Google Cloud Backup and DR expire image",
    "cloudDlpDataProfile": {},
    "cloudDlpInspection": {},
    "createTime": "EVENT_TIMESTAMP",
    "database": {},
    "description": "A user requested the deletion of a backup image from the Google Cloud Backup and DR Service. The deletion of a backup image does not prevent future backups.",
    "eventTime": "EVENT_TIMESTAMP",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/etd",
    "indicator": {},
    "kernelRootkit": {},
    "kubernetes": {},
    "mitreAttack": {
      "primaryTactic": "IMPACT",
      "primaryTechniques": [
        "DATA_DESTRUCTION"
      ]
    },
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "parentDisplayName": "Event Threat Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "severity": "HIGH",
    "state": "ACTIVE",
    "vulnerability": {},
    "externalSystems": {}
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "display_name": "PROJECT_ID",
    "type": "google.cloud.resourcemanager.Project",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "project_display_name": "PROJECT_ID",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "FOLDER_NAME",
    "folders": []
  },
  "sourceProperties": {
    "sourceId": {
      "projectNumber": "PROJECT_NUMBER",
      "customerOrganizationNumber": "ORGANIZATION_ID"
    },
    "detectionCategory": {
      "ruleName": "backup_expire_image"
    },
    "detectionPriority": "MEDIUM",
    "affectedResources": [
      {
        "gcpResourceName": "//backupdr.googleapis.com/projects/PROJECT_NUMBER"
      },
      {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }
    ],
    "evidence": [
      {
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "0",
            "nanos": 0.0
          },
          "insertId": "INSERT_ID"
        }
      }
    ],
    "properties": {},
    "findingId": "FINDING_ID",
    "contextUris": {
      "mitreUri": {
        "displayName": "MITRE Link",
        "url": "https://attack.mitre.org/techniques/T1485/"
      },
      "cloudLoggingQueryUri": [
        {
          "displayName": "Cloud Logging Query Link",
          "url": "LINK_TO_LOG_QUERY"
        }
      ],
      "relatedFindingUri": {}
    },
    "description": "A user requested the deletion of a backup image from the Google Cloud Backup and DR Service. The deletion of a backup image does not prevent future backups.",
    "backupDisasterRecovery": {
      "backupTemplate": "TEMPLATE_NAME",
      "policies": [
        "POLICY_NAME"
      ],
      "profile": "PROFILE_NAME"
    }
  }
}

המאמרים הבאים