Impacto: a imagem de expiração da cópia de segurança e da RD do Google Cloud

Este documento descreve um tipo de deteção de ameaças no Security Command Center. As conclusões de ameaças são geradas por detetores de ameaças quando detetam uma potencial ameaça nos seus recursos da nuvem. Para ver uma lista completa das conclusões de ameaças disponíveis, consulte o Índice de conclusões de ameaças.

Vista geral

Um interveniente potencialmente malicioso solicitou a eliminação de uma imagem de cópia de segurança.

A Deteção de ameaças com base em eventos é a origem desta descoberta.

Como responder

Para responder a esta descoberta, faça o seguinte:

Passo 1: reveja os detalhes da descoberta

  1. Abra a descoberta Inhibit System Recovery: Google Cloud Backup and DR expire image, conforme detalhado em Rever descobertas. O painel de detalhes da deteção é aberto no separador Resumo.
  2. No separador Resumo, reveja as informações nas seguintes secções:
    • O que foi detetado, especialmente os seguintes campos:
      • Nome da política: o nome de uma única política, que define a frequência, a programação e o tempo de retenção da cópia de segurança
      • Nome do modelo: o nome de um conjunto de políticas que definem a frequência, a programação e o tempo de retenção das cópias de segurança
      • Nome do perfil: especifica o destino de armazenamento para cópias de segurança de dados de aplicações e VMs
      • Sujeito principal: um utilizador que executou com êxito uma ação
    • Recurso afetado
      • Nome a apresentar do recurso: o projeto no qual a imagem de cópia de segurança foi eliminada
    • Links relacionados, especialmente os seguintes campos:
      • Método MITRE ATTACK: link para a documentação do MITRE ATT&CK
      • URI de registo: link para abrir o explorador de registos

Passo 2: pesquise métodos de ataque e resposta

Contacte o proprietário da conta de serviço no campo Email principal. Confirmar se o proprietário legítimo realizou a ação.

Passo 3: implemente a sua resposta

  1. No projeto onde a ação foi tomada, navegue para a consola de gestão.
  2. Navegue para o separador Monitorizar e selecione Tarefas para rever o estado da tarefa de eliminação da cópia de segurança.
  3. Se uma tarefa de eliminação não estiver autorizada, navegue para as autorizações do IAM para rever os utilizadores com acesso aos dados de cópia de segurança.

O que se segue?