Impacto: Se borró el host de Backup and DR de Google Cloud

En este documento, se describe un tipo de hallazgo de amenazas de Security Command Center. Los detectores de amenazas generan hallazgos cuando identifican una posible amenaza en tus recursos alojados en la nube. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.

Descripción general

Event Threat Detection examina los registros de auditoría para detectar la eliminación de hosts que ejecutan aplicaciones protegidas por el servicio Backup and DR. Después de que se borra un host, no se pueden crear copias de seguridad de las aplicaciones asociadas a él.

Event Threat Detection es la fuente de este hallazgo.

Cómo se debe responder

Para responder a este hallazgo, sigue los pasos que se indican a continuación:

Paso 1: Revisa los detalles del hallazgo

  1. Abre el hallazgo de Impact: Deleted Google Cloud Backup and DR host, como se detalla en Revisa los hallazgos. Se abre el panel de detalles del hallazgo en la pestaña Resumen.
  2. En la pestaña Resumen, revisa la información de las secciones siguientes:
    • Qué se detectó, en especial, los campos siguientes:
      • Nombre de la aplicación: Es el nombre de una base de datos o VM conectada a Backup and DR.
      • Nombre del host: Es el nombre de un host conectado a Backup and DR.
      • Sujeto principal: Es un usuario que ejecutó una acción con éxito.
    • Recurso afectado
      • Nombre visible del recurso: Es el proyecto cuyo host se borró.
    • Vínculos relacionados, en especial, los campos siguientes:
      • Método MITRE ATTACK: Es el vínculo a la documentación de MITRE ATT&CK.
      • URI de Logging: Es un vínculo para abrir el Explorador de registros.

Paso 2: Investiga los métodos de ataque y respuesta

Comunícate con el propietario de la cuenta de servicio en el campo Correo electrónico del principal. Confirma si el propietario legítimo llevó a cabo la acción.

Paso 3: Implementa la respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas durante la investigación para determinar la mejor manera de resolver los hallazgos.

  1. En el proyecto en el que se realizó la acción, accede a la consola de administración.
  2. Confirma que el host borrado ya no esté en la lista de hosts de Backup and DR.
  3. Elige la opción Agregar host para volver a agregar el host que se borró.

¿Qué sigue?