השפעה: קיצור תוקף הגיבוי ב-Google Cloud Backup and DR

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

התכונה Event Threat Detection בודקת את יומני הביקורת כדי לזהות אם תאריך התפוגה של גיבוי במכשיר Backup and DR Service קוצר.

המקור של הממצא הזה הוא Event Threat Detection.

איך מגיבים

כדי להגיב לממצא הזה:

שלב 1: בדיקת פרטי הממצא

  1. פותחים את Impact: Google Cloud Backup and DR reduced backup expiration הממצא, כמו שמתואר במאמר בדיקת הממצאים. חלונית הפרטים של הממצא תיפתח בכרטיסייה Summary.
  2. בכרטיסייה סיכום, בודקים את המידע בקטעים הבאים:
    • מה זוהה, במיוחד השדות הבאים:
      • תיאור: מידע על הזיהוי
      • נושא ראשי: משתמש או חשבון שירות שביצעו פעולה בהצלחה
    • מקור המידע שהושפע
      • השם המוצג של המשאב: הפרויקט שבו הוארך תוקף הגיבוי.
    • קישורים רלוונטיים, במיוחד השדות הבאים:
      • שיטת MITRE ATTACK: קישור למסמכי התיעוד של MITRE ATT&CK.
      • Logging URI: קישור לפתיחת Logs Explorer.

שלב 2: מחקר על שיטות התקפה ותגובה

פונים לבעלים של חשבון השירות בשדה Principal subject. בודקים אם הבעלים החוקי ביצע את הפעולה.

שלב 3: מיישמים את התגובה

תוכנית התגובה הבאה עשויה להתאים לממצא הזה, אבל היא עלולה גם להשפיע על הפעולות. חשוב לבדוק בקפידה את המידע שאספתם במהלך הבדיקה כדי להבין מהי הדרך הטובה ביותר לפתור את הבעיות.

  1. בפרויקט שבו בוצעה הפעולה, עוברים למסוף הניהול.
  2. בכרטיסייה App Manager (הכלי לניהול אפליקציות), מחפשים את האפליקציה המושפעת שתוקף הגיבוי שלה קוצר, ומוודאים שהתוקף קוצר בכוונה על ידי הגורם המרכזי.
  3. כדי להתחיל גיבוי חדש של האפליקציה, בוחרים באפשרות Manage Backup Configurations (ניהול הגדרות הגיבוי) כדי ליצור גיבוי לפי דרישה או לתזמן גיבוי חדש.

דוגמה למציאת JSON

הנה דוגמה ל-JSON של הממצא.

{
  "finding": {
    "access": {
      "principalEmail": "USER_EMAIL",
      "callerIp": "CALLER_IP",
      "callerIpGeo": {
        "regionCode": "REGION_CODE"
      },
      "serviceName": "backupdr.googleapis.com",
      "methodName": "updateBackup",
      "principalSubject": "user:USER_EMAIL"
    },
    "attackExposure": {},
    "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/locations/FINDING_LOCATION/findings/FINDING_ID",
    "category": "Impact: Google Cloud Backup and DR reduced backup expiration",
    "cloudDlpDataProfile": {},
    "cloudDlpInspection": {},
    "createTime": "EVENT_TIMESTAMP",
    "database": {},
    "description": "The expiration date for a backup has been reduced.",
    "eventTime": "EVENT_TIMESTAMP",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/etd",
    "indicator": {},
    "kernelRootkit": {},
    "kubernetes": {},
    "mitreAttack": {
      "primaryTactic": "IMPACT",
      "primaryTechniques": [
        "INHIBIT_SYSTEM_RECOVERY"
      ]
    },
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "parentDisplayName": "Event Threat Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "severity": "MEDIUM",
    "state": "ACTIVE",
    "vulnerability": {},
    "externalSystems": {}
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "display_name": "PROJECT_ID",
    "type": "google.cloud.resourcemanager.Project",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "project_display_name": "PROJECT_ID",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "FOLDER_NAME",
    "folders": []
  },
  "sourceProperties": {
    "sourceId": {
      "projectNumber": "PROJECT_NUMBER",
      "customerOrganizationNumber": "ORGANIZATION_ID"
    },
    "detectionCategory": {
      "ruleName": "backup_reduce_backup_expiration"
    },
    "detectionPriority": "LOW",
    "affectedResources": [
      {
        "gcpResourceName": "//backupdr.googleapis.com/projects/PROJECT_NUMBER"
      },
      {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }
    ],
    "evidence": [
      {
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "0",
            "nanos": 0.0
          },
          "insertId": "INSERT_ID"
        }
      }
    ],
    "properties": {},
    "findingId": "FINDING_ID",
    "contextUris": {
      "mitreUri": {
        "displayName": "MITRE Link",
        "url": "https://attack.mitre.org/techniques/T1490/"
      },
      "cloudLoggingQueryUri": [
        {
          "displayName": "Cloud Logging Query Link",
          "url": "LINK_TO_LOG_QUERY"
        }
      ],
      "relatedFindingUri": {}
    },
    "description": "The expiration date for a backup has been reduced."
  }
}

המאמרים הבאים