Exfiltração: extração de dados do BigQuery

Este documento descreve um tipo de deteção de ameaças no Security Command Center. As conclusões de ameaças são geradas por detetores de ameaças quando detetam uma potencial ameaça nos seus recursos da nuvem. Para ver uma lista completa das conclusões de ameaças disponíveis, consulte o Índice de conclusões de ameaças.

Vista geral

A exfiltração de dados do BigQuery é detetada através da análise dos registos de auditoria para dois cenários:

  • Um recurso é guardado num contentor do Cloud Storage fora da sua organização.
  • Um recurso é guardado num contentor do Cloud Storage acessível publicamente pertencente à sua organização.

Para ativações ao nível do projeto do nível Security Command Center Premium, esta descoberta só está disponível se o nível Standard estiver ativado na organização principal.

A Deteção de ameaças com base em eventos é a origem desta descoberta.

Como responder

Para responder a esta descoberta, faça o seguinte:

Passo 1: reveja os detalhes da descoberta

  1. Abra uma Exfiltration: BigQuery Data Extractiondescoberta, conforme indicado em Rever descobertas. O painel de detalhes da descoberta é aberto no separador Resumo.

  2. No separador Resumo do painel de detalhes da deteção, reveja os valores indicados nas seguintes secções:

    • O que foi detetado:
      • Email principal: a conta usada para exfiltrar os dados.
      • Origens de exfiltração: detalhes sobre as tabelas a partir das quais os dados foram exfiltrados.
      • Alvos de exfiltração: detalhes sobre as tabelas onde os dados exfiltrados foram armazenados.
    • Recurso afetado:
      • Nome completo do recurso: o nome do recurso do BigQuery cujos dados foram roubados.
      • Nome completo do projeto: o Google Cloud projeto que contém o conjunto de dados do BigQuery de origem.
    • Links relacionados:
      • URI do Cloud Logging: link para as entradas do Logging.
      • Método MITRE ATT&CK: link para a documentação do MITRE ATT&CK.
      • Resultados relacionados: links para resultados relacionados.

  3. No painel de detalhes da deteção, clique no separador JSON.

  4. No JSON, tenha em atenção os seguintes campos.

    • sourceProperties:
      • evidence:
        • sourceLogId:
        • projectId: o projeto que contém o conjunto de dados do BigQuery de origem. Google Cloud
      • properties:
        • extractionAttempt:
        • jobLink: o link para a tarefa do BigQuery que exfiltrou dados

Passo 2: reveja as autorizações e as definições

  1. Na Google Cloud consola, aceda à página IAM.

    Aceda ao IAM

  2. Se necessário, selecione o projeto indicado no campo projectId no JSON de localização (do passo 1).

  3. Na página apresentada, na caixa Filtro, introduza o endereço de email indicado em Email principal (do passo 1) e verifique que autorizações estão atribuídas à conta.

Passo 3: verifique os registos

  1. No separador Resumo do painel de detalhes da descoberta, clique no link URI do Cloud Logging para abrir o explorador de registos.
  2. Encontre registos de atividade de administrador relacionados com tarefas do BigQuery através dos seguintes filtros:
    • protoPayload.methodName="Jobservice.insert"
    • protoPayload.methodName="google.cloud.bigquery.v2.JobService.InsertJob"

Passo 4: pesquise métodos de ataque e resposta

  1. Reveja a entrada da framework MITRE ATT&CK para este tipo de descoberta: Exfiltração através do serviço Web: exfiltração para o armazenamento na nuvem.
  2. Reveja as conclusões relacionadas clicando no link na linha Conclusões relacionadas no separador Resumo dos detalhes da conclusão. As conclusões relacionadas são do mesmo tipo de conclusão na mesma instância e rede.
  3. Para desenvolver um plano de resposta, combine os resultados da sua investigação com a investigação da MITRE.

Passo 5: implemente a sua resposta

O seguinte plano de resposta pode ser adequado para esta descoberta, mas também pode afetar as operações. Avalie cuidadosamente as informações recolhidas na sua investigação para determinar a melhor forma de resolver as conclusões.

O que se segue?