En este documento, se describe un tipo de hallazgo de amenazas en Security Command Center. Los detectores de amenazas generan hallazgos de amenazas cuando identifican una posible amenaza en tus recursos de Cloud. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.
Descripción general
Se produjo un intento de acceso con errores en una instancia de base de datos desde una dirección IP de anonimización conocida. Estas direcciones de anonimización son nodos de Tor. Esto podría indicar que un atacante está intentando obtener acceso no autorizado a tu instancia.
Event Threat Detection es la fuente de este hallazgo.
Cómo responder
Para responder a este hallazgo, haz lo siguiente:
Paso 1: Revisa los detalles del hallazgo
- Abre un hallazgo de
Credential Access: CloudDB Failed login from Anonymizing Proxy IP, como se indica en Revisa los hallazgos. En la pestaña Resumen del panel de detalles del hallazgo, revisa la información de las siguientes secciones:
- Qué se detectó, especialmente los siguientes campos:
- Dirección IP del indicador: Es la dirección IP de anonimización.
- Nombre visible de la base de datos: Es el nombre de la base de datos en la instancia de Cloud SQL PostgreSQL, MySQL o AlloyDB que se vio afectada.
- Nombre de usuario de la base de datos: Es el nombre del usuario.
- Nombre completo del proyecto: Es el proyecto de Google Cloud que contiene la instancia de Cloud SQL.
Paso 2: Investiga los métodos de ataque y respuesta
- Revisa la entrada del framework de MITRE ATT&CK para este tipo de hallazgo: Acceso a credenciales.
- Para determinar si se necesitan pasos de solución adicionales, combina los resultados de la investigación con la investigación del MITRE.
Paso 3: Implementa la respuesta
El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas durante la investigación para determinar la mejor manera de resolver los hallazgos.
Revisa los usuarios que tienen permiso para conectarse a la base de datos.
- En el caso de PostgreSQL, consulta Crea y administra usuarios.
- En el caso de MySQL, consulta Administra usuarios con autenticación integrada.
Considera cambiar la contraseña del usuario.
- En el caso de PostgreSQL, consulta Establece la contraseña para el usuario predeterminado.
En el caso de MySQL, consulta Establece la contraseña para el usuario predeterminado.
Actualiza las credenciales de los clientes que se conectan a la instancia de Cloud SQL
Revisa el acceso de red a tu instancia
- En el caso de PostgreSQL, consulta Establece la contraseña para el usuario predeterminado.
- En el caso de MySQL, consulta Establece la contraseña para el usuario predeterminado.
¿Qué sigue?
- Obtén más información para trabajar con los hallazgos de amenazas en Security Command Center.
- Consulta el Índice de hallazgos de amenazas.
- Obtén información para revisar un hallazgo con la consola de Google Cloud .
- Obtén más información sobre los servicios que generan hallazgos de amenazas.