Accès aux identifiants : échec de la connexion à CloudDB depuis l'adresse IP du proxy d'anonymisation

Niveaux de service Premium et Enterprise (obsolètes)

Le niveau de service Security Command Center Enterprise sera arrêté le 21 mai 2027.

Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium le 21 mai 2027 ou après. Contactez votre responsable de compte ou un spécialiste des ventesGoogle Cloud si vous avez des questions.

Ce document décrit un type de résultat de détection de menace dans Security Command Center. Ces résultats sont générés par les détecteurs de menaces lorsqu'ils détectent une menace potentielle dans vos ressources cloud. Pour obtenir la liste complète des résultats de détection de menace disponibles, consultez cet index.

Présentation

Une tentative de connexion à une instance de base de données a échoué depuis une adresse IP d'anonymisation connue. Ces adresses d'anonymisation sont des nœuds Tor. Cela peut indiquer qu'un pirate informatique tente d'accéder sans autorisation à votre instance.

Event Threat Detection est la source de ce résultat.

Actions à mettre en place

Pour traiter ce résultat, procédez comme suit :

Étape 1 : Examiner les détails du résultat

1. Ouvrez le résultat Credential Access: CloudDB Failed login from Anonymizing Proxy IP comme indiqué dans Examiner un résultat.

2. Dans l'onglet Résumé du panneau "Détails du résultat", examinez les informations des sections suivantes :

   • Risque détecté, en particulier les champs suivants :
   • Adresse IP de l'indicateur : adresse IP anonymisée.
   • Nom à afficher de la base de données : nom de la base de données dans l'instance Cloud SQL PostgreSQL, MySQL ou AlloyDB concernée.
   • Nom d'utilisateur de la base de données : l'utilisateur.
   • Nom complet du projet : projet Google Cloud contenant l'instance Cloud SQL.

Étape 2 : Étudier les méthodes d'attaque et de réponse

1. Examinez l'entrée du framework MITRE ATT&CK pour ce type de résultat : Accès aux identifiants.
2. Pour déterminer si d'autres mesures correctives sont nécessaires, combinez vos résultats d'enquête avec la recherche MITRE.

Étape 3 : Mettez en œuvre votre plan de réponse

Le plan de réponse suivant peut être adapté à ce résultat, mais il peut également avoir un impact sur vos opérations. Veillez à bien évaluer les informations que vous collectez dans votre enquête pour déterminer quelle est la meilleure réponse à apporter aux problèmes soulevés par les résultats.

• Vérifiez les utilisateurs autorisés à se connecter à la base de données.

  • Pour PostgreSQL, consultez Créer et gérer des utilisateurs.
  • Pour MySQL, consultez Gérer les utilisateurs avec l'authentification intégrée.

• Envisagez de modifier le mot de passe de l'utilisateur.

  • Pour PostgreSQL, consultez Définir le mot de passe de l'utilisateur par défaut.

  • Pour MySQL, consultez Définir le mot de passe de l'utilisateur par défaut.

  • Mettez à jour les identifiants des clients qui se connectent à l'instance Cloud SQL.

• Vérifier l'accès réseau à votre instance

  • Pour PostgreSQL, consultez Définir le mot de passe de l'utilisateur par défaut.
  • Pour MySQL, consultez Définir le mot de passe de l'utilisateur par défaut.

Étapes suivantes

• Découvrez comment travailler avec les résultats de détection de menace dans Security Command Center.
• Consultez l'index des résultats de détection de menace.
• Découvrez comment examiner un résultat dans la console Google Cloud .
• Apprenez-en plus sur les services qui génèrent des résultats de détection de menace.