גישה לפרטי כניסה: כניסה ל-CloudDB נכשלה מכתובת IP של שרת Proxy לאנונימיזציה

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

התבצעה כניסה שנכשלה במופע של מסד נתונים מכתובת IP מוכרת שמוגדרת כאנונימית. הכתובות האנונימיות האלה הן צמתים של Tor. יכול להיות שזה מעיד על כך שתוקף מנסה לקבל גישה לא מורשית למופע שלכם.

המקור של הממצא הזה הוא Event Threat Detection.

איך מגיבים

כדי להגיב לממצא הזה:

שלב 1: בדיקת פרטי הממצא

  1. פותחים ממצא של Credential Access: CloudDB Failed login from Anonymizing Proxy IP כמו שמתואר במאמר בדיקת ממצאים.

  2. בכרטיסייה Summary (סיכום) בחלונית הפרטים של הממצא, בודקים את המידע בקטעים הבאים:

    • מה זוהה, במיוחד השדות הבאים:
    • כתובת ה-IP של האינדיקטור, כתובת ה-IP שעברה אנונימיזציה.
    • השם המוצג של מסד הנתונים: השם של מסד הנתונים במכונת Cloud SQL PostgreSQL, ‏ MySQL או AlloyDB שהושפעה.
    • שם המשתמש במסד הנתונים: המשתמש.
    • השם המלא של הפרויקט: Google Cloud הפרויקט שמכיל את המופע של Cloud SQL.

שלב 2: מחקר על שיטות התקפה ותגובה

  1. כדאי לעיין בערך של מסגרת MITRE ATT&CK לגבי סוג הממצא הזה: Credential Access (גישה לפרטי כניסה).
  2. כדי לקבוע אם יש צורך בפעולות נוספות לתיקון הבעיה, כדאי לשלב את תוצאות הבדיקה עם מחקר של MITRE.

שלב 3: מיישמים את התגובה

תוכנית התגובה הבאה עשויה להתאים לממצא הזה, אבל היא עלולה גם להשפיע על הפעולות. חשוב לבדוק בקפידה את המידע שאספתם במהלך הבדיקה כדי להבין מהי הדרך הטובה ביותר לפתור את הבעיות.

המאמרים הבאים