사용자 인증 정보 액세스: 익명 처리 프록시 IP에서 CloudDB 로그인 실패

이 문서에서는 Security Command Center의 위협 발견 사항 유형에 대해 설명합니다. 위협 발견 사항은 위협 탐지기가 클라우드 리소스에서 잠재적인 위협을 탐지할 때 생성됩니다. 사용 가능한 위협 발견 사항의 전체 목록은 위협 발견 사항 색인을 참조하세요.

개요

알려진 익명 처리 IP 주소에서 데이터베이스 인스턴스로의 로그인 실패가 발생했습니다. 이러한 익명화 주소는 Tor 노드입니다. 이는 공격자가 인스턴스에 대한 승인되지 않은 액세스를 시도하고 있음을 나타낼 수 있습니다.

Event Threat Detection이 이 발견 사항의 소스입니다.

대응 방법

이 발견 항목에 대응하려면 다음을 수행하세요.

1단계: 발견 항목 세부정보 검토하기

  1. 발견 항목 검토의 지시에 따라 Credential Access: CloudDB Failed login from Anonymizing Proxy IP 발견 항목을 엽니다.

  2. 발견 항목 세부정보 패널의 요약 탭에서 다음 섹션의 정보를 검토합니다.

    • 특히 다음 필드를 포함하는 감지된 항목:
    • 표시기 IP 주소: 익명 처리 IP 주소
    • 데이터베이스 표시 이름: 영향을 받은 Cloud SQL PostgreSQL, MySQL 또는 AlloyDB 인스턴스의 데이터베이스 이름
    • 데이터베이스 사용자 이름: 사용자
    • 프로젝트 전체 이름: Cloud SQL 인스턴스가 포함된 Google Cloud 프로젝트

2단계: 공격 및 대응 방법 조사하기

  1. 이 발견 항목 유형의 MITRE ATT&CK 프레임워크 항목을 검토합니다. 사용자 인증 정보 액세스
  2. 추가 해결 단계가 필요한지 확인하려면 조사 결과를 MITRE 연구와 결합합니다.

3단계: 대응 구현하기

다음의 응답 계획이 이 발견 항목에 적합할 수 있지만 작업에도 영향을 줄 수 있습니다. 조사에서 수집한 정보를 신중하게 평가하여 발견 항목을 해결할 최선의 방법을 결정해야 합니다.

다음 단계