Acesso credencial: falha no login do CloudDB de um IP de proxy de anonimização

Este documento descreve um tipo de descoberta de ameaças no Security Command Center. Essas descobertas são geradas por detectores de ameaças quando detectam um risco nos recursos da nuvem. Para ver uma lista completa, consulte Índice de descobertas de ameaças.

Visão geral

Ocorreu uma falha de login em uma instância de banco de dados de um endereço IP de anonimização conhecido. Esses endereços de anonimização são nós Tor. Isso pode indicar que um invasor está tentando acessar sua instância sem autorização.

O Event Threat Detection é a origem dessa descoberta.

Como responder

Para responder a essa descoberta:

Etapa 1: verificar os detalhes da descoberta

  1. Abra uma descoberta Credential Access: CloudDB Failed login from Anonymizing Proxy IP, conforme direcionado em Como verificar descobertas.

  2. Na guia Resumo do painel de detalhes da descoberta, revise as informações nas seguintes seções:

    • O que foi detectado, especialmente os seguintes campos:
    • Endereço IP do indicador, o endereço IP de anonimização.
    • Nome de exibição do banco de dados: o nome do banco de dados na instância do PostgreSQL, MySQL ou AlloyDB do Cloud SQL que foi afetada.
    • Nome de usuário do banco de dados: o usuário.
    • Nome completo do projeto: o Google Cloud projeto que contém a instância do Cloud SQL.

Etapa 2: pesquisar métodos de ataque e resposta

  1. Revise a entrada do framework do MITRE ATT&CK para esse tipo de descoberta: Acesso a credenciais.
  2. Para determinar se outras etapas de correção são necessárias, combine seus resultados da investigação com a pesquisa do MITRE.

Etapa 3: implementar a resposta

O plano de resposta a seguir pode ser apropriado para essa descoberta, mas também pode afetar as operações. Avalie cuidadosamente as informações coletadas na investigação para determinar a melhor maneira de resolver as descobertas.

A seguir