憑證存取：無法透過去識別化的 Proxy IP 登入 CloudDB

本文說明 Security Command Center 中的威脅發現項目類型。威脅偵測工具偵測到雲端資源中可能存在威脅時，就會產生威脅發現項目。如需可用威脅發現項目的完整清單，請參閱威脅發現項目索引。

總覽

資料庫執行個體嘗試從已知的匿名 IP 位址登入，但登入失敗。這些匿名地址就是 Tor 節點。這可能表示攻擊者試圖未經授權存取執行個體。

Event Threat Detection 是這項發現項目的來源。

回應方式

如要回應這項發現項目，請按照下列步驟操作：

步驟 1：查看調查結果詳細資料

  1. 按照「查看發現項目」一文的說明，開啟Credential Access: CloudDB Failed login from Anonymizing Proxy IP發現項目。

  2. 在調查結果詳細資料面板的「摘要」分頁中，查看下列各節的資訊：

    • 偵測到的內容，特別是下列欄位：
    • 指標 IP 位址：去識別化 IP 位址。
    • 資料庫顯示名稱：受影響的 Cloud SQL PostgreSQL、MySQL 或 AlloyDB 執行個體中的資料庫名稱。
    • 資料庫使用者名稱：使用者。
    • 專案完整名稱：包含 Cloud SQL 執行個體的 Google Cloud 專案。

步驟 2：研究攻擊和應變方法

  1. 查看這類發現項目的 MITRE ATT&CK 框架項目：憑證存取。
  2. 如要判斷是否需要採取其他補救措施，請將調查結果與 MITRE 研究結合。

步驟 3：實作回應

下列應變計畫可能適用於這項發現，但也可能影響作業。 請仔細評估調查期間收集到的資訊，找出解決問題的最佳方式。

後續步驟