En este documento, se describe un tipo de hallazgo de amenazas de Security Command Center. Los detectores de amenazas generan hallazgos de amenazas cuando identifican una posible amenaza en tus recursos de Cloud. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.
Descripción general
Se produjo un acceso exitoso en una instancia de base de datos desde una dirección IP de anonimización conocida. Estas direcciones de anonimización son nodos de Tor. Esto podría indicar que un atacante obtuvo acceso inicial a tu instancia.
Event Threat Detection es la fuente de este hallazgo.
Cómo se debe responder
Para responder a este hallazgo, sigue los pasos que se indican a continuación:
Paso 1: Revisa los detalles del hallazgo
- Abre un hallazgo de
Initial Access: CloudDB Successful login from Anonymizing Proxy IP, como se indica en Revisa los hallazgos. En la pestaña Resumen del panel de detalles del hallazgo, revisa la información de las siguientes secciones:
- Qué se detectó, especialmente los siguientes campos:
- Dirección IP del indicador: Es la dirección IP de anonimización.
- Nombre visible de la base de datos: Es el nombre de la base de datos en la instancia de Cloud SQL PostgreSQL, MySQL o AlloyDB que se vio afectada.
- Nombre de usuario de la base de datos: Es el nombre del usuario.
- Nombre completo del proyecto: Es el proyecto de Google Cloud que contiene la instancia de Cloud SQL.
Paso 2: Investiga los métodos de ataque y respuesta
- Revisa la entrada del framework de MITRE ATT&CK para este tipo de hallazgo: Acceso inicial.
- Para determinar si se necesitan pasos de solución adicionales, combina los resultados del análisis con la investigación de MITRE.
Paso 3: Implementa la respuesta
El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas durante la investigación para determinar la mejor manera de resolver los hallazgos.
Revisa los usuarios que tienen permiso para conectarse a la base de datos.
- En el caso de PostgreSQL, consulta Crea y administra usuarios.
- En el caso de MySQL, consulta Administra usuarios con autenticación integrada.
Considera cambiar la contraseña del usuario.
- En el caso de PostgreSQL, consulta Establece la contraseña para el usuario predeterminado.
En el caso de MySQL, consulta Establece la contraseña para el usuario predeterminado.
Actualiza las credenciales de los clientes que se conectan a la instancia de Cloud SQL
¿Qué sigue?
- Aprende a trabajar con los hallazgos de amenazas en Security Command Center.
- Consulta el Índice de hallazgos de amenazas.
- Aprende a revisar un hallazgo con la consola de Google Cloud .
- Obtén información sobre los servicios que generan hallazgos de amenazas.