Rilevamento delle minacce Cloud IDS

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati di minaccia vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle risorse cloud. Per un elenco completo dei risultati di minaccia disponibili, consulta l'indice dei risultati di minaccia.

Panoramica

I risultati di Cloud IDS vengono generati da Cloud IDS, un servizio di sicurezza che monitora il traffico verso e dalle Google Cloud risorse per rilevare le minacce. Quando Cloud IDS rileva una minaccia, invia informazioni sulla minaccia, come l'indirizzo IP di origine, l'indirizzo di destinazione e il numero di porta, a Event Threat Detection, che genera un risultato di minaccia.

Event Threat Detection è l'origine di questo risultato.

Come rispondere

Per rispondere a questo risultato:

Passaggio 1: esamina i dettagli del risultato

  1. Apri il risultato Cloud IDS: THREAT_ID, come indicato in Esaminare i risultati.

  2. Nei dettagli del risultato, nella scheda Riepilogo, esamina i valori elencati nelle seguenti sezioni:

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • Protocollo: il protocollo di rete utilizzato
      • Ora evento: quando si è verificato l'evento
      • Descrizione: ulteriori informazioni sul risultato
      • Gravità: la gravità dell'avviso
      • IP di destinazione: l'IP di destinazione del traffico di rete
      • Porta di destinazione: la porta di destinazione del traffico di rete
      • IP di origine: l'IP di origine del traffico di rete
      • Porta di origine: la porta di origine del traffico di rete
    • Risorsa interessata, in particolare i seguenti campi:
      • Nome completo della risorsa: il progetto contenente la rete con la minaccia
    • Link correlati, in particolare i seguenti campi:
      • URI di Cloud Logging: link alle voci di logging di Cloud IDS . Queste voci contengono le informazioni necessarie per cercare il Threat Vault di Palo Alto Networks
    • Servizio di rilevamento
      • Categoria di risultati : il nome della minaccia di Cloud IDS

  3. Per visualizzare il JSON completo del risultato, fai clic sulla scheda JSON.

Passaggio 2: cerca i metodi di attacco e risposta

Dopo aver esaminato i dettagli del risultato, consulta la documentazione di Cloud IDS sull'esame degli avvisi sulle minacce per determinare una risposta appropriata.

Puoi trovare ulteriori informazioni sull'evento rilevato nella voce di log originale facendo clic sul link nel campo URI di Cloud Logging nei dettagli del risultato.

Esempio di JSON del risultato

Di seguito è riportato un esempio del JSON del risultato.

{
  "finding": {
    "access": {},
    "attackExposure": {},
    "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/locations/global/findings/FINDING_ID",
    "category": "Cloud IDS: THREAT_ID",
    "cloudDlpDataProfile": {},
    "cloudDlpInspection": {},
    "connections": [
      {
        "destinationIp": "IP_ADDRESS",
        "destinationPort": PORT,
        "sourceIp": "IP_ADDRESS",
        "sourcePort": PORT,
        "protocol": "PROTOCOL"
      }
    ],
    "createTime": "TIMESTAMP",
    "database": {},
    "description": "This signature detects a payload in HTTP traffic which could possibly be malicious.",
    "eventTime": "TIMESTAMP",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/etd",
    "indicator": {},
    "kernelRootkit": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "parentDisplayName": "Event Threat Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "severity": "LOW",
    "state": "ACTIVE",
    "vulnerability": {},
    "externalSystems": {}
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "display_name": "PROJECT_DISPLAY_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "project_display_name": "ctd-engprod-project",
    "parent_name": "//cloudresourcemanager.googleapis.com/folders/PARENT_NUMBER",
    "parent_display_name": "PARENT_DISPLAY_NAME",
    "folders": [
      {
        "resource_folder": "//cloudresourcemanager.googleapis.com/folders/FOLDER_NUMBER",
        "resource_folder_display_name": "FOLDER_DISPLAY_NAME"
      }
    ]
  },
  "sourceProperties": {
    "sourceId": {
      "projectNumber": "PROJECT_NUMBER",
      "customerOrganizationNumber": "ORGANIZATION_ID"
    },
    "detectionCategory": {
      "ruleName": "cloud_ids_threat_activity"
    },
    "detectionPriority": "LOW",
    "affectedResources": [
      {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }
    ],
    "evidence": [
      {
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "TIMESTAMP",
            "nanos": TIMESTAMP
          },
          "insertId": "INSERT_ID"
        }
      }
    ],
    "properties": {},
    "findingId": "FINDING_ID",
    "contextUris": {
      "mitreUri": {
        "displayName": "MITRE Link"
      },
      "cloudLoggingQueryUri": [
        {
          "displayName": "Cloud Logging Query Link",
          "url": "LOGGING_QUERY_URI"
        }
      ],
      "relatedFindingUri": {}
    },
    "description": "THREAT_DESCRIPTION"
  }
}

Passaggi successivi