권한 에스컬레이션: 기본 Compute Engine 서비스 계정 SetIAMPolicy

이 문서에서는 Security Command Center의 위협 발견 사항 유형에 대해 설명합니다. 위협 발견 사항은 위협 감지기가 클라우드 리소스에서 잠재적인 위협을 감지할 때 생성됩니다. 사용 가능한 위협 발견 사항의 전체 목록은 위협 발견 사항 색인을 확인하세요.

개요

Cloud Run 서비스의 IAM 정책을 설정하는 데 기본 Compute Engine 서비스 계정이 사용되었습니다. 이는 서버리스 서비스에서 Compute Engine 토큰이 손상된 경우에 취할 수 있는 악용 후 조치입니다.

Event Threat Detection이 이 발견 사항의 소스입니다.

대응 방법

이 발견 항목에 대응하려면 다음을 수행하세요.

  1. Cloud Logging의 감사 로그를 검토하여 주 구성원에 의한 예상된 활동인지 확인하세요.
  2. 로그에서 주 구성원에 의한 다른 악성 활동 징후가 있는지 확인합니다.

발견 사항 JSON 예

다음은 발견 사항 JSON의 예입니다.

{
      "finding": {
        "access": {
          "principalEmail": "PROJECT_NUMBER-compute@developer.gserviceaccount.com",
          "callerIp": "IP_ADDRESS",
          "callerIpGeo": {
            "regionCode": "REGION_CODE"
          },
          "userAgent": "USER_AGENT",
          "serviceName": "run.googleapis.com",
          "methodName": "google.cloud.run.v1.Services.SetIamPolicy",
          "principalSubject": "serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com",
          "serviceAccountDelegationInfo": [
            {
              "principalEmail": "service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com"
            }
          ]
        },
        "application": {},
        "attackExposure": {},
        "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/locations/global/findings/FINDING_ID",
        "category": "Privilege Escalation: Default Compute Engine Service Account SetIAMPolicy",
        "chokepoint": {},
        "cloudDlpDataProfile": {},
        "cloudDlpInspection": {},
        "createTime": "2025-05-27T20:36:26.627Z",
        "database": {},
        "dataProtectionKeyGovernance": {},
        "eventTime": "2025-05-27T20:36:26.527Z",
        "exfiltration": {},
        "findingClass": "THREAT",
        "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/etd",
        "indicator": {},
        "kernelRootkit": {},
        "kubernetes": {},
        "logEntries": [
          {
            "cloudLoggingEntry": {
              "insertId": "INSERT_ID",
              "logId": "cloudaudit.googleapis.com/activity",
              "resourceContainer": "projects/PROJECT_ID",
              "timestamp": "2025-05-27T20:35:26.897015Z"
            }
          }
        ],
        "mitreAttack": {
          "primaryTactic": "PRIVILEGE_ESCALATION",
          "primaryTechniques": [
            "ADDITIONAL_CLOUD_ROLES"
          ]
        },
        "mute": "UNDEFINED",
        "muteInfo": {
          "staticMute": {
            "state": "UNDEFINED",
            "applyTime": "1970-01-01T00:00:00Z"
          }
        },
        "muteUpdateTime": "1970-01-01T00:00:00Z",
        "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/locations/global/findings/FINDING_ID",
        "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/locations/global",
        "parentDisplayName": "Event Threat Detection",
        "resourceName": "//run.googleapis.com/projects/PROJECT_ID/locations/REGION/services/SERVICE_NAME",
        "securityPosture": {},
        "severity": "LOW",
        "state": "ACTIVE",
        "vulnerability": {},
        "externalSystems": {}
      },
      "resource": {
        "name": "//run.googleapis.com/projects/PROJECT_ID/locations/REGION/services/SERVICE_NAME",
        "displayName": "SERVICE_NAME",
        "type": "google.run.Service",
        "cloudProvider": "GOOGLE_CLOUD_PLATFORM",
        "service": "run.googleapis.com",
        "location": "REGION",
        "gcpMetadata": {
          "project": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
          "projectDisplayName": "PROJECT_ID",
          "parent": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
          "parentDisplayName": "PROJECT_ID",
          "organization": "organizations/ORGANIZATION_ID"
        },
        "resourcePath": {
          "nodes": [
            {
              "nodeType": "GCP_PROJECT",
              "id": "projects/PROJECT_NUMBER",
              "displayName": "PROJECT_ID"
            },
            {
              "nodeType": "GCP_ORGANIZATION",
              "id": "organizations/ORGANIZATION_ID"
            }
          ]
        },
        "resourcePathString": "organizations/ORGANIZATION_ID/projects/PROJECT_NUMBER"
      },
      "sourceProperties": {
        "sourceId": {
          "projectNumber": "PROJECT_NUMBER",
          "customerOrganizationNumber": "ORGANIZATION_ID"
        },
        "detectionCategory": {
          "ruleName": "cloud_run_services_set_iam_policy"
        },
        "detectionPriority": "LOW",
        "affectedResources": [
          {
            "gcpResourceName": "//run.googleapis.com/projects/PROJECT_ID/locations/REGION/services/SERVICE_NAME"
          },
          {
            "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
          }
        ],
        "evidence": [
          {
            "sourceLogId": {
              "projectId": "PROJECT_ID",
              "resourceContainer": "projects/PROJECT_ID",
              "timestamp": {
                "seconds": "1748378126",
                "nanos": 897015000
              },
              "insertId": "INSERT_ID",
              "logId": "cloudaudit.googleapis.com/activity"
            }
          }
        ],
        "properties": {},
        "findingId": "FINDING_ID",
        "contextUris": {
          "mitreUri": {
            "displayName": "MITRE Link",
            "url": "https://attack.mitre.org/techniques/T1098/003/"
          },
          "cloudLoggingQueryUri": [
            {
              "displayName": "Cloud Logging Query Link",
              "url": "LINK_TO_LOG_QUERY"
            }
          ],
          "relatedFindingUri": {}
        }
      }
    }

다음 단계