竊取資料：竊取 Cloud SQL 資料

本文說明 Security Command Center 中的威脅發現項目類型。威脅偵測工具在雲端資源中偵測到潛在威脅時，就會產生威脅發現項目。如需可用威脅發現項目的完整清單，請參閱「威脅發現項目索引」。

總覽

系統會檢查稽核記錄，判斷是否發生下列兩種情況，藉此偵測 Cloud SQL 資料竊取：

  • 即時執行個體資料匯出至機構外部的 Cloud Storage bucket。
  • 即時執行個體資料匯出至貴機構擁有的公開 Cloud Storage bucket。

支援所有 Cloud SQL 執行個體類型。

如果在專案層級啟用 Security Command Center Premium 方案，只有在父項機構啟用 Standard-legacy 方案時，才能使用這項發現項目。

Event Threat Detection 是這項發現項目的來源。

回應方式

如要回應這項發現項目，請按照下列步驟操作：

步驟 1：查看調查結果詳細資料

  1. 按照「查看發現項目」一文的指示，開啟 Exfiltration: Cloud SQL Data Exfiltration 發現項目。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。

  2. 在「摘要」分頁中，查看下列各節的資訊：

    • 偵測到的內容，尤其是下列欄位：
      • 主要電子郵件地址：用來外洩資料的帳戶。
      • 外洩來源：資料外洩的 Cloud SQL 執行個體詳細資料。
      • 外洩目標：資料匯出至 Cloud Storage 值區的詳細資料。
    • 受影響的資源，尤其是下列欄位：
      • 資源完整名稱：遭外洩資料的 Cloud SQL 資源名稱。
      • 專案完整名稱：包含來源 Cloud SQL 資料的 Google Cloud 專案。
    • 相關連結，包括：
      • Cloud Logging URI：記錄項目連結。
      • MITRE ATT&CK 方法：連結至 MITRE ATT&CK 文件。
      • 相關發現項目：任何相關發現項目的連結。

  3. 按一下「JSON」分頁標籤。

  4. 在調查結果的 JSON 中，請注意下列欄位：

    • sourceProperties：
      • evidence：
      • sourceLogId：
        • projectId：包含來源 Cloud SQL 執行個體的 Google Cloud 專案。
      • properties
      • bucketAccess：Cloud Storage bucket 是否可公開存取，或是否屬於機構外部
      • exportScope：匯出多少資料 (例如整個執行個體、一或多個資料庫、一或多個資料表，或查詢指定的子集)

步驟 2：檢查權限和設定

  1. 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

    前往「IAM」頁面

  2. 如有需要，請選取在發現項目 JSON 的 projectId 欄位中列出的執行個體專案 (如步驟 1 所示)。

  3. 在隨即顯示的頁面中，於「篩選器」方塊中，輸入調查結果詳細資料「摘要」分頁中「主要電子郵件」列所列的電子郵件地址 (請參閱步驟 1)。查看帳戶獲派的權限。

步驟 3：檢查記錄

  1. 在 Google Cloud 控制台中，按一下「Cloud Logging URI」 (來自步驟 1) 中的連結，前往「Logs Explorer」。「Logs Explorer」頁面會顯示與相關 Cloud SQL 執行個體有關的所有記錄。

步驟 4：研究攻擊和應變方法

  1. 查看這類發現項目的 MITRE ATT&CK 架構項目： 透過網路服務外洩資料：外洩至雲端儲存空間。
  2. 按一下「相關發現項目」列中的連結 (如步驟 1 所述)，即可查看相關發現項目。相關發現項目是指同一 Cloud SQL 執行個體中，具有相同發現項目類型的項目。
  3. 如要制定回應計畫，請將調查結果與 MITRE 研究結合。

步驟 5：實作回應

下列應變計畫可能適用於這項發現，但也可能影響作業。 請仔細評估調查期間收集到的資訊，找出解決問題的最佳方式。

  • 與遭外洩資料的專案擁有者聯絡。
  • 在調查完成前，請考慮撤銷 access.principalEmail 的權限。
  • 如要防止資料外洩，請在受影響的 Cloud SQL 執行個體中新增限制性 IAM 政策。
  • 如要限制 Cloud SQL Admin API 的存取權和匯出作業，請使用 VPC Service Controls。
  • 如要找出並修正權限過多的角色，請使用 IAM 建議工具。

發現項目 JSON 範例

以下是發現項目 JSON 的範例。

{
    "finding": {
      "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
      "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
      "resource_name": "//cloudsql.googleapis.com/projects/PROJECT_ID/instances/INSTANCE_NAME",
      "state": "ACTIVE",
      "category": "Exfiltration: CloudSQL Data Exfiltration",
      "sourceProperties": {
        "sourceId": {
          "projectNumber": "PROJECT_NUMBER",
          "customerOrganizationNumber": "ORGANIZATION_ID"
        },
        "detectionCategory": {
          "technique": "storage_bucket_exfiltration",
          "indicator": "audit_log",
          "ruleName": "cloudsql_exfil",
          "subRuleName": "export_to_public_gcs"
        },
        "detectionPriority": "HIGH",
        "affectedResources": [
          {
            "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
          },
          {
            "gcpResourceName": "//storage.googleapis.com/TARGET_STORAGE_BUCKET_NAME"
          },
          {
            "gcpResourceName": "//cloudsql.googleapis.com/projects/PROJECT_ID/instances/INSTANCE_NAME"
          }
        ],
        "evidence": [{
          "sourceLogId": {
            "projectId": "PROJECT_ID",
            "resourceContainer": "projects/PROJECT_ID",
            "timestamp": {
              "seconds": "0",
              "nanos": 0.0
            },
            "insertId": "INSERT_ID"
          }
        }],
        "properties": {
          "exportToGcs": {
            "principalEmail": "PRINCIPAL_EMAIL",
            "cloudsqlInstanceResource": "//cloudsql.googleapis.com/projects/PROJECT_ID/instances/INSTANCE_NAME",
            "gcsUri": "gs://TARGET_STORAGE_BUCKET_NAME/TARGET_FILE_NAME",
            "bucketAccess": "PUBLICLY_ACCESSIBLE",
            "bucketResource": "//storage.googleapis.com/TARGET_STORAGE_BUCKET_NAME",
            "exportScope": "WHOLE_INSTANCE"
          }
        },
        "findingId": "FINDING_ID",
        "contextUris": {
          "mitreUri": {
            "displayName": "MITRE Link",
            "url": "https://attack.mitre.org/techniques/T1567/002/"
          },
          "cloudLoggingQueryUri": [{
            "displayName": "Cloud Logging Query Link",
            "url": "LOGGING_LINK"
          }],
          "relatedFindingUri": {
            "displayName": "Related CloudSQL Exfiltration findings",
            "url": "RELATED_FINDINGS_LINK"
          }
        }
      },
      "securityMarks": {
        "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID/securityMarks"
      },
      "eventTime": "2021-10-11T16:32:59.828Z",
      "createTime": "2021-10-11T16:33:00.229Z",
      "severity": "HIGH",
      "workflowState": "NEW",
      "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID"
      "mute": "UNDEFINED",
      "findingClass": "THREAT",
      "mitreAttack": {
        "primaryTactic": "EXFILTRATION",
        "primaryTechniques": ["EXFILTRATION_OVER_WEB_SERVICE", "EXFILTRATION_TO_CLOUD_STORAGE"]
      },
      "access": {
        "principalEmail": "PRINCIPAL_EMAIL",
        "callerIp": "IP",
        "callerIpGeo": {
        },
        "serviceName": "cloudsql.googleapis.com",
        "methodName": "cloudsql.instances.export"
      },
      "exfiltration": {
        "sources": [
          {
            "name": "//cloudsql.googleapis.com/projects/PROJECT_ID/instances/INSTANCE_NAME",
            "components": []
          }
        ],
        "targets": [
          {
            "name": "//storage.googleapis.com/TARGET_STORAGE_BUCKET_NAME",
            "components": [
              "TARGET_FILE_NAME"
            ]
          }
        ]
      },
    },
    "resource": {
      "name": "//cloudsql.googleapis.com/projects/PROJECT_ID/instances/INSTANCE_NAME",
      "projectName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
      "projectDisplayName": "PROJECT_ID",
      "parentName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
      "parentDisplayName": "PROJECT_ID",
      "type": "google.cloud.sql.Instance",
      "folders": [{
        "resourceFolder": "//cloudresourcemanager.googleapis.com/folders/FOLDER_NUMBER",
        "resourceFolderDisplayName": "FOLDER_NAME"
      }],
      "displayName": "INSTANCE_NAME"
    }
}

後續步驟