גישה ראשונית: פעולות שנדחו בגלל הרשאות מוגזמות

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי איומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה במאמר אינדקס ממצאי האיומים.

סקירה כללית

גורם ראשי הפעיל שוב ושוב שגיאות מסוג permission denied (ההרשאה נדחתה) בכמה שיטות ובכמה שירותים.

המקור של הממצא הזה הוא Event Threat Detection.

איך מגיבים

כדי להגיב לממצא הזה:

שלב 1: בדיקת פרטי הממצא

  1. פותחים את הממצא Initial Access: Excessive Permission Denied Actions כמו שמתואר בקטע בדיקת הממצאים.

  2. בפרטי הממצא, בכרטיסייה Summary, מציינים את הערכים של השדות הבאים.

    בקטע מה זוהה:

    • כתובת האימייל של חשבון המשתמש: חשבון המשתמש שהפעיל כמה שגיאות של דחיית הרשאה
    • שם השירות: שם ה-API של שירות Google Cloud שבו התרחשה השגיאה האחרונה של דחיית הרשאה
    • שם השיטה: השיטה שהופעלה כשהתרחשה השגיאה האחרונה מסוג permission denied

  3. בפרטי הממצא, בכרטיסייה מאפייני המקור, מציינים את הערכים של השדות הבאים ב-JSON:

    • ‫properties.failedActions: השגיאות שקרו בגלל הרשאות שנדחו. לכל רשומה מופיעים פרטים כמו שם השירות, שם השיטה, מספר הניסיונות שנכשלו והשעה שבה השגיאה התרחשה לאחרונה. מוצגים עד 10 ערכים.

שלב 2: בדיקת היומנים

  1. במסוף Google Cloud , לוחצים על הקישור ב-Cloud Logging URI כדי לעבור אל Logs Explorer.
  2. בסרגל הכלים של המסוף Google Cloud , בוחרים את הפרויקט.

  3. בדף שנטען, מוצאים יומנים קשורים באמצעות המסנן הבא:

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"
    • protoPayload.status.code=7

    מחליפים את PRINCIPAL_EMAIL בערך שרשמתם בשדה Principal email בפרטי הממצא.

שלב 3: מחקר של שיטות התקפה ותגובה

  1. מעיינים בערך של מסגרת MITRE ATT&CK לגבי סוג הממצא הזה: חשבונות תקפים: חשבונות בענן.
  2. כדי לפתח תוכנית תגובה, משלבים את תוצאות החקירה עם מחקר של MITRE.

שלב 4: הטמעת התגובה

תוכנית התגובה הבאה עשויה להתאים לממצא הזה, אבל היא עלולה גם להשפיע על הפעולות. חשוב לבדוק בקפידה את המידע שאספתם במהלך הבדיקה כדי להבין מהי הדרך הטובה ביותר לפתור את הבעיות.

  • צריך לפנות לבעל החשבון שמופיע בשדה Principal email. צריך לאשר אם הבעלים הלגיטימיים ביצעו את הפעולה.
  • מוחקים משאבים בפרויקט שנוצרו על ידי החשבון, כמו מופעים לא מוכרים של Compute Engine, תמונות מצב, חשבונות שירות ומשתמשי IAM וכו'.
  • פונים לבעלים של הפרויקט בחשבון, ואולי מוחקים או משביתים את החשבון.

דוגמה למציאת JSON

הנה דוגמה ל-JSON של הממצא.

{
 "findings": {
   "access": {
     "principalEmail": "PRINCIPAL_EMAIL",
     "callerIp": "IP_ADDRESS",
     "callerIpGeo": {
        "regionCode": "US"
      },
     "serviceName": "SERVICE_NAME",
     "methodName": "METHOD_NAME",
     "principalSubject": "PRINCIPAL_SUBJECT",
     "serviceAccountKeyName": "SERVICE_ACCOUNT_KEY_NAME"
   },
   "assetDisplayName": "ASSET_DISPLAY_NAME",
   "assetId": "organizations/ORGANIZATION_NUMBER/assets/ASSET_ID",
   "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID",
   "category": "Initial Access: Excessive Permission Denied Actions",
   "contacts": {
     "security": {
       "contacts": [
         {
           "email": "EMAIL_ADDRESS"
         },
         {
           "email": "EMAIL_ADDRESS"
         },
         {
           "email": "EMAIL_ADDRESS"
         }
       ]
     },
     "technical": {
       "contacts": [
         {
           "email": "EMAIL_ADDRESS"
         },
         {
           "email": "EMAIL_ADDRESS"
         },
         {
           "email": "EMAIL_ADDRESS"
         }
       ]
     }
   },
   "createTime": "2023-01-12T10:35:47.381Z",
   "database": {},
   "eventTime": "2023-01-12T10:35:47.270Z",
   "exfiltration": {},
   "findingClass": "THREAT",
   "findingProviderId": "organizations/ORGANIZATION_NUMBER/firstPartyFindingProviders/etd",
   "indicator": {},
   "kernelRootkit": {},
   "kubernetes": {},
   "mitreAttack": {},
   "mute": "UNDEFINED",
   "name": "organizations/ORGANIZATION_NUMBER/sources/SOURCE_ID/findings/FINDING_ID",
   "parent": "organizations/ORGANIZATION_NUMBER/sources/SOURCE_ID",
   "parentDisplayName": "Event Threat Detection",
   "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
   "severity": "LOW",
   "sourceDisplayName": "Event Threat Detection",
   "state": "ACTIVE",
   "vulnerability": {},
   "workflowState": "NEW"
 },
 "resource": {
   "name": "RESOURCE_NAME",
   "display_name": "RESOURCE_DISPLAY_NAME",
   "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
   "project_display_name": "PROJECT_ID",
   "parent_name": "//cloudresourcemanager.googleapis.com/folders/FOLDER_NUMBER",
   "parent_display_name": "FOLDER_NAME",
   "type": "RESOURCE_TYPE",
   "folders": [
     {
       "resourceFolderDisplayName": "FOLDER_NAME",
       "resourceFolder": "//cloudresourcemanager.googleapis.com/folders/FOLDER_NUMBER"
     }
   ]
 },
 "sourceProperties": {
   "sourceId": {
     "projectNumber": "PROJECT_NUMBER",
     "customerOrganizationNumber": "ORGANIZATION_NUMBER"
   },
   "detectionCategory": {
     "technique": "persistence",
     "indicator": "audit_log",
     "ruleName": "anomalous_behavior",
     "subRuleName": "new_api_method"
   },
   "detectionPriority": "LOW",
   "affectedResources": [
     {
       "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
     }
   ],
   "evidence": [
     {
       "sourceLogId": {
         "projectId": "PROJECT_ID",
         "resourceContainer": "projects/PROJECT_ID",
         "timestamp": {
           "seconds": "1673519681",
           "nanos": 728289000
         },
         "insertId": "INSERT_ID"
       }
     }
   ],
   "properties": {
     "failedActions": [
        {
          "methodName": "SetIamPolicy",
          "serviceName": "iam.googleapis.com",
          "attemptTimes": "7",
          "lastOccurredTime": "2023-03-15T17:35:18.771219Z"
        },
        {
          "methodName": "iam.googleapis.com",
          "serviceName": "google.iam.admin.v1.CreateServiceAccountKey",
          "attemptTimes": "3",
          "lastOccurredTime": "2023-03-15T05:36:14.954701Z"
        }
      ]
   },
   "findingId": "FINDING_ID",
   "contextUris": {
     "mitreUri": {
       "displayName": "MITRE Link",
       "url": "https://attack.mitre.org/techniques/T1078/004/"
     }
   }
 }
}

המאמרים הבאים