影響：外部使用者匯入 Gemini Discovery Engine API 文件

本文說明 Security Command Center 中的威脅發現項目類型。威脅偵測工具在雲端資源中偵測到潛在威脅時，會產生威脅發現項目。如需可用威脅發現項目的完整清單，請參閱「威脅發現項目索引」。

總覽

貴組織外部的主體發起文件匯入作業，將文件匯入 Gemini Enterprise 資料儲存庫。根據預設，發現項目的嚴重性會歸類為「中」。

Event Threat Detection 是這項發現項目的來源。

回應方式

如要回應這項發現項目，請按照下列步驟操作：

步驟 1：查看發現項目詳細資料

  1. 按照「查看發現項目」中的指示，開啟 Impact: Gemini Discovery Engine API Document Import by External User 發現項目。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。

  2. 在「摘要」分頁中，查看下列各節的資訊：

    • 偵測到的內容，尤其是下列欄位：
      • 主體電子郵件：發起文件匯入作業的外部使用者、服務帳戶或 AI 代理的電子郵件地址。
      • 方法名稱：呼叫的 API 方法 (google.cloud.discoveryengine.v1.DocumentService.ImportDocuments)。
    • 受影響的資源：
      • 資源完整名稱：Gemini Enterprise 資料儲存庫所在專案、資料夾或組織的完整資源名稱。
    • 相關連結，尤其是下列欄位：
      • Cloud Logging URI：記錄項目的連結。
      • MITRE ATT&CK 方法：MITRE ATT&CK 說明文件的連結。

步驟 2：檢查記錄

  1. 在發現項目詳細資料面板的「摘要」分頁中，按一下「Cloud Logging URI」連結，開啟「記錄檔探索工具」。
  2. 在載入的頁面中，使用下列篩選器尋找 Gemini Enterprise 文件匯入作業：
    • protoPayload.serviceName="discoveryengine.googleapis.com"
    • protoPayload.methodName="google.cloud.discoveryengine.v1.DocumentService.ImportDocuments"
  3. 檢查 protoPayload.request，找出目標資料儲存庫 (parent) 和匯入的資料來源 (gcsSource、bigquerySource 或 inlineSource)。

步驟 3：研究攻擊和應變方法

  1. 查看這個發現項目類型的 MITRE ATT&CK 架構項目：資料操縱：儲存的資料操縱。
  2. 如要制定應變計畫，請結合調查結果與 MITRE 研究。

步驟 4：實施應變措施

下列應變計畫可能適用於這項發現項目，但也可能影響作業。 請仔細評估調查中收集到的資訊，判斷解決發現問題的最佳方式。

  1. 請與受影響 Gemini Enterprise 資料儲存庫所屬專案的擁有者聯絡，確認匯入作業是否已獲授權。如果這項活動已獲授權 (例如外部承包商或合作夥伴網域)，請將使用者的網域新增至貴組織在 Cloud Identity 或 Google Workspace 中的已驗證網域清單。
  2. 撤銷未經授權的 IAM 角色：撤銷授予外部使用者、服務帳戶或 AI 代理的專案或 Gemini Enterprise 資源角色。
  3. 請檢查並清除匯入 Gemini Enterprise 資料儲存庫的未授權或不受信任文件，防止知識儲存庫中毒或間接提示詞注入。
  4. 如要限制將外部主體新增至資源，請使用網域限定共用組織政策限制。

如需應對建議，請參閱「應對 AI 威脅發現項目」。

JSON 格式的發現項目範例

以下是發現項目 JSON 的範例，其中省略了預設值。

{
  "finding": {
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/locations/global/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/locations/global",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "state": "ACTIVE",
    "category": "Impact: Gemini Discovery Engine API Document Import by External User",
    "securityMarks": {
      "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/locations/global/findings/FINDING_ID/securityMarks"
    },
    "eventTime": "TIMESTAMP",
    "createTime": "TIMESTAMP",
    "severity": "MEDIUM",
    "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/locations/global/findings/FINDING_ID",
    "findingClass": "THREAT",
    "access": {
      "principalEmail": "PRINCIPAL_EMAIL",
      "callerIp": "IP_ADDRESS",
      "callerIpGeo": {
        "regionCode": "COUNTRY_CODE"
      },
      "userAgent": "USER_AGENT",
      "serviceName": "discoveryengine.googleapis.com",
      "methodName": "google.cloud.discoveryengine.v1.DocumentService.ImportDocuments",
      "principalSubject": "user:PRINCIPAL_EMAIL"
    },
    "mitreAttack": {
      "primaryTactic": "IMPACT",
      "additionalTactics": [
        "DEFENSE_EVASION",
        "PERSISTENCE"
      ]
    },
    "parentDisplayName": "Event Threat Detection",
    "domains": [
      {
        "category": "AI"
      }
    ],
    "logEntries": [
      {
        "cloudLoggingEntry": {
          "insertId": "INSERT_ID",
          "logId": "cloudaudit.googleapis.com/data_access",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": "TIMESTAMP"
        }
      }
    ]
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "displayName": "PROJECT_ID",
    "type": "google.cloud.resourcemanager.Project",
    "cloudProvider": "GOOGLE_CLOUD_PLATFORM",
    "service": "cloudresourcemanager.googleapis.com",
    "gcpMetadata": {
      "project": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
      "projectDisplayName": "PROJECT_ID",
      "parent": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
      "parentDisplayName": "ORGANIZATION_DISPLAY_NAME",
      "organization": "organizations/ORGANIZATION_ID"
    },
    "resourcePath": {
      "nodes": [
        {
          "nodeType": "GCP_PROJECT",
          "id": "projects/PROJECT_NUMBER",
          "displayName": "PROJECT_ID"
        },
        {
          "nodeType": "GCP_ORGANIZATION",
          "id": "organizations/ORGANIZATION_ID"
        }
      ]
    },
    "resourcePathString": "organizations/ORGANIZATION_ID/projects/PROJECT_NUMBER"
  },
  "sourceProperties": {
    "sourceId": {
      "projectNumber": "PROJECT_NUMBER",
      "customerOrganizationNumber": "ORGANIZATION_ID"
    },
    "detectionCategory": {
      "ruleName": "gemini_enterprise_datastore_document_import_by_external_user"
    },
    "detectionPriority": "MEDIUM",
    "affectedResources": [
      {
        "gcpResourceName": "//discoveryengine.googleapis.com/projects/PROJECT_NUMBER/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ID/branches/0"
      },
      {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }
    ],
    "evidence": [
      {
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "TIMESTAMP_SECONDS",
            "nanos": TIMESTAMP_NANOS
          },
          "insertId": "INSERT_ID",
          "logId": "cloudaudit.googleapis.com/data_access"
        }
      }
    ],
    "findingId": "FINDING_ID",
    "contextUris": {
      "mitreUri": {
        "displayName": "MITRE Link",
        "url": "https://attack.mitre.org/techniques/T1565/001/"
      },
      "cloudLoggingQueryUri": [
        {
          "displayName": "Cloud Logging Query Link",
          "url": "https://console.cloud.google.com/logs/query;query=timestamp%3D%22TIMESTAMP%22%0AinsertId%3D%22INSERT_ID%22?project=PROJECT_ID"
        }
      ]
    },
    "domains": [
      {
        "category": "AI"
      }
    ]
  }
}

後續步驟