Auswirkungen: Gemini Discovery Engine API-Dokumentenimport: VPC-Perimeterverstoß

In diesem Dokument wird ein bestimmter Typ von Bedrohungsergebnissen in Security Command Center beschrieben. Bedrohungsergebnisse werden von Bedrohungsdetektoren generiert, wenn sie eine potenzielle Bedrohung in Ihren Cloud-Ressourcen erkennen. Eine vollständige Liste der verfügbaren Bedrohungsergebnisse finden Sie im Index der Bedrohungsergebnisse.

Übersicht

Beim Versuch, Dokumente in einen Gemini Enterprise-Datenspeicher zu importieren, wurde ein Verstoß gegen den VPC Service Controls-Dienstperimeter festgestellt. Ergebnisse werden standardmäßig als Niedrig eingestuft.

Die Quelle dieses Ergebnisses ist Event Threat Detection.

Maßnahmen

So reagieren Sie auf dieses Ergebnis:

Schritt 1: Ergebnisdetails prüfen

  1. Öffnen Sie das Impact: Gemini Discovery Engine API Document Import VPC Perimeter Violation-Ergebnis, wie unter Ergebnisse prüfen beschrieben. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.

  2. Sehen Sie sich auf dem Tab Zusammenfassung die Informationen in den folgenden Abschnitten an:

    • Was erkannt wurde, insbesondere die folgenden Felder:
      • E-Mail-Adresse des Hauptkontos: Die E-Mail-Adresse des Nutzers, Dienstkontos oder KI-Agenten, der den Dokumentimport versucht hat.
      • Methodenname: die aufgerufene API-Methode (google.cloud.discoveryengine.v1.DocumentService.ImportDocuments).
    • Betroffene Ressource:
      • Vollständiger Ressourcenname: Der vollständige Ressourcenname des Projekts, Ordners oder der Organisation, in dem sich der Gemini Enterprise-Datenspeicher befindet.
    • Weitere Informationen, insbesondere die folgenden Felder:
      • Cloud Logging-URI: ein Link zu Logging-Einträgen.
      • MITRE ATT&CK-Methode: Ein Link zur MITRE ATT&CK-Dokumentation.

Schritt 2: Protokolle prüfen

  1. Klicken Sie auf dem Tab Zusammenfassung des Detailbereichs für das Ergebnis auf den Link Cloud Logging-URI, um den Log-Explorer zu öffnen.
  2. Suchen Sie auf der Seite, die geladen wird, mithilfe der folgenden Filter nach Gemini Enterprise-Dokumentimportvorgängen, die einen VPC Service Controls-Verstoß generiert haben:
    • protoPayload.serviceName="discoveryengine.googleapis.com"
    • protoPayload.methodName="google.cloud.discoveryengine.v1.DocumentService.ImportDocuments"
  3. Prüfen Sie protoPayload.status und protoPayload.metadata (insbesondere VpcServiceControlAuditMetadata), um den verletzten Dienstperimeter, den Zieldatenspeicher und die Quellressource zu identifizieren.

Schritt 3: Forschungsangriffe und Reaktionsmethoden

  1. Prüfen Sie die MITRE ATT&CK-Framework-Einträge für diesen Ergebnistyp: Data Manipulation: Stored Data Manipulation.
  2. Um einen Reaktionsplan zu entwickeln, kombinieren Sie die Prüfungsergebnisse mit der MITRE-Studie.

Schritt 4: Antwort implementieren

Der folgende Reaktionplan ist möglicherweise für dieses Ergebnis geeignet, kann sich jedoch auch auf Abläufe auswirken. Prüfen Sie die Informationen, die Sie im Rahmen Ihrer Untersuchung erfasst haben, sorgfältig, um die beste Lösung für die Behebung der Ergebnisse zu finden.

  1. Wenden Sie sich an den Inhaber des Projekts, das den betroffenen Gemini Enterprise-Datenspeicher enthält, um festzustellen, ob der Importversuch ein harmloser Konfigurationsfehler oder ein nicht autorisierter Zugriffsversuch über den Perimeter hinweg war.
  2. Ziehen Sie in Betracht, Berechtigungen für principalEmail zu widerrufen, wenn der Versuch nicht autorisiert war.
  3. Wenn der Verstoß im Probelaufmodus aufgetreten ist, achten Sie darauf, dass Ihr VPC Service Controls-Dienstperimeter erzwungen wird, um nicht autorisierte perimeterübergreifende Datenimporte zu blockieren.

Informationen zu Reaktionsempfehlungen finden Sie unter Auf KI-Bedrohungsbefunde reagieren.

Beispiel für JSON-Ergebnis

Im Folgenden finden Sie ein Beispiel für das Ergebnis-JSON, wobei die Standardwerte weggelassen wurden.

{
  "finding": {
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/locations/global/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/locations/global",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "state": "ACTIVE",
    "category": "Impact: Gemini Discovery Engine API Document Import VPC Perimeter Violation",
    "securityMarks": {
      "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/locations/global/findings/FINDING_ID/securityMarks"
    },
    "eventTime": "TIMESTAMP",
    "createTime": "TIMESTAMP",
    "severity": "LOW",
    "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/locations/global/findings/FINDING_ID",
    "findingClass": "THREAT",
    "access": {
      "principalEmail": "PRINCIPAL_EMAIL",
      "callerIp": "IP_ADDRESS",
      "callerIpGeo": {
        "regionCode": "COUNTRY_CODE"
      },
      "userAgent": "USER_AGENT",
      "serviceName": "discoveryengine.googleapis.com",
      "methodName": "google.cloud.discoveryengine.v1.DocumentService.ImportDocuments",
      "principalSubject": "user:PRINCIPAL_EMAIL"
    },
    "mitreAttack": {
      "primaryTactic": "IMPACT",
      "additionalTactics": [
        "DEFENSE_EVASION",
        "INITIAL_ACCESS"
      ]
    },
    "parentDisplayName": "Event Threat Detection",
    "domains": [
      {
        "category": "AI"
      }
    ],
    "logEntries": [
      {
        "cloudLoggingEntry": {
          "insertId": "INSERT_ID",
          "logId": "cloudaudit.googleapis.com/data_access",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": "TIMESTAMP"
        }
      }
    ]
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "displayName": "PROJECT_ID",
    "type": "google.cloud.resourcemanager.Project",
    "cloudProvider": "GOOGLE_CLOUD_PLATFORM",
    "service": "cloudresourcemanager.googleapis.com",
    "gcpMetadata": {
      "project": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
      "projectDisplayName": "PROJECT_ID",
      "parent": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
      "parentDisplayName": "ORGANIZATION_DISPLAY_NAME",
      "organization": "organizations/ORGANIZATION_ID"
    },
    "resourcePath": {
      "nodes": [
        {
          "nodeType": "GCP_PROJECT",
          "id": "projects/PROJECT_NUMBER",
          "displayName": "PROJECT_ID"
        },
        {
          "nodeType": "GCP_ORGANIZATION",
          "id": "organizations/ORGANIZATION_ID"
        }
      ]
    },
    "resourcePathString": "organizations/ORGANIZATION_ID/projects/PROJECT_NUMBER"
  },
  "sourceProperties": {
    "sourceId": {
      "projectNumber": "PROJECT_NUMBER",
      "customerOrganizationNumber": "ORGANIZATION_ID"
    },
    "detectionCategory": {
      "ruleName": "gemini_enterprise_document_import_vpc_perimeter_violation"
    },
    "detectionPriority": "LOW",
    "affectedResources": [
      {
        "gcpResourceName": "//discoveryengine.googleapis.com/projects/PROJECT_NUMBER/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ID/branches/0"
      },
      {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }
    ],
    "evidence": [
      {
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "TIMESTAMP_SECONDS",
            "nanos": TIMESTAMP_NANOS
          },
          "insertId": "INSERT_ID",
          "logId": "cloudaudit.googleapis.com/data_access"
        }
      }
    ],
    "findingId": "FINDING_ID",
    "contextUris": {
      "mitreUri": {
        "displayName": "MITRE Link",
        "url": "https://attack.mitre.org/techniques/T1565/001/"
      },
      "cloudLoggingQueryUri": [
        {
          "displayName": "Cloud Logging Query Link",
          "url": "https://console.cloud.google.com/logs/query;query=timestamp%3D%22TIMESTAMP%22%0AinsertId%3D%22INSERT_ID%22?project=PROJECT_ID"
        }
      ]
    },
    "domains": [
      {
        "category": "AI"
      }
    ]
  }
}

Nächste Schritte