Impatto: violazione del perimetro VPC per l'importazione di documenti dell'API Discovery Engine di Gemini

Questo documento descrive un tipo di risultato relativo alle minacce in Security Command Center. I risultati delle minacce vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'indice dei risultati relativi alle minacce.

Panoramica

Un tentativo di importare documenti in un datastore Gemini Enterprise ha generato una violazione del perimetro di servizio dei Controlli di servizio VPC. I risultati sono classificati come Bassa gravità per impostazione predefinita.

Event Threat Detection è l'origine di questo risultato.

Come rispondere

Per rispondere a questo risultato, segui questi passaggi:

Passaggio 1: esamina i dettagli del risultato

  1. Apri il risultato Impact: Gemini Discovery Engine API Document Import VPC Perimeter Violation come indicato in Revisione dei risultati. Si apre il riquadro dei dettagli del risultato nella scheda Riepilogo.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • Email dell'entità: l'indirizzo email dell'utente, del account di servizio o dell'agente AI che ha tentato l'importazione del documento.
      • Nome metodo: il metodo API chiamato (google.cloud.discoveryengine.v1.DocumentService.ImportDocuments).
    • Risorsa interessata:
      • Nome completo della risorsa: il nome completo della risorsa del progetto, della cartella o dell'organizzazione in cui si trova il datastore Gemini Enterprise.
    • Link correlati, in particolare i seguenti campi:
      • URI Cloud Logging: un link alle voci di Logging.
      • Metodo MITRE ATT&CK: un link alla documentazione di MITRE ATT&CK.

Passaggio 2: controlla i log

  1. Nella scheda Riepilogo del riquadro dei dettagli dei risultati, fai clic sul link URI Cloud Logging per aprire Esplora log.
  2. Nella pagina che viene caricata, cerca le operazioni di importazione dei documenti di Gemini Enterprise che hanno generato una violazione dei Controlli di servizio VPC utilizzando i seguenti filtri:
    • protoPayload.serviceName="discoveryengine.googleapis.com"
    • protoPayload.methodName="google.cloud.discoveryengine.v1.DocumentService.ImportDocuments"
  3. Esamina protoPayload.status e protoPayload.metadata (in particolare VpcServiceControlAuditMetadata) per identificare il perimetro di servizio violato, il datastore di destinazione e la risorsa di origine.

Passaggio 3: ricerca i metodi di attacco e risposta

  1. Esamina le voci del framework MITRE ATT&CK per questo tipo di risultato: Manipolazione dei dati: manipolazione dei dati archiviati.
  2. Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.

Passaggio 4: implementa la risposta

Il seguente piano di risposta potrebbe essere appropriato per questo risultato, ma potrebbe anche influire sulle operazioni. Valuta attentamente le informazioni raccolte nell'indagine per determinare il modo migliore per risolvere i risultati.

  1. Contatta il proprietario del progetto che contiene il datastore Gemini Enterprise interessato per determinare se il tentativo di importazione è stato un errore di configurazione innocuo o un tentativo di accesso tra perimetri non autorizzato.
  2. Valuta la possibilità di revocare le autorizzazioni per principalEmail se il tentativo non è stato autorizzato.
  3. Se la violazione si è verificata in modalità dry run, assicurati che il perimetro di servizio dei Controlli di servizio VPC sia applicato per bloccare le importazioni di dati tra perimetri non autorizzate.

Per i suggerimenti di risposta, consulta Rispondi ai risultati delle minacce AI.

Esempio di JSON dei risultati

Di seguito è riportato un esempio del JSON del risultato, con i valori predefiniti omessi.

{
  "finding": {
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/locations/global/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/locations/global",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "state": "ACTIVE",
    "category": "Impact: Gemini Discovery Engine API Document Import VPC Perimeter Violation",
    "securityMarks": {
      "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/locations/global/findings/FINDING_ID/securityMarks"
    },
    "eventTime": "TIMESTAMP",
    "createTime": "TIMESTAMP",
    "severity": "LOW",
    "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/locations/global/findings/FINDING_ID",
    "findingClass": "THREAT",
    "access": {
      "principalEmail": "PRINCIPAL_EMAIL",
      "callerIp": "IP_ADDRESS",
      "callerIpGeo": {
        "regionCode": "COUNTRY_CODE"
      },
      "userAgent": "USER_AGENT",
      "serviceName": "discoveryengine.googleapis.com",
      "methodName": "google.cloud.discoveryengine.v1.DocumentService.ImportDocuments",
      "principalSubject": "user:PRINCIPAL_EMAIL"
    },
    "mitreAttack": {
      "primaryTactic": "IMPACT",
      "additionalTactics": [
        "DEFENSE_EVASION",
        "INITIAL_ACCESS"
      ]
    },
    "parentDisplayName": "Event Threat Detection",
    "domains": [
      {
        "category": "AI"
      }
    ],
    "logEntries": [
      {
        "cloudLoggingEntry": {
          "insertId": "INSERT_ID",
          "logId": "cloudaudit.googleapis.com/data_access",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": "TIMESTAMP"
        }
      }
    ]
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "displayName": "PROJECT_ID",
    "type": "google.cloud.resourcemanager.Project",
    "cloudProvider": "GOOGLE_CLOUD_PLATFORM",
    "service": "cloudresourcemanager.googleapis.com",
    "gcpMetadata": {
      "project": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
      "projectDisplayName": "PROJECT_ID",
      "parent": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
      "parentDisplayName": "ORGANIZATION_DISPLAY_NAME",
      "organization": "organizations/ORGANIZATION_ID"
    },
    "resourcePath": {
      "nodes": [
        {
          "nodeType": "GCP_PROJECT",
          "id": "projects/PROJECT_NUMBER",
          "displayName": "PROJECT_ID"
        },
        {
          "nodeType": "GCP_ORGANIZATION",
          "id": "organizations/ORGANIZATION_ID"
        }
      ]
    },
    "resourcePathString": "organizations/ORGANIZATION_ID/projects/PROJECT_NUMBER"
  },
  "sourceProperties": {
    "sourceId": {
      "projectNumber": "PROJECT_NUMBER",
      "customerOrganizationNumber": "ORGANIZATION_ID"
    },
    "detectionCategory": {
      "ruleName": "gemini_enterprise_document_import_vpc_perimeter_violation"
    },
    "detectionPriority": "LOW",
    "affectedResources": [
      {
        "gcpResourceName": "//discoveryengine.googleapis.com/projects/PROJECT_NUMBER/locations/LOCATION/collections/default_collection/dataStores/DATA_STORE_ID/branches/0"
      },
      {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }
    ],
    "evidence": [
      {
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "TIMESTAMP_SECONDS",
            "nanos": TIMESTAMP_NANOS
          },
          "insertId": "INSERT_ID",
          "logId": "cloudaudit.googleapis.com/data_access"
        }
      }
    ],
    "findingId": "FINDING_ID",
    "contextUris": {
      "mitreUri": {
        "displayName": "MITRE Link",
        "url": "https://attack.mitre.org/techniques/T1565/001/"
      },
      "cloudLoggingQueryUri": [
        {
          "displayName": "Cloud Logging Query Link",
          "url": "https://console.cloud.google.com/logs/query;query=timestamp%3D%22TIMESTAMP%22%0AinsertId%3D%22INSERT_ID%22?project=PROJECT_ID"
        }
      ]
    },
    "domains": [
      {
        "category": "AI"
      }
    ]
  }
}

Passaggi successivi