התמדה: האימות הדו-שלבי מושבת

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

אם אתם משתפים את היומנים של Google Workspace עם Cloud Logging,‏ Event Threat Detection יוצר ממצאים לגבי כמה איומים ב-Google Workspace. יומני Google Workspace הם ברמת הארגון, ולכן Event Threat Detection יכול לסרוק אותם רק אם מפעילים את Security Command Center ברמת הארגון.

‫Event Threat Detection מעשיר אירועים ביומן וכותב ממצאים ל-Security Command Center. בטבלה הבאה מפורטים סוגי הממצאים של איומים ב-Google Workspace, הערך במסגרת MITRE ATT&CK שקשור לממצא הזה ופרטים על האירועים שמפעילים את הממצא הזה. אפשר גם לבדוק יומנים באמצעות מסננים ספציפיים, ולשלב את כל המידע שאוספים כדי להגיב לממצא הזה.

המקור של הממצא הזה הוא Event Threat Detection.

הממצא הזה לא זמין אם מפעילים את Security Command Center ברמת הפרויקט.

תיאור פעולות
חבר השבית את האימות הדו-שלבי. בודקים אם המשתמש התכוון להשבית את האימות הדו-שלבי. אם הארגון שלכם דורש אימות דו-שלבי, צריך לוודא שהמשתמש יפעיל אותו בהקדם.

בודקים את היומנים באמצעות המסננים הבאים:

protopayload.resource.labels.service="login.googleapis.com"

logName="organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access

מחליפים את ORGANIZATION_ID במזהה הארגון.

חקירת אירועים שמפעילים את הממצא הזה:

דוגמה למציאת JSON

הנה דוגמה ל-JSON של הממצא.

{
  "finding": {
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "resourceName": "//login.googleapis.com/organizations/ORGANIZATION_ID",
    "state": "ACTIVE",
    "category": "Persistence: Two Step Verification Disabled",
    "sourceProperties": {
      "sourceId": {
        "organizationNumber": "ORGANIZATION_ID",
        "customerOrganizationNumber": "ORGANIZATION_ID"
      },
      "detectionCategory": {
        "technique": "impair_defenses",
        "indicator": "audit_log",
        "ruleName": "two_step_verification_disabled"
      },
      "detectionPriority": "LOW",
      "affectedResources": [{
        "gcpResourceName": "//login.googleapis.com/organizations/ORGANIZATION_ID"
      }, {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID"
      }],
      "evidence": [{
        "sourceLogId": {
          "resourceContainer": "organizations/ORGANIZATION_ID",
          "timestamp": {
            "seconds": "1626391356",
            "nanos": 5.96E8
          },
          "insertId": "INSERT_ID"
        }
      }],
      "properties": {
        "serviceName": "login.googleapis.com",
        "methodName": "google.login.LoginService.2svDisable",
        "ssoState": "UNKNOWN",
        "principalEmail": "PRINCIPAL_EMAIL"
      },
      "contextUris": {
        "mitreUri": {
          "displayName": "MITRE Link",
          "url": "https://attack.mitre.org/techniques/T1556/006/"
        },
        "cloudLoggingQueryUri": [{
          "displayName": "Cloud Logging Query Link",
          "url": "https://console.cloud.google.com/logs/query;query\u003dtimestamp%3D%222021-07-15T23:22:36.596Z%22%0AinsertId%3D%22INSERT_ID%22%0Aresource.labels.project_id%3D%22%22?project\u003d"
        }],
        "workspacesUri": {
          "displayName": "Workspaces Link",
          "url": "https://developers.google.com/admin-sdk/reports/v1/appendix/activity/login#2sv_disable"
        }
      }
    },
    "securityMarks": {
      "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID/securityMarks"
    },
    "eventTime": "2021-07-15T23:22:36.596Z",
    "createTime": "2021-07-15T23:22:40.079Z",
    "severity": "LOW",
    "workflowState": "NEW",
    "canonicalName": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "findingClass": "THREAT",
    "indicator": {
    }
  },
  "resource": {
    "name": "//login.googleapis.com/organizations/ORGANIZATION_ID"
  }
}

המאמרים הבאים