Persistenz: Neue Region

In diesem Dokument wird ein bestimmter Typ von Bedrohungsergebnissen in Security Command Center beschrieben. Bedrohungsergebnisse werden von Bedrohungsdetektoren generiert, wenn sie eine potenzielle Bedrohung in Ihren Cloud-Ressourcen erkennen. Eine vollständige Liste der verfügbaren Bedrohungsergebnisse finden Sie im Index der Bedrohungsergebnisse.

Übersicht

Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar.

Ein IAM-Nutzer oder ein Dienstkonto greift Google Cloud von einem ungewöhnlichen Standort aus zu, basierend auf der Standortbestimmung der anfragenden IP Adresse.

Die Quelle von diesem Ergebnis ist Event Threat Detection.

Maßnahmen

So reagieren Sie auf dieses Ergebnis:

Schritt 1: Ergebnisdetails prüfen

  1. Öffnen Sie ein Ergebnis vom Typ Persistence: New Geography, wie unter Ergebnisdetails prüfen weiter oben auf dieser Seite beschrieben. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.

  2. Sehen Sie sich auf dem Tab Zusammenfassung die Informationen in den folgenden Abschnitten an:

  • Was wurde erkannt, insbesondere die folgenden Felder:
    • E-Mail-Adresse des Prinzipals: das potenziell manipulierte Nutzerkonto.
  • Betroffene Ressource, insbesondere die folgenden Felder:
    • Vollständiger Projektname: das Projekt, das das potenziell manipulierte Nutzerkonto enthält.
  • Weitere Informationen, insbesondere die folgenden Felder:
    • Cloud Logging-URI: Link zu Logging-Einträgen.
    • MITRE ATT&CK-Methode: Link zur MITRE ATT&CK-Dokumentation.
    • Ähnliche Ergebnisse: Links zu ähnlichen Ergebnissen.
  1. Klicken Sie in der Detailansicht des Ergebnisses auf den Tab JSON.

  2. Notieren Sie sich im JSON-Code die folgenden sourceProperties-Felder:

    • affectedResources:
      • gcpResourceName: die betroffene Ressource
    • evidence:
      • sourceLogId:
      • projectId: Die ID des Projekts, das das Ergebnis enthält.
    • properties:
      • anomalousLocation:
      • anomalousLocation: der geschätzte aktuelle Standort des Nutzers.
      • callerIp: die externe IP-Adresse.
      • notSeenInLast: Zeitraum, der zum Festlegen einer Referenz für das normale Verhalten verwendet wird.
      • typicalGeolocations: die Standorte, an denen der Nutzer normalerweise auf Google Cloud Ressourcen zugreift.

Schritt 2: Projekt- und Kontoberechtigungen prüfen

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Wählen Sie bei Bedarf das Projekt aus, das im Feld projectID im JSON-Code des Ergebnisses aufgeführt ist.

  3. Geben Sie auf der angezeigten Seite im Feld Filter den Kontonamen ein, der unter E-Mail-Adresse des Prinzipals aufgeführt ist, und prüfen Sie die zugewiesenen Rollen.

Schritt 3: Protokolle prüfen

  1. Klicken Sie im Bereich mit den Ergebnisdetails auf dem Tab Zusammenfassung auf den Link Cloud Logging-URI, um den Log-Explorer zu öffnen.
  2. Wählen Sie bei Bedarf Ihr Projekt aus.
  3. Prüfen Sie auf der Seite, die geladen wird, die Logs von Aktivitäten aus neuen oder aktualisierten IAM-Ressourcen mithilfe der folgenden Filter:
    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.methodName="google.iam.admin.v1.UpdateRole"
    • protoPayload.methodName="google.iam.admin.v1.CreateRole"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

Schritt 4: Angriffs- und Reaktionsmethoden untersuchen

  1. Sehen Sie sich den MITRE ATT&CK-Framework-Eintrag für diesen Ergebnistyp an: Gültige Konten: Cloudkonten.
  2. Wenn Sie einen Antwortplan entwickeln möchten, kombinieren Sie Ihre Prüfungsergebnisse mit der MITRE -Forschung.

Schritt 5: Antwort implementieren

Der folgende Reaktionplan ist möglicherweise für dieses Ergebnis geeignet, kann sich jedoch auch auf Abläufe auswirken. Prüfen Sie die Informationen, die Sie im Rahmen Ihrer Untersuchung erfasst haben, sorgfältig, um die beste Lösung für die Behebung der Ergebnisse zu finden.

  • Wenden Sie sich an den Inhaber des Projekts mit dem manipulierten Konto.
  • Prüfen Sie die Felder anomalousLocation, typicalGeolocations und notSeenInLast, um festzustellen, ob der Zugriff abnormal ist und ob das Konto manipuliert wurde.
  • Projektressourcen löschen, die von nicht autorisierten Konten erstellt wurden, z. B. unbekannte Compute Engine-Instanzen, Snapshots, Dienstkonten und IAM-Nutzer.
  • Informationen zum Einschränken der Erstellung neuer Ressourcen auf bestimmte Regionen finden Sie unter Ressourcenstandorte einschränken.
  • Um IAM-Rollen mit zu vielen Berechtigungen zu identifizieren und zu beheben, verwenden Sie IAM Recommender.

Beispiel für JSON-Code eines Ergebnisses

Im Folgenden sehen Sie ein Beispiel für den JSON-Code eines Ergebnisses.

{
  "finding": {
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "resourceName": "//k8s.io/coordination.k8s.io/v1/namespaces/kube-node-lease/leases/gke-cscc-security-tools-default-pool-7c5d7b59-bn2h",
    "state": "ACTIVE",
    "category": "Persistence: New Geography",
    "sourceProperties": {
      "sourceId": {
        "projectNumber": "PROJECT_NUMBER",
        "customerOrganizationNumber": "ORGANIZATION_ID"
      },
      "detectionCategory": {
        "technique": "persistence",
        "indicator": "audit_log",
        "ruleName": "iam_anomalous_behavior",
        "subRuleName": "ip_geolocation"
      },
      "detectionPriority": "LOW",
      "affectedResources": [{
        "gcpResourceName": "RESOURCE_NAME"
      }, {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }],
      "evidence": [{
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "1617994703",
            "nanos": 5.08853E8
          },
          "insertId": "INSERT_ID"
        }
      }],
      "properties": {
        "anomalousLocation": {
          "anomalousLocation": "BE",
          "callerIp": "IP_ADDRESS",
          "principalEmail": "PRINCIPAL_EMAIL",
          "notSeenInLast": "2592000s",
          "typicalGeolocations": [{
            "country": {
              "identifier": "US"
            }
          }]
        }
      },
      "findingId": "FINDING_ID",
      "contextUris": {
        "mitreUri": {
          "displayName": "MITRE Link",
          "url": "https://attack.mitre.org/techniques/T1078/004/"
        },
        "cloudLoggingQueryUri": [{
          "displayName": "Cloud Logging Query Link",
          "url": "https://console.cloud.google.com/logs/query;query\u003dtimestamp%3D%222021-04-09T18:58:23.508853Z%22%0AinsertId%3D%22INSERT_ID%22%0Aresource.labels.project_id%3D%22PROJECT_ID%22?project\u003dPROJECT_ID"
        }]
      }
    },
    "securityMarks": {
      "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID/securityMarks"
    },
    "eventTime": "2021-04-09T18:59:43.860Z",
    "createTime": "2021-04-09T18:59:44.440Z",
    "severity": "LOW",
    "workflowState": "NEW",
    "canonicalName": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID"
  },
  "resource": {
    "name": "RESOURCE_NAME"
  }
}

Nächste Schritte