服務帳戶自我調查

本文說明 Security Command Center 中的威脅發現項目類型。威脅偵測工具偵測到雲端資源中可能存在威脅時，就會產生威脅發現項目。如需可用威脅發現項目的完整清單，請參閱威脅發現項目索引。

總覽

系統正在使用服務帳戶憑證，調查與該服務帳戶相關聯的角色和權限。這項發現表示服務帳戶憑證可能遭盜用，應立即採取行動。

Event Threat Detection 是這項發現項目的來源。

回應方式

如要回應這項發現項目，請按照下列步驟操作：

步驟 1：查看調查結果詳細資料

  1. 按照本頁稍早「查看調查結果詳細資料」一節的說明，開啟 Discovery: Service Account Self-Investigation 發現項目。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。

  2. 在「摘要」分頁中，查看下列各節的資訊：

    • 偵測到的內容，尤其是下列欄位：
      • 嚴重程度：指派給發現項目的風險等級。如果觸發這項發現項目 的 API 呼叫未經授權，也就是服務帳戶沒有權限透過 projects.getIamPolicy API 查詢自己的 IAM 權限，則嚴重程度為 HIGH。
      • 主體電子郵件地址：可能遭盜用的服務帳戶。
      • 呼叫端 IP：內部或外部 IP 位址
    • 受影響的資源，尤其是下列欄位：
      • 資源完整名稱：
      • 專案完整名稱：包含可能外洩帳戶憑證的專案。
    • 相關連結，尤其是下列欄位：
      • Cloud Logging URI：記錄項目連結。
      • MITRE ATT&CK 方法：連結至 MITRE ATT&CK 文件。
      • 相關發現項目：任何相關發現項目的連結。
    1. 如要查看發現項目的完整 JSON，請按一下「JSON」分頁標籤。

步驟 2：檢查專案和服務帳戶權限

  1. 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

    前往「IAM」頁面

  2. 如有需要，請選取發現項目 JSON 的 projectID 欄位中列出的專案。

  3. 在隨即顯示的頁面中，於「Filter」(篩選器) 方塊中輸入「Principal email」(主體電子郵件) 中列出的帳戶名稱，並檢查已指派的權限。

  4. 前往 Google Cloud 控制台的「Service accounts」(服務帳戶) 頁面。

    前往「Service Accounts」(服務帳戶)

  5. 在隨即顯示的頁面中，於「篩選器」方塊輸入遭入侵的服務帳戶名稱，並檢查服務帳戶的金鑰和金鑰建立日期。

步驟 3：檢查記錄

  1. 在發現項目詳細資料面板的「摘要」分頁中，按一下「Cloud Logging URI」連結，開啟「Logs Explorer」。
  2. 必要時，請選取專案。
  3. 在隨即載入的頁面中，使用下列篩選器檢查新或更新的 IAM 資源活動記錄：
    • proto_payload.method_name="google.iam.admin.v1.CreateServiceAccount"
    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

步驟 4：研究攻擊和應變方法

  1. 請參閱這類發現項目的 MITRE ATT&CK 框架項目： 權限群組探索：雲端群組。
  2. 如要制定回應計畫，請將調查結果與 MITRE 研究結合。

步驟 5：實作回應

下列應變計畫可能適用於這項發現，但也可能影響作業。 請仔細評估調查期間收集到的資訊，找出解決問題的最佳方式。

  • 請與遭盜用的帳戶的專案擁有者聯絡。
  • 刪除遭入侵的服務帳戶，並輪替及刪除遭入侵專案的所有服務帳戶存取金鑰。刪除後，使用該服務帳戶進行驗證的資源將無法存取。
  • 刪除遭盜用的帳戶建立的專案資源，例如不熟悉的 Compute Engine 執行個體、快照、服務帳戶和 IAM 使用者。

發現項目 JSON 範例

以下是發現項目 JSON 的範例。

{
  "finding": {
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "state": "ACTIVE",
    "category": "Discovery: Service Account Self-Investigation",
    "sourceProperties": {
      "sourceId": {
        "projectNumber": "PROJECT_NUMBER",
        "customerOrganizationNumber": "ORGANIZATION_ID"
      },
      "detectionCategory": {
        "technique": "discovery",
        "indicator": "audit_log",
        "ruleName": "iam_anomalous_behavior",
        "subRuleName": "service_account_gets_own_iam_policy"
      },
      "detectionPriority": "LOW",
      "affectedResources": [{
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }],
      "evidence": [{
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "1619200104",
            "nanos": 9.08E8
          },
          "insertId": "INSERT_ID"
        }
      }],
      "properties": {
        "serviceAccountGetsOwnIamPolicy": {
          "principalEmail": "USER_EMAIL@PROJECT_ID.iam.gserviceaccount.com",
          "projectId": "PROJECT_ID",
          "callerIp": "IP_ADDRESS",
          "callerUserAgent": "CALLER_USER_AGENT",
          "rawUserAgent": "RAW_USER_AGENT"
        }
      },
      "contextUris": {
        "mitreUri": {
          "displayName": "Permission Groups Discovery: Cloud Groups",
          "url": "https://attack.mitre.org/techniques/T1069/003/"
        },
        "cloudLoggingQueryUri": [{
          "displayName": "Cloud Logging Query Link",
          "url": "LOGGING_LINK"
        }]
      }
    },
    "securityMarks": {
      "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID/securityMarks"
    },
    "eventTime": "2021-04-23T17:48:24.908Z",
    "createTime": "2021-04-23T17:48:26.922Z",
    "severity": "LOW",
    "workflowState": "NEW",
    "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "projectName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "projectDisplayName": "PROJECT_ID",
    "parentName": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parentDisplayName": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project"
  }
}

後續步驟