En este documento, se describe un tipo de hallazgo de amenazas de Security Command Center. Los detectores de amenazas generan hallazgos cuando detectan una amenaza potencial en tus recursos alojados en la nube. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.
Descripción general
Los registros de auditoría se examinan para detectar movimientos sospechosos de discos entre los recursos de instancias de Compute Engine. Se conectó un disco de arranque que podría estar modificado a tu Compute Engine.
Event Threat Detection es la fuente de este hallazgo.
Cómo se debe responder
Para responder a este hallazgo, sigue los pasos que se indican a continuación:
Paso 1: Revisa los detalles del hallazgo
- Abre un hallazgo de
Lateral Movement: Modify Boot Disk Attaching to Instance, como se indica en Revisa los hallazgos. Se abre el panel de detalles del hallazgo en la pestaña Resumen. En la pestaña Resumen, anota los valores de los campos siguientes.
En Qué se detectó, presta atención a los datos siguientes:
- Correo electrónico principal: Es la cuenta de servicio que llevó a cabo la acción.
- Nombre del servicio: Es el nombre de la API del servicio de Google Cloud al que accedió la cuenta de servicio.
- Nombre del método: Es el método al que se llamó.
Paso 2: Investiga los métodos de ataque y respuesta
- Usa herramientas de cuentas de servicio, como el Analizador de actividad, para investigar la actividad de la cuenta de servicio asociada.
- Comunícate con el propietario de la cuenta de servicio en el campo Correo electrónico del principal. Confirma si el propietario legítimo llevó a cabo la acción.
Paso 3: Implementa la respuesta
El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas durante la investigación para determinar la mejor manera de resolver los hallazgos.
- Comunícate con el propietario del proyecto en el que se llevó a cabo la acción.
- Considera usar el arranque seguro para tus instancias de VM de Compute Engine.
- Considera borrar la cuenta de servicio que podría estar vulnerada, además de rotar y borrar todas las claves de acceso de la cuenta de servicio del proyecto que podría estar vulnerado. Después de la eliminación, las aplicaciones que usan la cuenta de servicio para la autenticación perderán el acceso. Antes de continuar, tu equipo de seguridad debe identificar todas las aplicaciones afectadas y trabajar con los propietarios de estas para garantizar la continuidad empresarial.
- Trabaja con tu equipo de seguridad para identificar recursos desconocidos, incluidos instancias de Compute Engine, instantáneas, cuentas de servicio y usuarios de IAM. Borra los recursos que no se crearon con cuentas autorizadas.
- Responde a las notificaciones de la asistencia de Google Cloud .
¿Qué sigue?
- Aprende a trabajar con los hallazgos de amenazas en Security Command Center.
- Consulta el Índice de hallazgos de amenazas.
- Aprende a revisar un hallazgo con la consola de Google Cloud .
- Obtén información sobre los servicios que generan hallazgos de amenazas.