במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.
סקירה כללית
התכונה 'זיהוי איומים באירועים' בודקת את יומני הביקורת כדי לזהות אם המדיניות constraints/storage.secureHttpTransport עודכנה כדי להשבית את חסימת המדיניות של http.
המקור של הממצא הזה הוא Event Threat Detection.
איך מגיבים
כדי להגיב לממצא הזה:
שלב 1: בדיקת פרטי הממצא
- פותחים את
Defense Evasion: Project HTTP Policy Block Disabledהממצא, כמו שמתואר במאמר בדיקת הממצאים. חלונית הפרטים של הממצא תיפתח בכרטיסייה Summary. - בכרטיסייה סיכום, בודקים את המידע בקטעים הבאים:
- מה זוהה, במיוחד השדות הבאים:
- תיאור: מידע על הזיהוי
- נושא ראשי: משתמש או חשבון שירות שביצעו פעולה בהצלחה
- מקור המידע שהושפע
- Resource display name: הפרויקט, התיקייה או הארגון שבהם המדיניות עודכנה.
- קישורים רלוונטיים, במיוחד השדות הבאים:
- שיטת MITRE ATTACK: קישור למסמכי התיעוד של MITRE ATT&CK.
- Logging URI: קישור לפתיחת Logs Explorer.
- מה זוהה, במיוחד השדות הבאים:
שלב 2: מחקר על שיטות התקפה ותגובה
פונים לבעלים של חשבון השירות או של חשבון המשתמש בשדה Principal subject. צריך לוודא שהבעלים החוקי ביצע את הפעולה להשבתת האילוצים או המדיניות בנושא אחסון.
המאמרים הבאים
- איך עובדים עם ממצאי איומים ב-Security Command Center
- אפשר לעיין באינדקס של ממצאי איומים.
- איך בודקים ממצא דרך מסוף Google Cloud .
- מידע על השירותים שמפיקים ממצאים לגבי איומים