Persistencia: Cuenta no administrada con rol sensible

En este documento, se describe un tipo de hallazgo de amenazas de Security Command Center. Los detectores de amenazas generan hallazgos de amenazas cuando identifican una posible amenaza en tus recursos de Cloud. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.

Descripción general

Se otorgó un rol sensible a una cuenta no administrada. Los administradores del sistema no pueden controlar las cuentas no administradas. Por ejemplo, cuando el empleado correspondiente dejó la empresa, el administrador no puede borrar la cuenta. Por lo tanto, otorgar roles sensibles a cuentas no administradas crea un riesgo de seguridad potencial para la organización.

Event Threat Detection es la fuente de este hallazgo.

Cómo se debe responder

Para responder a este hallazgo, sigue los pasos que se indican a continuación:

Paso 1: Revisa los detalles del hallazgo

  1. Abre un hallazgo de Persistence: Unmanaged Account Granted Sensitive Role como se indica en Revisa los hallazgos.

  2. En los detalles del hallazgo, en la pestaña Resumen, anota los valores de los siguientes campos.

    En Qué se detectó, se muestra lo siguiente:

    • Correo electrónico principal: Es el usuario que llevó a cabo la acción de otorgamiento.
    • Offending access grants.Principal name: Es la cuenta no administrada que recibe la concesión.
    • Offending access grants.Role granted: Es el rol sensible otorgado.

Paso 2: Investiga los métodos de ataque y respuesta

  1. Comunícate con el propietario del campo Correo electrónico principal. Confirma si el propietario legítimo llevó a cabo la acción.
  2. Consulta con el propietario del campo Offending access grants.Principal name y comprende el origen de la cuenta no administrada.

Paso 3: Comprueba los registros

  1. En la pestaña Resumen del panel de detalles del hallazgo, en Vínculos relacionados , haz clic en el vínculo URI de Cloud Logging para abrir el Explorador de registros.

Paso 4: Implementa tu respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas en tu investigación para determinar la mejor manera de resolver los hallazgos.

  • Comunícate con el propietario del proyecto en el que se llevó a cabo la acción.
  • Quita el acceso del propietario del correo electrónico principal si se ve comprometido.
  • Quita el rol sensible recién otorgado de la cuenta no administrada.
  • Considera convertir la cuenta no administrada en una cuenta administrada con la herramienta de transferencia, y mueve esta cuenta bajo el control de los administradores del sistema.

¿Qué sigue?