Event Threat Detection testen

Dienststufen für Premium und Enterprise (eingestellt)

Die Dienststufe Security Command Center Enterprise wird am 21. Mai 2027 eingestellt. Wenn Ihre Organisation die Dienststufe Enterprise verwendet, wird sie am oder nach dem 21. Mai 2027 automatisch auf die Dienststufe Premium umgestellt. Bei Fragen wenden Sie sich an Ihren Kundenbetreuer oder einen Google Cloud Vertriebsspezialisten.

Prüfen Sie, ob Event Threat Detection funktioniert, indem Sie die Detektoren absichtlich auslösen, die Ergebnisse im Security Command Center oder in Cloud Logging ansehen und dann die Testressourcen bereinigen.

Event Threat Detection ist ein integrierter Dienst, der die Logging-Streams von Cloud Logging und Google Workspace Ihrer Organisation überwacht und Bedrohungen nahezu in Echtzeit erkennt. Weitere Informationen finden Sie unter Event Threat Detection – Übersicht.

Hinweis

Prüfen Sie vor dem Testen von Event Threat Detection die folgenden Voraussetzungen:

• Dienstaktivierung: Damit Ergebnisse von Event Threat Detection angezeigt werden können, muss der Dienst in den Security Command Center Services -Einstellungen aktiviert sein.
• IAM-Berechtigungen:Je nachdem, welchen Detektor Sie testen möchten, benötigen Sie eine der folgenden Rollen:
  • IAM Anomalous Grant:Eine IAM-Rolle (Identity and Access Management) mit der Berechtigung resourcemanager.projects.setIamPolicy, z. B. die Rolle „Projekt-IAM-Administrator“.
  • Malware: Bad Domain:Eine IAM-Rolle mit den Berechtigungen compute.instances.create und dns.policies.create, z. B. die Rolle „Projektbearbeiter“.
  • SSH-Brute-Force:eine IAM-Rolle mit der Berechtigung compute.instances.create, z. B. die Rolle „Compute-Instanzadministrator (v1)“ oder „Projektbearbeiter“.

Testergebnisse auslösen

Um zu prüfen, ob Event Threat Detection Ergebnisse generiert, wählen Sie einen der folgenden Detektoren aus, um ihn auszulösen:

• IAM Anomalous Grant-Detektor:Lösen Sie diesen Detektor aus, indem Sie einem externen Testnutzerkonto eine sensible Rolle zuweisen.
• Malware: Detektor für schädliche Domains:Lösen Sie diesen Detektor aus, indem Sie eine Abfrage für eine schädliche Testdomain von einer VM-Instanz aus ausführen.
• SSH-Brute-Force-Detektor:Lösen Sie diesen Detektor aus, indem Sie eine VM-Instanz so konfigurieren, dass Systemauthentifizierungslogs gestreamt werden. Simulieren Sie dann mehrere fehlgeschlagene SSH-Anmeldeversuche, gefolgt von einer erfolgreichen Anmeldung.

IAM Anomalous Grant-Detektor auslösen

Erstellen Sie einen externen Testnutzer und weisen Sie ihm die Rolle „Projektinhaber“ zu, um den IAM Anomalous Grant-Detektor auszulösen:

1. Erstellen Sie einen Testnutzer mit einer privaten @gmail.com-E-Mail-Adresse. Achten Sie darauf, dass dieses @gmail.com-Konto noch keine IAM-Berechtigungen in dem Projekt hat, in dem Sie den Test durchführen.

   Hinweis: Dieses Ergebnis wird nur für Security Command Center-Nutzer mit einer @gmail.com E-Mail-Adresse ausgelöst.

2. Rufen Sie in der Google Cloud Console die Seite IAM auf.

   IAM aufrufen

3. Klicken Sie auf Zugriff erlauben.

4. Geben Sie im Feld Neue Hauptkonten die @gmail.com-Adresse des Testnutzers ein.

5. Wählen Sie in der Drop-down-Liste Rolle auswählen die Option Projekt > Inhaber aus.

6. Klicken Sie auf Speichern.

Malware: Bad Domain-Detektor auslösen

Erstellen Sie eine VM-Instanz, bei der die DNS-Abfragelogging aktiviert ist, und fragen Sie dann eine Testdomain ab, um den Malware: Bad Domain-Detektor auszulösen:

1. Erstellen Sie eine VM-Instanz in einem VPC-Netzwerk. Eine Anleitung finden Sie unter VM-Instanz erstellen und starten. Achten Sie darauf, dass das Projekt, das die VM-Instanz enthält, im Umfang von Event Threat Detection enthalten ist. Das heißt, der Event Threat Detection-Dienst ist für das Projekt oder die übergeordnete Organisation aktiviert.

2. Konfigurieren Sie eine DNS-Serverrichtlinie für das VPC-Netzwerk, um das Logging zu aktivieren:

   1. Rufen Sie in der Google Cloud Console die Seite Cloud DNS auf.

      Cloud DNS aufrufen

   2. Wählen Sie den Tab DNS-Serverrichtlinien aus.

   3. Klicken Sie auf Richtlinie erstellen.

   4. Geben Sie im Feld Name einen Namen für die Richtlinie ein.

   5. Wählen Sie unter Logs die Option Ein aus, um das Logging von DNS-Abfragen zu aktivieren.

   6. Wählen Sie unter Netzwerke das VPC-Netzwerk aus, das von Ihrer VM-Instanz verwendet wird.

   7. Klicken Sie auf Erstellen.

3. Rufen Sie in der Google Cloud Console die Seite VM-Instanzen auf:

   Zur Seite „VM-Instanzen“

4. Klicken Sie in der Liste der VM-Instanzen in der Zeile der von Ihnen erstellten VM-Instanz auf SSH. Ein Terminalfenster wird auf Ihrer VM-Instanz geöffnet.

5. Führen Sie dazu diesen Befehl aus:

   curl etd-malware-trigger.goog
   

   Hinweis: Cloud DNS protokolliert diese DNS-Anfrage und löst das Ergebnis aus, da etd-malware-trigger.goog eine bekannte ungültige Testdomain ist.

SSH-Brute-Force-Detektor auslösen

Konfigurieren Sie das Authentifizierungslogging und simulieren Sie fehlgeschlagene SSH-Anmeldeversuche, um den SSH-Brute-Force-Detektor auszulösen:

1. Erstellen Sie eine Linux-VM-Instanz (z. B. Debian) in einem VPC-Netzwerk. Eine Anleitung finden Sie unter VM-Instanz erstellen und starten. Achten Sie darauf, dass das Projekt, das die VM-Instanz enthält, im Umfang von Event Threat Detection enthalten ist.

2. Rufen Sie in der Google Cloud Console die Seite VM-Instanzen auf:

   Zur Seite „VM-Instanzen“

3. Klicken Sie in der Liste der VM-Instanzen in der Zeile der von Ihnen erstellten VM-Instanz auf SSH. Ein Terminalfenster wird auf Ihrer VM-Instanz geöffnet.

4. Aktivieren Sie die SSH-Passwortauthentifizierung auf der VM-Instanz:

   1. Öffnen Sie die Konfigurationsdatei des SSH-Daemons in einem Texteditor:

      sudo vim /etc/ssh/sshd_config
      

   2. Setzen Sie PasswordAuthentication auf yes:

      PasswordAuthentication yes
      

   3. Starten Sie den SSH-Dienst neu:

      sudo systemctl restart ssh
      

5. Erstellen Sie ein Testnutzerkonto mit einem Passwort:

   sudo adduser TEST_USER
   

   Folgen Sie der Anleitung, um ein Passwort für den Testnutzer anzugeben.

6. Installieren Sie den Ops-Agenten auf der VM-Instanz, um Authentifizierungslogs in Cloud Logging zu streamen. Eine Anleitung finden Sie unter Ops-Agent installieren.

7. Versuchen Sie von einem externen Host oder Terminal mit Netzwerkzugriff auf die VM-Instanz aus, sich acht Mal hintereinander mit falschen Anmeldedaten über SSH in der VM-Instanz anzumelden:

   ssh TEST_USER@INSTANCE_IP_ADDRESS
   

   Geben Sie bei Aufforderung ein falsches Passwort ein. Wiederholen Sie diesen Vorgang acht Mal.

8. Melden Sie sich mit dem richtigen Passwort an:

   ssh TEST_USER@INSTANCE_IP_ADDRESS
   

   Geben Sie bei Aufforderung das richtige Passwort für TEST_USER ein.

9. Prüfen Sie, ob die Authentifizierungslogs in Cloud Logging unter der Log-ID authlog angezeigt werden.

Ergebnisse anzeigen

Nachdem Sie Ergebnisse durch Testen eines Detektors ausgelöst haben, prüfen Sie, ob die Ergebnisse generiert wurden, indem Sie sie im Security Command Center oder in Cloud Logging ansehen:

Ergebnisse im Security Command Center ansehen

So rufen Sie das Event Threat Detection-Ergebnis im Security Command Center auf:

1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.

   Zu Ergebnissen

2. Wählen Sie im Bereich Schnellfilter im Abschnitt Kategorie die Ergebniskategorie aus:

   • Wählen Sie für IAM Anomalous Grant die Option Persistenz: Anomale IAM-Gewährung aus (klicken Sie bei Bedarf auf Mehr ansehen).
   • Wählen Sie für Malware: Ungültige Domain die Option Malware: Ungültige Domain aus (klicken Sie bei Bedarf auf Mehr ansehen).
   • Wählen Sie für SSH-Brute-Force die Option Brute-Force: SSH aus (klicken Sie bei Bedarf auf Mehr ansehen).

3. Klicken Sie im Bereich Ergebnisse der Ergebnisabfrage auf die Spaltenüberschrift Ereigniszeit , um die Liste so zu sortieren, dass das neueste Ergebnis zuerst angezeigt wird.

4. Klicken Sie im Bereich Ergebnisse der Ergebnisabfrage in der Spalte Kategorie auf den Kategorienamen (Persistenz: IAM Anomalous Grant{//1}, Malware: schädliche Domain oder Brute-Force: SSH), um die Details des Ergebnisses aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.

5. Prüfen Sie die Details des Ergebnisses:

   • Prüfen Sie bei Anomale IAM-Gewährung, ob der Wert in der Zeile E-Mail-Adresse des Hauptkontos Ihre gmail.com Test-E-Mail-Adresse enthält.
   • Wählen Sie für Malware: Ungültige Domain den Tab Quelleigenschaften aus und prüfen Sie, ob die Zeile Domains etd-malware-trigger.goog enthält.
   • Prüfen Sie bei SSH-Brute-Force , ob der Nutzername mit Ihrem Test nutzernamen übereinstimmt und die IP-Adresse des Aufrufers mit der IP-Adresse übereinstimmt, von der aus Sie die Anmeldeversuche durchgeführt haben.

Ergebnisse in Cloud Logging ansehen

Dienststufen für Premium und Enterprise (eingestellt)  (Aktivierung auf Organisationsebene erforderlich)

Wenn Sie das Logging von Ergebnissen in Cloud Logging aktiviert haben, können Sie sich die Ergebnisse dort ansehen.

Voraussetzung: Bevor Sie Event Threat Detection Ergebnisse in Logging ansehen können, müssen Sie den Logexport konfigurieren.

So rufen Sie Ergebnisse in Cloud Logging auf:

1. Rufen Sie in der Google Cloud Console den Log-Explorer auf.

   Zum Log-Explorer

2. Wählen Sie das Google Cloud Projekt aus, in dem Sie Ihre Event Threat Detection-Logs speichern.

3. Verwenden Sie den Bereich Abfrage , um Ergebnisse mit einer der folgenden Methoden abzufragen:

   • Gehen Sie in der Liste Alle Ressourcen so vor:
     1. Wählen Sie Threat Detector aus, um eine Liste aller Detektoren aufzurufen.
     2. Wählen Sie unter DETECTOR_NAME die Option iam_anomalous_grant, bad_domain, oder ssh_brute_force aus.
     3. Klicken Sie auf Übernehmen.

   • Geben Sie im Abfrageeditor die folgende Abfrage ein und klicken Sie auf Abfrage ausführen:

     resource.type="threat_detector"
     

4. Klicken Sie auf eine Tabellenzeile und dann auf Verschachtelte Felder erweitern, um das Log aufzurufen.

Testressourcen bereinigen

Um Sicherheitsanomalien zu vermeiden oder unerwünschte Kosten zu verursachen, bereinigen Sie die Testressourcen für den getesteten Detektor:

IAM Anomalous Grant-Ressourcen bereinigen

So widerrufen Sie die für den IAM Anomalous Grant-Test gewährten Berechtigungen:

1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

   IAM aufrufen

2. Klicken Sie in der Zeile für die `@gmail.com`-Adresse des Testnutzers auf Hauptkonto bearbeiten.

3. Klicken Sie im angezeigten Bereich neben der Rolle Inhaber auf Rolle löschen.

4. Klicken Sie auf Speichern.

Malware: Bad Domain-Ressourcen bereinigen

So bereinigen Sie die für den Malware: Bad Domain-Test erstellten Ressourcen:

1. Löschen Sie die von Ihnen erstellte VM-Instanz. Eine Anleitung finden Sie unter VM Instanz löschen.
2. Heben Sie die Zuordnung der von Ihnen erstellten DNS-Serverrichtlinie auf oder löschen Sie sie. Eine Anleitung finden Sie unter DNS-Richtlinie löschen.

SSH-Brute-Force-Ressourcen bereinigen

So bereinigen Sie die für den SSH-Brute-Force-Test erstellten Ressourcen:

1. Löschen Sie die von Ihnen erstellte VM-Instanz. Eine Anleitung finden Sie unter VM Instanz löschen.
2. Wenn Sie die VM-Instanz behalten möchten, setzen Sie PasswordAuthentication auf no in /etc/ssh/sshd_config zurück, starten Sie den SSH-Dienst neu (sudo systemctl restart ssh), und löschen Sie das Testnutzerkonto (sudo deluser TEST_USER).

Fehlerbehebung

Wenn nach dem Testen kein Ergebnis im Security Command Center oder in Cloud Logging angezeigt wird:

• Prüfen Sie, ob Event Threat Detection in den Security Command Center Einstellungen für Dienste aktiviert ist.
• Wenn Sie die Detektoren „Malware: Bad Domain“ oder „SSH-Brute-Force“ testen, prüfen Sie, ob das Projekt, das die VM-Instanz enthält, im Umfang von Event Threat Detection enthalten ist.
• Wenn Sie Ergebnisse in Cloud Logging ansehen möchten, müssen Sie den Logexport konfiguriert haben.
• Weitere Schritte zur Fehlerbehebung finden Sie unter Fehlerbehebung für Security Command Center.

Nächste Schritte

• Weitere Informationen zur Verwendung von Event Threat Detection .
• Lesen Sie eine allgemeine Übersicht über Event Threat Detection-Konzepte.
• Weitere Informationen zum Untersuchen und Entwickeln von Reaktionsplänen für Bedrohungen.