Testa Event Threat Detection

Livelli di servizio Premium ed Enterprise (ritirati)

Il livello di servizio Security Command Center Enterprise verrà chiuso il 21 maggio 2027. Se la tua organizzazione utilizza il livello di servizio Enterprise, passerà automaticamente al livello di servizio Premium a partire dal 21 maggio 2027. In caso di domande, contatta il tuo rappresentante dell'account o uno Google Cloud specialista delle vendite.

Verifica che Event Threat Detection funzioni attivando intenzionalmente i rilevatori, visualizzando i risultati in Security Command Center o Cloud Logging e poi eseguendo la pulizia delle risorse di test.

Event Threat Detection è un servizio integrato che monitora i flussi di logging di Cloud Logging e Google Workspace della tua organizzazione e rileva le minacce in tempo quasi reale. Per saperne di più, consulta la panoramica di Event Threat Detection.

Prima di iniziare

Per testare Event Threat Detection, verifica i seguenti prerequisiti:

• Abilitazione del servizio: per visualizzare i risultati di Event Threat Detection, il servizio deve essere abilitato nelle impostazioni dei servizi di Security Command Center Services.
• Autorizzazioni IAM: a seconda del rilevatore che vuoi testare, devi disporre di uno dei seguenti ruoli:
  • Concessione IAM anomala: un ruolo Identity and Access Management (IAM) con l'autorizzazione resourcemanager.projects.setIamPolicy, come il ruolo Amministratore IAM progetto.
  • Malware: dominio non valido: un ruolo IAM con le autorizzazioni compute.instances.create e dns.policies.create, come il ruolo Editor progetto.
  • Forza bruta SSH: un ruolo IAM con l'autorizzazione compute.instances.create, come il ruolo Amministratore istanze Compute (v1) o Editor progetto.

Attiva i risultati dei test

Per verificare che Event Threat Detection generi risultati, seleziona uno dei seguenti rilevatori da attivare:

• Rilevatore di concessioni IAM anomale: attiva questo rilevatore concedendo un ruolo sensibile a un account utente di test esterno.
• Malware: rilevatore di domini dannosi: attiva questo rilevatore eseguendo una query su un dominio dannoso di test da un'istanza VM.
• Rilevatore di forza bruta SSH: attiva questo rilevatore configurando un'istanza VM per lo streaming dei log di autenticazione del sistema. Poi, simula più tentativi di accesso SSH non riusciti, seguiti da un accesso riuscito.

Attiva il rilevatore di concessioni IAM anomale

Per attivare il rilevatore IAM Anomalous Grant, crea un utente di test esterno e concedi il ruolo Proprietario progetto:

1. Crea un utente di test con un indirizzo email personale @gmail.com. Assicurati che questo account @gmail.com non abbia già autorizzazioni IAM nel progetto in cui stai eseguendo il test.

   Nota: questo risultato viene attivato solo per gli utenti di Security Command Center con un @gmail.com indirizzo email.

2. Nella Google Cloud console vai alla pagina IAM.

   Vai a IAM

3. Fai clic su Concedi l'accesso.

4. Nel campo Nuove entità, inserisci l'indirizzo @gmail.com dell'utente di test.

5. Nell'elenco a discesa Seleziona un ruolo, seleziona Progetto > Proprietario.

6. Fai clic su Salva.

Attiva il rilevatore di malware: dominio non valido

Per attivare il rilevatore di malware: dominio non valido, crea un'istanza VM con il logging delle query DNS abilitato e poi esegui una query su un dominio di test:

1. Crea un'istanza VM su una rete VPC. Per istruzioni, consulta Crea e avvia un'istanza VM. Assicurati che il progetto contenente l'istanza VM sia nell'ambito di Event Threat Detection. Ciò significa che il servizio Event Threat Detection è abilitato per il progetto o la sua organizzazione principale.

2. Per abilitare il logging, configura una policy del server DNS per la rete VPC:

   1. Nella Google Cloud console, vai alla pagina Cloud DNS.

      Vai a Cloud DNS

   2. Seleziona la scheda Policy del server DNS.

   3. Fai clic su Crea policy.

   4. Nel campo Nome, inserisci un nome per la policy.

   5. In Log, seleziona On per abilitare il logging delle query DNS.

   6. In Reti, seleziona la rete VPC utilizzata dall'istanza VM.

   7. Fai clic su Crea.

3. Nella Google Cloud console, vai alla pagina Istanze VM.

   Vai a Istanze VM

4. Nell'elenco delle istanze della macchina virtuale, fai clic su SSH nella riga dell'istanza VM che hai creato. Si apre una finestra del terminale sull'istanza VM.

5. Esegui questo comando:

   curl etd-malware-trigger.goog
   

   Nota: Cloud DNS registra questa richiesta DNS e attiva il risultato perché etd-malware-trigger.goog è un dominio dannoso di test noto.

Attiva il rilevatore di forza bruta SSH

Per attivare il rilevatore di forza bruta SSH, configura il logging dell'autenticazione e simula i tentativi di accesso SSH non riusciti:

1. Crea un'istanza VM Linux (ad esempio Debian) su una rete VPC. Per istruzioni, consulta Crea e avvia un'istanza VM. Assicurati che il progetto contenente l'istanza VM sia nell'ambito di Event Threat Detection.

2. Nella Google Cloud console, vai alla pagina Istanze VM.

   Vai a Istanze VM

3. Nell'elenco delle istanze della macchina virtuale, fai clic su SSH nella riga dell'istanza VM che hai creato. Si apre una finestra del terminale sull'istanza VM.

4. Abilita l'autenticazione tramite password SSH sull'istanza VM:

   1. Apri il file di configurazione del daemon SSH in un editor di testo:

      sudo vim /etc/ssh/sshd_config
      

   2. Imposta PasswordAuthentication su yes:

      PasswordAuthentication yes
      

   3. Riavvia il servizio SSH:

      sudo systemctl restart ssh
      

5. Crea un account utente di test con una password:

   sudo adduser TEST_USER
   

   Segui i prompt per specificare una password per l'utente di test.

6. Per trasmettere i log di autenticazione a Cloud Logging, installa Ops Agent sull'istanza VM. Per istruzioni, consulta Installa Ops Agent.

7. Da un host o un terminale esterno con accesso di rete all'istanza VM, tenta di accedere all'istanza VM utilizzando SSH con credenziali errate per 8 volte consecutive:

   ssh TEST_USER@INSTANCE_IP_ADDRESS
   

   Quando viene richiesta la password, inserisci una password errata. Ripeti questa operazione 8 volte.

8. Accedi con la password corretta:

   ssh TEST_USER@INSTANCE_IP_ADDRESS
   

   Quando richiesto, inserisci la password corretta per TEST_USER.

9. Verifica che i log di autenticazione vengano visualizzati in Cloud Logging con l'ID log authlog.

Visualizza risultati

Dopo aver attivato i risultati testando un rilevatore, verifica che i risultati siano generati visualizzandoli in Security Command Center o Cloud Logging:

Visualizza i risultati in Security Command Center

Per visualizzare il risultato di Event Threat Detection in Security Command Center:

1. Nella Google Cloud console, vai alla pagina Risultati di Security Command Center.

   Vai a Risultati

2. Nella sezione Categoria del riquadro Filtri rapidi, seleziona la categoria del risultato:

   • Per Concessione IAM anomala, seleziona Persistenza: concessione IAM anomala (fai clic su Visualizza altro se necessario).
   • Per Malware: dominio non valido, seleziona Malware: dominio non valido (fai clic su Visualizza altro se necessario).
   • Per Forza bruta SSH, seleziona Forza bruta: SSH (fai clic su Visualizza altro se necessario).

3. Per ordinare l'elenco nel riquadro Risultati della query sui risultati, fai clic sull'intestazione della colonna Ora evento in modo che il risultato più recente venga visualizzato per primo.

4. Nel riquadro Risultati della query sui risultati , visualizza i dettagli del risultato facendo clic sul nome della categoria (Persistenza: IAM Anomalous Grant, Malware: dominio dannoso o Forza bruta: SSH) nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.

5. Verifica i dettagli del risultato:

   • Per Concessione IAM anomala, controlla che il valore nella riga Email dell'entità contenga l'indirizzo email di test gmail.com.
   • Per Malware: dominio non valido, seleziona la scheda Proprietà di origine e controlla che la riga Domini contenga etd-malware-trigger.goog.
   • Per Forza bruta SSH, controlla che il Nome utente corrisponda al nome utente di test e che l'IP del chiamante corrisponda all'indirizzo IP da cui hai eseguito i tentativi di accesso.

Visualizza i risultati in Cloud Logging

Livelli di servizio Premium ed Enterprise (ritirati)  (richiede l'attivazione a livello di organizzazione)

Se hai abilitato i risultati di logging in Cloud Logging, puoi visualizzarli lì.

Prerequisito: prima di poter visualizzare i risultati di Event Threat Detection in Logging, configura l'esportazione dei log.

Per visualizzare i risultati in Cloud Logging:

1. Nella Google Cloud console, vai a Esplora log.

   Vai a Esplora log

2. Seleziona il Google Cloud progetto in cui stai archiviando i tuoi log di Event Threat Detection.

3. Utilizza il riquadro Query per eseguire query sui risultati utilizzando uno dei seguenti metodi:

   • Nell'elenco Tutte le risorse, procedi nel seguente modo:
     1. Seleziona Rilevatore di minacce per visualizzare un elenco di tutti i rilevatori.
     2. In NOME_RILEVATORE, seleziona iam_anomalous_grant, bad_domain, o ssh_brute_force.
     3. Fai clic su Applica.

   • Nell'editor di query, inserisci la seguente query e fai clic su Esegui query:

     resource.type="threat_detector"
     

4. Per visualizzare il log, fai clic su una riga della tabella e poi su Espandi campi nidificati.

Libera spazio nelle risorse di test

Per evitare di lasciare anomalie di sicurezza o incorrere in addebiti indesiderati, esegui la pulizia delle risorse di test per il rilevatore che hai testato:

Esegui la pulizia delle risorse di concessione IAM anomala

Per revocare le autorizzazioni concesse per il test IAM Anomalous Grant:

1. Nella Google Cloud console vai alla pagina IAM.

   Vai a IAM

2. Nella riga dell'indirizzo gmail.com dell'utente di test, fai clic su Modifica entità.

3. Nel riquadro visualizzato, fai clic su Elimina ruolo accanto a l ruolo Proprietario.

4. Fai clic su Salva.

Libera spazio dal malware: risorse di dominio dannoso

Per liberare spazio dalle risorse create per il test di malware: dominio non valido:

1. Elimina l'istanza VM che hai creato. Per istruzioni, consulta Elimina un'istanza VM.
2. Dissocia o elimina la policy del server DNS che hai creato. Per istruzioni, consulta Elimina una policy DNS.

Esegui la pulizia delle risorse di forza bruta SSH

Per liberare spazio dalle risorse create per il test di forza bruta SSH:

1. Elimina l'istanza VM che hai creato. Per istruzioni, consulta Elimina un'istanza VM.
2. In alternativa, se vuoi conservare l'istanza VM, ripristina PasswordAuthentication su no in /etc/ssh/sshd_config, riavvia il servizio SSH (sudo systemctl restart ssh), ed elimina l'account utente di test (sudo deluser TEST_USER).

Risoluzione dei problemi

Se un risultato non viene visualizzato in Security Command Center o Cloud Logging dopo il test:

• Verifica che Event Threat Detection sia abilitato nelle impostazioni dei servizi di Security Command Center Services.
• Se stai testando i rilevatori di malware: dominio non valido o forza bruta SSH, verifica che il progetto contenente l'istanza VM sia nell'ambito di Event Threat Detection.
• Per visualizzare i risultati in Cloud Logging, assicurati di aver configurato l'esportazione dei log.
• Per ulteriori passaggi per la risoluzione dei problemi, consulta Risoluzione dei problemi di Security Command Center.

Passaggi successivi

• Scopri di più su come utilizzare Event Threat Detection .
• Leggi una panoramica di alto livello di concetti di Event Threat Detection.
• Scopri come analizzare e sviluppare piani di risposta alle minacce.