Event Threat Detection testen

Prüfen Sie, ob Event Threat Detection funktioniert, indem Sie absichtlich den IAM Anomalie-Grants-Detektor oder den Malware: Bad Domain-Detektor auslösen und nach Ergebnissen suchen.

Event Threat Detection ist ein integrierter Dienst, der die Logging-Streams von Cloud Logging und Google Workspace Ihrer Organisation überwacht und Bedrohungen nahezu in Echtzeit erkennt. Weitere Informationen finden Sie unter Event Threat Detection – Übersicht.

Hinweis

Damit Ergebnisse von Event Threat Detection angezeigt werden können, muss der Dienst in den Security Command Center Services Einstellungen aktiviert sein.

Je nachdem, welchen Detektor Sie testen möchten, benötigen Sie eine der folgenden Rollen:

  • IAM Anomalie-Grants:Eine IAM-Rolle (Identity and Access Management) mit der Berechtigung resourcemanager.projects.setIamPolicy, z. B. die Rolle „Projekt-IAM-Administrator“.
  • Malware: Bad Domain:Eine IAM-Rolle mit den Berechtigungen compute.instances.create und dns.policies.create, z. B. die Rolle „Projektbearbeiter“.

Event Threat Detection testen

Wenn Sie Event Threat Detection testen möchten, wählen Sie eine der folgenden Optionen aus, um den Dienst auszulösen:

  • IAM Anomalie-Grants-Detektor : Lösen Sie diesen Detektor aus, indem Sie einem externen Testnutzerkonto eine sensible Rolle zuweisen.
  • Malware: Bad Domain-Detektor : Lösen Sie diesen Detektor aus, indem Sie von einer VM-Instanz aus eine Abfrage für eine fehlerhafte Testdomain ausführen.

Nachdem Sie Ergebnisse ausgelöst haben, sehen Sie sich die Ergebnisse an und führen Sie eine Bereinigung durch:

  • Ergebnis ansehen: Prüfen Sie das Ergebnis in Security Command Center oder in Cloud Logging.
  • Bereinigen:Löschen Sie die Testressourcen, um Sicherheitsanomalien zu vermeiden und Kosten zu sparen.

Option A: IAM Anomalie-Grants-Detektor

Führen Sie die folgenden Schritte aus, um den IAM Anomalie-Grants-Detektor auszulösen:

  1. Testnutzer erstellen
  2. IAM Anomalie-Grants-Detektor auslösen

Testnutzer erstellen

Um den Detektor auszulösen, benötigen Sie einen Testnutzer mit einer E-Mail-Adresse von gmail.com. Sie können ein gmail.com-Konto erstellen und diesem dann Zugriff auf das Projekt gewähren, in dem Sie den Test durchführen möchten. Achten Sie darauf, dass dieses gmail.com-Konto noch keine IAM-Berechtigungen in dem Projekt hat, in dem Sie den Test durchführen.

IAM Anomalie-Grants-Detektor auslösen

Lösen Sie den IAM Anomalie-Grants-Detektor aus, indem Sie die gmail.com-E-Mail-Adresse zur Rolle „Projektinhaber“ einladen.

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Klicken Sie auf Zugriff erlauben.

  3. Geben Sie im Feld Neue Hauptkonten die gmail.com-Adresse des Testnutzers ein.

  4. Wählen Sie in der Drop-down-Liste Rolle auswählen die Option Projekt > Inhaber aus.

  5. Klicken Sie auf Speichern.

Option B: Malware: Bad Domain-Detektor

Führen Sie die folgenden Schritte aus, um den Malware: Bad Domain-Detektor auszulösen:

  1. VM-Instanz erstellen und Cloud DNS-Logs aktivieren
  2. Malware: Bad Domain-Detektor auslösen

VM-Instanz erstellen und Cloud DNS-Logs aktivieren

  1. Erstellen Sie eine VM-Instanz in einem VPC-Netzwerk. Eine Anleitung finden Sie unter VM-Instanz erstellen und starten. Achten Sie darauf, dass das Projekt mit der VM-Instanz im Umfang von Event Threat Detection enthalten ist. Das heißt, der Event Threat Detection-Dienst ist für das Projekt oder die übergeordnete Organisation aktiviert.

  2. Konfigurieren Sie eine DNS-Serverrichtlinie für das VPC-Netzwerk, um das Logging zu aktivieren:

    1. Rufen Sie in der Google Cloud Console die Seite Cloud DNS auf.

      Cloud DNS aufrufen

    2. Wählen Sie den Tab DNS-Serverrichtlinien aus.

    3. Klicken Sie auf Richtlinie erstellen.

    4. Geben Sie im Feld Name einen Namen für die Richtlinie ein.

    5. Wählen Sie unter Logs die Option Ein aus, um das Logging von DNS-Abfragen zu aktivieren.

    6. Wählen Sie unter Netzwerke das VPC-Netzwerk aus, das von Ihrer VM-Instanz verwendet wird.

    7. Klicken Sie auf Erstellen.

Malware: Bad Domain-Detektor auslösen

  1. Rufen Sie in der Google Cloud Console die Seite VM-Instanzen auf.

    Zur Seite „VM-Instanzen“

  2. Klicken Sie in der Liste der VM-Instanzen in der Zeile der von Ihnen erstellten VM-Instanz auf SSH. Ein Terminalfenster wird auf Ihrer VM-Instanz geöffnet.

  3. Führen Sie dazu diesen Befehl aus:

    curl etd-malware-trigger.goog

Ergebnisse anzeigen

Nachdem Sie Ergebnisse mit Option A oder Option B ausgelöst haben, prüfen Sie, ob die Ergebnisse generiert wurden, indem Sie sie im Security Command Center oder in Cloud Logging ansehen.

Folgen Sie der Anleitung für den ausgewählten Ort, an dem Sie die Ergebnisse ansehen möchten:

Ergebnis im Security Command Center ansehen

So rufen Sie das Event Threat Detection-Ergebnis im Security Command Center auf:

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie im Bereich Schnellfilter im Abschnitt Kategorie die Ergebniskategorie aus:

    • Wählen Sie für Option A die Option Persistenz: Anomale IAM-Gewährung aus (klicken Sie bei Bedarf auf Mehr ansehen).
    • Wählen Sie für Option B die Option Malware: Schädliche Domain aus (klicken Sie bei Bedarf auf Mehr ansehen).

  3. Wenn Sie die Liste im Bereich Ergebnisse der Ergebnisabfrage sortieren möchten, klicken Sie auf die Spaltenüberschrift Ereigniszeit , damit das neueste Ergebnis zuerst angezeigt wird.

  4. Klicken Sie im Bereich Ergebnisse der Ergebnisabfrage in der Spalte Kategorie auf den Kategorienamen (Persistenz: Anomale IAM-Gewährung oder Malware: Schädliche Domain), um die Details des Ergebnisses aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.

  5. Prüfen Sie die Details des Ergebnisses:

    • Prüfen Sie bei Anomale IAM-Gewährung, ob der Wert in der Zeile E-Mail-Adresse des Hauptkontos Ihre gmail.com-Test-E-Mail-Adresse enthält.
    • Wählen Sie bei Malware: Schädliche Domain den Tab Quelleigenschaften aus und prüfen Sie, ob die Zeile Domains etd-malware-trigger.goog enthält.

Wenn kein Ergebnis angezeigt wird, prüfen Sie Ihre Einstellungen für Event Threat Detection.

Ergebnis in Cloud Logging ansehen

Wenn Sie das Logging von Ergebnissen in Cloud Logging aktiviert haben, können Sie sich die Ergebnisse dort ansehen. Das Ansehen von Logging-Ergebnissen in Cloud Logging ist nur möglich, wenn Sie Security Command Center Premium auf Organisationsebene aktivieren.

  1. Rufen Sie in der Google Cloud Console den Log-Explorer auf.

    Zum Log-Explorer

  2. Wählen Sie das Google Cloud Projekt aus, in dem Sie Ihre Event Threat Detection-Logs speichern.

  3. Verwenden Sie den Bereich Abfrage , um Ergebnisse mit einer der folgenden Methoden abzufragen:

    • Gehen Sie in der Liste Alle Ressourcen so vor:
      1. Wählen Sie Threat Detector aus, um eine Liste aller Detektoren aufzurufen.
      2. Wählen Sie unter DETECTOR_NAME die Option iam_anomalous_grant (für Option A) oder bad_domain (für Option B) aus.
      3. Klicken Sie auf Übernehmen.

    • Geben Sie im Abfrageeditor die folgende Abfrage ein und klicken Sie auf Abfrage ausführen:

      resource.type="threat_detector"

  4. Zum Aufrufen des Logs klicken Sie auf eine Tabellenzeile und dann auf Verschachtelte Felder erweitern.

Wenn kein Ergebnis angezeigt wird, prüfen Sie Ihre Einstellungen für Event Threat Detection.

Bereinigen

Wenn Sie mit dem Testen fertig sind, bereinigen Sie die Ressourcen, um Sicherheitsanomalien zu vermeiden und unerwünschte Kosten zu sparen.

Folgen Sie der Anleitung für die getestete Option, um Ressourcen zu bereinigen:

Ressourcen für den IAM Anomalie-Grants-Detektor bereinigen

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Klicken Sie in der Zeile für die gmail.com-Adresse des Testnutzers auf Hauptkonto bearbeiten.

  3. Klicken Sie im angezeigten Bereich neben der Rolle Inhaber auf Rolle löschen.

  4. Klicken Sie auf Speichern.

Ressourcen für den Malware: Bad Domain-Detektor bereinigen

  1. Löschen Sie die von Ihnen erstellte VM-Instanz. Eine Anleitung finden Sie unter VM Instanz löschen.
  2. Heben Sie die Zuordnung der von Ihnen erstellten DNS-Serverrichtlinie auf oder löschen Sie sie. Eine Anleitung finden Sie unter DNS-Richtlinie löschen.

Nächste Schritte