Testa Event Threat Detection

Verifica che Event Threat Detection funzioni attivando intenzionalmente il rilevatore Concessione IAM anomala o il rilevatore Malware: dominio dannoso e controllando i risultati.

Event Threat Detection è un servizio integrato che monitora i flussi di logging di Cloud Logging e Google Workspace della tua organizzazione e rileva le minacce in tempo quasi reale. Per saperne di più, consulta la panoramica di Event Threat Detection.

Prima di iniziare

Per visualizzare i risultati di Event Threat Detection, il servizio deve essere abilitato nelle impostazioni dei servizi di Security Command Center Services.

A seconda del rilevatore che vuoi testare, devi avere uno dei seguenti ruoli:

  • Concessione IAM anomala: un ruolo Identity and Access Management (IAM) con l'autorizzazione resourcemanager.projects.setIamPolicy, come il ruolo Amministratore IAM progetto.
  • Malware: dominio dannoso: un ruolo IAM con le autorizzazioni compute.instances.create e dns.policies.create, come il ruolo Editor progetto.

Testare Event Threat Detection

Per testare Event Threat Detection, scegli una delle seguenti opzioni per attivare il servizio:

  • Rilevatore Concessione IAM anomala Attiva questo rilevatore concedendo un ruolo sensibile a un account utente di test esterno.
  • Rilevatore Malware: dominio dannoso Attiva questo rilevatore eseguendo una query su un dominio dannoso di test da un'istanza VM.

Dopo aver attivato i risultati, visualizzali ed esegui la pulizia:

  • Visualizza il risultato: esamina il risultato in Security Command Center o in Cloud Logging.
  • Liberare spazio: elimina le risorse di test per evitare di lasciare anomalie di sicurezza o incorrere in costi.

Opzione A: rilevatore Concessione IAM anomala

Per attivare il rilevatore Concessione IAM anomala, completa i seguenti passaggi:

  1. Crea un utente di test
  2. Attiva il rilevatore Concessione IAM anomala

Crea un utente di test

Per attivare il rilevatore, devi avere un utente di test con un indirizzo email gmail.com. Puoi creare un account gmail.com e poi concedergli l'accesso al progetto in cui vuoi eseguire il test. Assicurati che questo account gmail.com non abbia già autorizzazioni IAM nel progetto in cui stai eseguendo il test.

Attiva il rilevatore Concessione IAM anomala

Attiva il rilevatore Concessione IAM anomala invitando l'indirizzo email gmail.com al ruolo Proprietario progetto.

  1. Nella Google Cloud console vai alla pagina IAM.

    Vai a IAM

  2. Fai clic su Concedi l'accesso.

  3. Nel campo Nuove entità, inserisci l'indirizzo gmail.com dell'utente di test.

  4. Nell'elenco a discesa Seleziona un ruolo, seleziona Progetto > Proprietario.

  5. Fai clic su Salva.

Opzione B: rilevatore Malware: dominio dannoso

Per attivare il rilevatore Malware: dominio dannoso, completa i seguenti passaggi:

  1. Crea un'istanza VM e attiva i log di Cloud DNS
  2. Attiva il rilevatore Malware: dominio dannoso

Crea un'istanza VM e attiva i log di Cloud DNS

  1. Crea un'istanza VM su una rete VPC. Per istruzioni, consulta Crea e avvia un'istanza VM. Assicurati che il progetto contenente l'istanza VM sia nell'ambito di Event Threat Detection. Ciò significa che il servizio Event Threat Detection è abilitato per il progetto o la sua organizzazione principale.

  2. Per abilitare il logging, configura una policy dei server DNS per la rete VPC:

    1. Nella Google Cloud console, vai alla pagina Cloud DNS.

      Vai a Cloud DNS

    2. Seleziona la scheda Policy dei server DNS.

    3. Fai clic su Crea policy.

    4. Nel campo Nome, inserisci un nome per la policy.

    5. In Log, seleziona On per abilitare il logging delle query DNS.

    6. In Reti, seleziona la rete VPC utilizzata dall'istanza VM.

    7. Fai clic su Crea.

Attiva il rilevatore Malware: dominio dannoso

  1. Nella Google Cloud console, vai alla pagina Istanze VM.

    Vai a Istanze VM

  2. Nell'elenco delle istanze della macchina virtuale, fai clic su SSH nella riga dell'istanza VM che hai creato. Si apre una finestra del terminale sull'istanza VM.

  3. Esegui questo comando:

    curl etd-malware-trigger.goog

Visualizzare i risultati

Dopo aver attivato i risultati utilizzando l'opzione A o l'opzione B, verifica che i risultati siano generati visualizzandoli in Security Command Center o Cloud Logging.

Per visualizzare i risultati, segui i passaggi per la località di visualizzazione selezionata:

Visualizzare il risultato in Security Command Center

Per visualizzare il risultato di Event Threat Detection in Security Command Center:

  1. Nella Google Cloud console, vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Nella sezione Categoria del riquadro Filtri rapidi, seleziona la categoria del risultato:

    • Per l'opzione A, seleziona Persistenza: concessione IAM anomala (fai clic su Visualizza altro se necessario).
    • Per l'opzione B, seleziona Malware: dominio dannoso (fai clic su Visualizza altro se necessario).

  3. Per ordinare l'elenco nel riquadro Risultati della query sui risultati, fai clic sull'intestazione della colonna Ora evento in modo che il risultato più recente venga visualizzato per primo.

  4. Nel riquadro Risultati della query sui risultati, visualizza i dettagli del risultato facendo clic sul nome della categoria (Persistenza: concessione IAM anomala o Malware: dominio dannoso) nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.

  5. Verifica i dettagli del risultato:

    • Per Concessione IAM anomala, controlla che il valore nella riga Email dell'entità contenga il tuo indirizzo email gmail.com di test.
    • Per Malware: dominio dannoso, seleziona la scheda Proprietà di origine e controlla che la riga Domini contenga etd-malware-trigger.goog.

Se non viene visualizzato un risultato, verifica le impostazioni di Event Threat Detection.

Visualizzare il risultato in Cloud Logging

Se hai abilitato il logging dei risultati in Cloud Logging, puoi visualizzare il risultato lì. La visualizzazione dei risultati di logging in Cloud Logging è disponibile solo se attivi il livello Premium di Security Command Center a livello di organizzazione.

  1. Nella Google Cloud console, vai a Esplora log.

    Vai a Esplora log

  2. Seleziona il Google Cloud progetto in cui stai archiviando i tuoi log di Event Threat Detection.

  3. Utilizza il riquadro Query per eseguire query sui risultati utilizzando uno dei seguenti metodi:

    • Nell'elenco Tutte le risorse, procedi come segue:
      1. Seleziona Rilevatore di minacce per visualizzare un elenco di tutti i rilevatori.
      2. In NOME_RILEVATORE, seleziona iam_anomalous_grant (per l'opzione A) o bad_domain (per l'opzione B).
      3. Fai clic su Applica.

    • Nell'editor di query, inserisci la seguente query e fai clic su Esegui query:

      resource.type="threat_detector"

  4. Per visualizzare il log, fai clic su una riga della tabella e poi su Espandi campi nidificati.

Se non vedi un risultato, verifica le impostazioni di Event Threat Detection.

Liberare spazio

Al termine del test, libera spazio dalle risorse per evitare di lasciare anomalie di sicurezza o incorrere in addebiti indesiderati.

Per liberare spazio dalle risorse, segui i passaggi per l'opzione che hai testato:

Esegui la pulizia delle risorse per il rilevatore Concessione IAM anomala

  1. Nella Google Cloud console vai alla pagina IAM.

    Vai a IAM

  2. Nella riga relativa all'indirizzo gmail.com dell'utente di test, fai clic su Modifica entità.

  3. Nel riquadro visualizzato, fai clic su Elimina ruolo accanto a l ruolo Proprietario.

  4. Fai clic su Salva.

Libera spazio per le risorse del rilevatore Malware: dominio dannoso

  1. Elimina l'istanza VM che hai creato. Per istruzioni, consulta Eliminare un'istanza VM.
  2. Dissocia o elimina la policy dei server DNS che hai creato. Per istruzioni, consulta Eliminare una policy DNS.

Passaggi successivi