בדיקה של Event Threat Detection

כדי לוודא ש-Event Threat Detection פועל, מפעילים בכוונה את אמצעי הזיהוי, מעיינים בתוצאות ב-Security Command Center או ב-Cloud Logging, ואז מנקים את משאבי הבדיקה.

Event Threat Detection הוא שירות מובנה שעוקב אחרי Cloud Logging והזרמות של רישום ביומן של Google Workspace בארגון, ומזהה איומים כמעט בזמן אמת. מידע נוסף זמין במאמר סקירה כללית על Event Threat Detection.

לפני שמתחילים

כדי לבדוק את Event Threat Detection, צריך לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • הפעלת השירות: כדי לראות את הממצאים של Event Threat Detection, צריך להפעיל את השירות בהגדרות של Services ב-Security Command Center.
  • הרשאות IAM: בהתאם לגלאי שרוצים לבדוק, צריך להיות לכם אחד מהתפקידים הבאים:
    • מתן הרשאות IAM חריגות: תפקיד ב-IAM עם הרשאת resourcemanager.projects.setIamPolicy, כמו התפקיד 'אדמין IAM של פרויקט'.
    • תוכנות זדוניות: דומיין בעייתי: תפקיד IAM עם ההרשאות compute.instances.create ו-dns.policies.create, כמו התפקיד 'עריכת פרויקט'.
    • פריצה בכוח ל-SSH: תפקיד IAM עם ההרשאה compute.instances.create, כמו התפקיד 'Compute Instance Admin (v1)' או התפקיד 'עריכת פרויקט'.

ממצאי בדיקת הטריגר

כדי לוודא שהכלי Event Threat Detection יוצר ממצאים, בוחרים אחד מהגלאים הבאים כדי להפעיל אותו:

  • גלאי מתן הרשאות IAM חריגות: כדי להפעיל את הגלאי הזה, צריך להעניק תפקיד רגיש לחשבון משתמש חיצוני לבדיקה.
  • תוכנה זדונית: גלאי של דומיין זדוני: כדי להפעיל את הגלאי הזה, מריצים שאילתה לדומיין זדוני לבדיקה מתוך מכונה וירטואלית.
  • מזהה של ניסיונות פריצה באמצעות SSH: כדי להפעיל את המזהה הזה, צריך להגדיר העברה של יומני אימות מערכת ממכונת VM. לאחר מכן, מדמים כמה ניסיונות כניסה שנכשלו באמצעות SSH, ואחריהם כניסה מוצלחת.

הפעלת גלאי מתן הרשאות IAM חריגות

כדי להפעיל את גלאי מתן הרשאות IAM חריגות, יוצרים משתמש חיצוני למטרות בדיקה ומקצים לו את התפקיד Project Owner (בעלים של הפרויקט):

  1. יוצרים משתמש לניסיון עם כתובת אימייל אישית @gmail.com. מוודאים שלחשבון @gmail.com הזה אין כבר הרשאות IAM בפרויקט שבו מבצעים את הבדיקה.

  2. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  3. לוחצים על הענקת גישה.

  4. בשדה New principals, מזינים את הכתובת @gmail.com של משתמש הבדיקה.

  5. ברשימה הנפתחת Select a role בוחרים באפשרות Project > Owner.

  6. לוחצים על Save.

הפעלת התוכנה לזיהוי תוכנות זדוניות: זיהוי דומיין לא תקין

כדי להפעיל את הכלי לזיהוי תוכנות זדוניות: דומיין לא תקין, יוצרים מופע של מכונה וירטואלית עם הפעלת רישום ביומן של שאילתות DNS, ואז שולחים שאילתה לדומיין לבדיקה:

  1. יוצרים מכונה וירטואלית ברשת VPC. הוראות מפורטות מופיעות במאמר יצירה והפעלה של מכונת VM. מוודאים שהפרויקט שמכיל את המכונה הווירטואלית נמצא בהיקף של Event Threat Detection. כלומר, השירות Event Threat Detection מופעל בפרויקט או בארגון האב שלו.

  2. כדי להפעיל את הרישום ביומן, צריך להגדיר מדיניות של שרת DNS לרשת ה-VPC:

    1. נכנסים לדף Cloud DNS במסוף Google Cloud .

      מעבר אל Cloud DNS

    2. בוחרים בכרטיסייה מדיניות שרת DNS.

    3. לוחצים על יצירת מדיניות.

    4. בשדה Name, מזינים שם למדיניות.

    5. בקטע יומנים, בוחרים באפשרות מופעל כדי להפעיל את רישום השאילתות של DNS ביומן.

    6. בקטע Networks, בוחרים את רשת ה-VPC שבה נעשה שימוש במכונה הווירטואלית.

    7. לוחצים על יצירה.

  3. נכנסים לדף VM instances במסוף Google Cloud .

    כניסה לדף VM instances

  4. ברשימת המכונות הווירטואליות, לוחצים על SSH בשורה של המכונה הווירטואלית שיצרתם. ייפתח חלון טרמינל במכונה הווירטואלית.

  5. מריצים את הפקודה הבאה:

    curl etd-malware-trigger.goog

הפעלת גלאי של מתקפת כוח ברוטלית ב-SSH

כדי להפעיל את הכלי לזיהוי ניסיונות פריצה ב-SSH, מגדירים רישום ביומן של אימות ומדמים ניסיונות כניסה ב-SSH שנכשלו:

  1. יוצרים מכונה וירטואלית של Linux (למשל Debian) ברשת VPC. הוראות מפורטות זמינות במאמר יצירה והפעלה של מכונה וירטואלית. מוודאים שהפרויקט שמכיל את מופע מכונת ה-VM נמצא בהיקף של Event Threat Detection.

  2. נכנסים לדף VM instances במסוף Google Cloud .

    כניסה לדף VM instances

  3. ברשימת המכונות הווירטואליות, לוחצים על SSH בשורה של המכונה הווירטואלית שיצרתם. ייפתח חלון טרמינל במכונה הווירטואלית.

  4. מפעילים אימות באמצעות סיסמה ב-SSH במכונת ה-VM:

    1. פותחים את קובץ ההגדרות של SSH daemon בכלי לעריכת טקסט:

      sudo vim /etc/ssh/sshd_config

    2. הגדרה של PasswordAuthentication לערך yes:

      PasswordAuthentication yes

    3. מפעילים מחדש את שירות ה-SSH:

      sudo systemctl restart ssh

  5. יוצרים חשבון משתמש לצורך בדיקה עם סיסמה:

    sudo adduser TEST_USER

    פועלים לפי ההנחיות כדי לציין סיסמה למשתמש הבדיקה.

  6. כדי להזרים יומני אימות אל Cloud Logging, צריך להתקין את סוכן תפעול במכונת ה-VM. הוראות מפורטות מופיעות במאמר התקנת סוכן התפעול.

  7. ממארח חיצוני או ממסוף עם גישה לרשת של המכונה הווירטואלית, מנסים להיכנס למכונה הווירטואלית באמצעות SSH עם פרטי כניסה שגויים 8 פעמים ברציפות:

    ssh TEST_USER@INSTANCE_IP_ADDRESS

    כשמופיעה בקשה להזנת סיסמה, מזינים סיסמה שגויה. חוזרים על הפעולה 8 פעמים.

  8. נכנסים לחשבון עם הסיסמה הנכונה:

    ssh TEST_USER@INSTANCE_IP_ADDRESS

    כשמופיעה בקשה, מזינים את הסיסמה הנכונה של TEST_USER.

  9. מוודאים שיומני האימות מופיעים ב-Cloud Logging תחת מזהה היומן authlog.

צפייה בממצאים

אחרי הפעלת הממצאים על ידי בדיקת גלאי, אפשר לראות את הממצאים ב-Security Command Center או ב-Cloud Logging כדי לוודא שהם נוצרו:

צפייה בממצאים ב-Security Command Center

כדי לראות את הממצא של Event Threat Detection ב-Security Command Center:

  1. במסוף Google Cloud , עוברים לדף Findings של Security Command Center.

    כניסה לדף Findings

  2. בקטע Category בחלונית Quick filters, בוחרים את קטגוריית הממצאים:

    • בקטע IAM Anomalous Grant (מתן הרשאות IAM חריגות), בוחרים באפשרות Persistence: IAM anomalous grant (אם צריך, לוחצים על View more (הצגת פרטים נוספים)).
    • בקטע תוכנות זדוניות: דומיין לא תקין, בוחרים באפשרות תוכנות זדוניות: דומיין לא תקין (אם צריך, לוחצים על הצגת פרטים נוספים).
    • בשביל SSH Brute Force (פריצה בכוח ל-SSH), בוחרים באפשרות Brute Force: SSH (אם צריך, לוחצים על View more (הצגת פרטים נוספים)).

  3. כדי למיין את הרשימה בחלונית תוצאות השאילתה של הממצאים, לוחצים על כותרת העמודה שעת האירוע כדי שהממצא האחרון יוצג ראשון.

  4. בחלונית Findings query results (תוצאות שאילתת הממצאים), לוחצים על שם הקטגוריה (Persistence: IAM Anomalous Grant (התמדה: מתן הרשאות IAM חריגות),‏ Malware: Bad Domain (תוכנה זדונית: דומיין זדוני) או Brute Force: SSH (כוח ברוטלי: SSH)) בעמודה Category (קטגוריה) כדי להציג את פרטי הממצא. חלונית הפרטים של הממצא נפתחת ומוצגת בה הכרטיסייה סיכום.

  5. מאמתים את פרטי הממצא:

    • ב-IAM anomalous grant, בודקים שהערך בשורה Principal email מכיל את כתובת האימייל של הבדיקה gmail.com.
    • בקטע תוכנות זדוניות: דומיין בעייתי, בוחרים בכרטיסייה נכסי מקור ומוודאים שבשורה דומיינים מופיע etd-malware-trigger.goog.
    • בקטע SSH Brute Force, מוודאים ששם המשתמש תואם לשם המשתמש לבדיקה, ושה-Caller IP תואם לכתובת ה-IP שממנה בוצעו ניסיונות הכניסה.

צפייה בממצאים ב-Cloud Logging

אם הפעלתם את האפשרות לרישום הממצאים ב-Cloud Logging, תוכלו לראות אותם שם.

כדי לראות את הממצאים ב-Cloud Logging, פועלים לפי השלבים הבאים:

  1. במסוף Google Cloud , עוברים אל Logs Explorer.

    כניסה לדף Logs Explorer

  2. בוחרים את Google Cloud הפרויקט שבו מאוחסנים היומנים של Event Threat Detection.

  3. משתמשים בחלונית שאילתה כדי לשלוח שאילתות לגבי הממצאים באחת מהשיטות הבאות:

    • ברשימה All resources (כל המשאבים), מבצעים את הפעולות הבאות:
      1. בוחרים באפשרות גלאי איומים כדי להציג רשימה של כל הגלאים.
      2. בקטע DETECTOR_NAME, בוחרים באפשרות iam_anomalous_grant,‏ bad_domain או ssh_brute_force.
      3. לוחצים על אישור.

    • מזינים את השאילתה הבאה בעורך השאילתות ולוחצים על Run query:

      resource.type="threat_detector"

  4. כדי לראות את היומן, לוחצים על שורה בטבלה ואז על הרחבת שדות מקוננים.

פינוי משאבי הבדיקה

כדי למנוע חריגות אבטחה או חיובים לא רצויים, צריך לנקות את משאבי הבדיקה של אמצעי הזיהוי שנבדק:

ניקוי משאבי מתן הרשאות IAM חריגות

כדי לבטל את ההרשאות שניתנו לבדיקה של מתן הרשאות חריגות ב-IAM:

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  2. בשורה של כתובת gmail.com של משתמש הבדיקה, לוחצים על Edit principal.

  3. בחלונית שמופיעה, לוחצים על מחיקת התפקיד ליד התפקיד בעלים.

  4. לוחצים על Save.

ניקוי תוכנות זדוניות: משאבים של דומיין זדוני

כדי לנקות את המשאבים שנוצרו לבדיקה Malware: Bad Domain, פועלים לפי השלבים הבאים:

  1. מוחקים את מופע ה-VM שיצרתם. הוראות מפורטות מופיעות במאמר מחיקת מכונה וירטואלית.
  2. מבטלים את השיוך או מוחקים את מדיניות שרת ה-DNS שיצרתם. הוראות מפורטות זמינות במאמר מחיקת מדיניות DNS.

מחיקת משאבי SSH Brute Force

כדי לנקות את המשאבים שנוצרו לבדיקת כוח ברוט פורס ב-SSH, פועלים לפי השלבים הבאים:

  1. מוחקים את המופע של מכונה וירטואלית שיצרתם. הוראות מפורטות מופיעות במאמר מחיקת מכונה וירטואלית.
  2. לחלופין, אם רוצים לשמור את המכונה הווירטואלית, מחזירים את PasswordAuthentication ל-no ב-/etc/ssh/sshd_config, מפעילים מחדש את שירות ה-SSH ‏ (sudo systemctl restart ssh) ומוחקים את חשבון המשתמש לבדיקה (sudo deluser TEST_USER).

פתרון בעיות

אם ממצא לא מופיע ב-Security Command Center או ב-Cloud Logging אחרי בדיקה:

  • מוודאים ש-Event Threat Detection מופעל בהגדרות Services ב-Security Command Center.
  • אם בודקים את הגלאים Malware: Bad Domain או SSH Brute Force, צריך לוודא שהפרויקט שמכיל את המכונה הווירטואלית נמצא בהיקף של Event Threat Detection.
  • כדי לראות את הממצאים ב-Cloud Logging, צריך לוודא שהגדרתם ייצוא של יומנים.
  • טיפים נוספים לפתרון בעיות זמינים במאמר פתרון בעיות ב-Security Command Center.

המאמרים הבאים