Menguji Event Threat Detection

Tingkat layanan Premium dan Enterprise (Tidak digunakan lagi)

Tingkat layanan Security Command Center Enterprise akan ditutup pada 21 Mei 2027. Jika organisasi Anda menggunakan tingkat layanan Enterprise, organisasi tersebut akan otomatis dipindahkan ke tingkat layanan Premium pada atau setelah 21 Mei 2027. Hubungi perwakilan akun atau a Google Cloud spesialis penjualan jika Anda memiliki pertanyaan.

Pastikan Event Threat Detection berfungsi dengan memicu pendeteksi secara sengaja, melihat temuan di Security Command Center atau Cloud Logging, lalu membersihkan resource pengujian.

Event Threat Detection adalah layanan bawaan yang memantau aliran logging Cloud Logging dan Google Workspace organisasi Anda serta mendeteksi ancaman secara hampir real time. Untuk mempelajari lebih lanjut, baca Ringkasan Event Threat Detection.

Sebelum memulai

Untuk menguji Event Threat Detection, pastikan prasyarat berikut:

• Pengaktifan layanan: untuk melihat temuan Event Threat Detection, layanan harus diaktifkan di Security Command Center setelan Layanan.
• Izin IAM: bergantung pada pendeteksi yang ingin Anda uji, Anda harus memiliki salah satu peran berikut:
  • Pemberian IAM Tidak Wajar: peran Identity and Access Management (IAM) dengan izin resourcemanager.projects.setIamPolicy, seperti peran Admin IAM Project.
  • Malware: Domain Buruk: peran IAM dengan izin compute.instances.create dan dns.policies.create, seperti peran Editor Project.
  • SSH Brute Force: peran IAM dengan izin compute.instances.create, seperti peran Compute Instance Admin (v1) atau peran Editor Project.

Memicu temuan pengujian

Untuk memverifikasi bahwa Event Threat Detection menghasilkan temuan, pilih salah satu pendeteksi berikut untuk dipicu:

• Pendeteksi Pemberian IAM Tidak Wajar: picu pendeteksi ini dengan memberikan peran sensitif ke akun pengguna pengujian eksternal.
• Pendeteksi Malware: Domain Buruk: picu pendeteksi ini dengan menjalankan kueri ke domain buruk pengujian dari instance VM.
• Pendeteksi SSH Brute Force: picu pendeteksi ini dengan mengonfigurasi instance VM untuk mengalirkan log autentikasi sistem. Kemudian, simulasikan beberapa upaya login SSH yang gagal, diikuti dengan login yang berhasil.

Memicu pendeteksi Pemberian IAM Tidak Wajar

Untuk memicu pendeteksi Pemberian IAM Tidak Wajar, buat pengguna pengujian eksternal dan berikan peran Project Owner:

1. Buat pengguna pengujian dengan alamat email pribadi @gmail.com. Pastikan akun @gmail.com ini belum memiliki izin IAM apa pun di project tempat Anda melakukan pengujian.

   Catatan: Temuan ini hanya dipicu untuk pengguna Security Command Center dengan @gmail.com alamat email.

2. Di Google Cloud konsol, buka halaman IAM.

   Buka IAM

3. Klik Grant access.

4. Di kolom New principals, masukkan alamat @gmail.com pengguna pengujian.

5. Di daftar drop-down Select a role, pilih Project > Owner.

6. Klik Save.

Memicu pendeteksi Malware: Domain Buruk

Untuk memicu pendeteksi Malware: Domain Buruk, buat instance VM dengan logging kueri DNS diaktifkan, lalu kueri domain pengujian:

1. Buat instance VM di jaringan VPC. Untuk mengetahui petunjuknya, lihat Membuat dan memulai instance VM. Pastikan project yang berisi instance VM berada dalam cakupan Event Threat Detection. Artinya, layanan Event Threat Detection diaktifkan untuk project atau organisasi induknya.

2. Untuk mengaktifkan logging, konfigurasikan kebijakan server DNS untuk jaringan VPC:

   1. Di Google Cloud konsol, buka halaman Cloud DNS.

      Buka Cloud DNS

   2. Pilih tab kebijakan server DNS.

   3. Klik Create policy.

   4. Di kolom Name, masukkan nama untuk kebijakan.

   5. Di bagian Logs, pilih On untuk mengaktifkan logging kueri DNS.

   6. Di bagian Networks, pilih jaringan VPC yang digunakan instance VM Anda.

   7. Klik Create.

3. Di Google Cloud konsol, buka halaman VM instances.

   Buka instance VM

4. Dalam daftar instance mesin virtual, klik SSH di baris instance VM yang Anda buat. Jendela terminal akan terbuka di instance VM Anda.

5. Jalankan perintah berikut:

   curl etd-malware-trigger.goog
   

   Catatan: Cloud DNS mencatat permintaan DNS ini dan memicu temuan karena etd-malware-trigger.goog adalah domain buruk pengujian yang diketahui.

Memicu pendeteksi SSH Brute Force

Untuk memicu pendeteksi SSH Brute Force, konfigurasikan logging autentikasi dan simulasikan upaya login SSH yang gagal:

1. Buat instance VM Linux (seperti Debian) di jaringan VPC. Untuk mengetahui petunjuknya, lihat Membuat dan memulai instance VM. Pastikan project yang berisi instance VM berada dalam cakupan Event Threat Detection.

2. Di Google Cloud konsol, buka halaman VM instances.

   Buka instance VM

3. Dalam daftar instance mesin virtual, klik SSH di baris instance VM yang Anda buat. Jendela terminal akan terbuka di instance VM Anda.

4. Aktifkan autentikasi sandi SSH di instance VM:

   1. Buka file konfigurasi daemon SSH di editor teks:

      sudo vim /etc/ssh/sshd_config
      

   2. Tetapkan PasswordAuthentication ke yes:

      PasswordAuthentication yes
      

   3. Mulai ulang layanan SSH:

      sudo systemctl restart ssh
      

5. Buat akun pengguna pengujian dengan sandi:

   sudo adduser TEST_USER
   

   Ikuti petunjuk untuk menentukan sandi bagi pengguna pengujian.

6. Untuk mengalirkan log autentikasi ke Cloud Logging, instal Agen Operasional di instance VM. Untuk mengetahui petunjuknya, lihat Menginstal Agen Operasional.

7. Dari host atau terminal eksternal dengan akses jaringan ke instance VM, coba login ke instance VM menggunakan SSH dengan kredensial yang salah sebanyak 8 kali berturut-turut:

   ssh TEST_USER@INSTANCE_IP_ADDRESS
   

   Saat diminta memasukkan sandi, masukkan sandi yang salah. Ulangi langkah ini 8 kali.

8. Login dengan sandi yang benar:

   ssh TEST_USER@INSTANCE_IP_ADDRESS
   

   Saat diminta, masukkan sandi yang benar untuk TEST_USER.

9. Pastikan log autentikasi muncul di Cloud Logging dengan ID log authlog.

Melihat temuan

Setelah memicu temuan dengan menguji pendeteksi, pastikan temuan dihasilkan dengan melihatnya di Security Command Center atau Cloud Logging:

Melihat temuan di Security Command Center

Untuk melihat temuan Event Threat Detection di Security Command Center, lakukan hal berikut:

1. Di Google Cloud konsol, buka halaman Findings Security Command Center.

   Buka Temuan

2. Di bagian Category panel Quick filters, pilih kategori temuan:

   • Untuk Pemberian IAM Tidak Wajar, pilih Persistence: Pemberian IAM Tidak Wajar (klik View more jika perlu).
   • Untuk Malware: Bad Domain, pilih Malware: Bad Domain (klik View more jika perlu).
   • Untuk SSH Brute Force, pilih Brute Force: SSH (klik View more jika perlu).

3. Untuk mengurutkan daftar di panel Findings query results, klik header kolom Event time sehingga temuan terbaru ditampilkan terlebih dahulu.

4. Di panel Findings query results, tampilkan detail temuan dengan mengklik nama kategori (Persistence: Pemberian IAM Tidak Wajar, Malware: Bad Domain, atau Brute Force: SSH) di kolom Category. Panel detail untuk temuan akan terbuka dan menampilkan tab Summary.

5. Verifikasi detail temuan:

   • Untuk IAM anomalous grant, pastikan nilai di baris Principal email berisi alamat email gmail.com pengujian Anda.
   • Untuk Malware: Bad Domain, pilih tab Source properties dan pastikan baris Domains berisi etd-malware-trigger.goog.
   • Untuk SSH Brute Force, pastikan User name cocok dengan nama pengguna pengujian Anda dan Caller IP cocok dengan alamat IP tempat Anda melakukan upaya login.

Melihat temuan di Cloud Logging

Tingkat layanan Premium dan Enterprise (Tidak digunakan lagi) (memerlukan aktivasi tingkat organisasi)

Jika mengaktifkan temuan logging ke Cloud Logging, Anda dapat melihat temuan di sana.

Prasyarat: Sebelum dapat melihat temuan Event Threat Detection di Logging, konfigurasikan ekspor log.

Untuk melihat temuan di Cloud Logging, ikuti langkah-langkah berikut:

1. Di Google Cloud konsol, buka Logs Explorer.

   Buka Logs Explorer

2. Pilih Google Cloud project tempat Anda menyimpan log Event Threat Detection.

3. Gunakan panel Query untuk membuat kueri temuan menggunakan salah satu metode berikut:

   • Dalam daftar All resources, lakukan hal berikut:
     1. Pilih Threat Detector untuk menampilkan daftar semua pendeteksi.
     2. Di bagian DETECTOR_NAME, pilih iam_anomalous_grant, bad_domain, atau ssh_brute_force.
     3. Klik Apply.

   • Di editor kueri, masukkan kueri berikut, lalu klik Run query:

     resource.type="threat_detector"
     

4. Untuk melihat log, klik baris tabel, lalu klik Expand nested fields.

Membersihkan resource pengujian

Untuk menghindari anomali keamanan atau biaya yang tidak diinginkan, bersihkan resource pengujian untuk pendeteksi yang Anda uji:

Membersihkan resource Pemberian IAM Tidak Wajar

Untuk mencabut izin yang diberikan untuk pengujian Pemberian IAM Tidak Wajar:

1. Di Google Cloud konsol, buka halaman IAM.

   Buka IAM

2. Di baris untuk alamat gmail.com pengguna pengujian, klik Edit principal.

3. Di panel yang muncul, klik Delete role di samping peran Owner.

4. Klik Save.

Membersihkan resource Malware: Domain Buruk

Untuk membersihkan resource yang dibuat untuk pengujian Malware: Domain Buruk, ikuti langkah-langkah berikut:

1. Hapus instance VM yang Anda buat. Untuk mengetahui petunjuknya, lihat Menghapus instance VM.
2. Batalkan atau hapus kebijakan server DNS yang Anda buat. Untuk mengetahui petunjuknya, lihat Menghapus kebijakan DNS.

Membersihkan resource SSH Brute Force

Untuk membersihkan resource yang dibuat untuk pengujian SSH Brute Force, ikuti langkah-langkah berikut:

1. Hapus instance VM yang Anda buat. Untuk mengetahui petunjuknya, lihat Menghapus instance VM.
2. Atau, jika ingin mempertahankan instance VM, kembalikan PasswordAuthentication ke no di /etc/ssh/sshd_config, mulai ulang layanan SSH (sudo systemctl restart ssh), dan hapus akun pengguna pengujian (sudo deluser TEST_USER).

Memecahkan masalah

Jika temuan tidak muncul di Security Command Center atau Cloud Logging setelah pengujian:

• Pastikan Event Threat Detection diaktifkan di setelan Layanan Security Command Center Services.
• Jika menguji pendeteksi Malware: Domain Buruk atau SSH Brute Force, pastikan project yang berisi instance VM berada dalam cakupan Event Threat Detection.
• Untuk melihat temuan di Cloud Logging, pastikan Anda telah mengonfigurasi ekspor log.
• Untuk mengetahui langkah pemecahan masalah lainnya, lihat Memecahkan Masalah Security Command Center.

Langkah berikutnya

• Pelajari lebih lanjut cara menggunakan Event Threat Detection.
• Baca ringkasan konsep Event Threat Detection.
• Pelajari cara menyelidiki dan mengembangkan rencana respons untuk ancaman.