שימוש ב-Event Threat Detection

רמות השירות Premium ו-Enterprise (הוצאו משימוש)

רמת השירות Security Command Center Enterprise תושבת ב-21 במאי 2027. אם הארגון שלכם משתמש ברמת השירות Enterprise, הוא יעבור אוטומטית לרמת השירות Premium ב-21 במאי 2027 או אחרי התאריך הזה. בכל שאלה, אפשר לפנות לאיש הקשר האחראי לחשבון או לGoogle Cloud מומחה מכירות.

בדף הזה מוסבר איך לבדוק את הממצאים של Event Threat Detection במסוף Google Cloud , ומוצגות דוגמאות לממצאים של Event Threat Detection.

‫Event Threat Detection הוא שירות מובנה שעוקב אחרי זרמי הרישום ביומן של Cloud Logging בארגון או בפרויקטים, ומזהה איומים כמעט בזמן אמת. אם מפעילים את Security Command Center ברמת הארגון, Event Threat Detection יכול גם לעקוב אחרי מקורות הרישום ביומן של Google Workspace בארגון. מידע נוסף זמין במאמר סקירה כללית על Event Threat Detection.

הפעלה או השבתה של Event Threat Detection

כברירת מחדל, Event Threat Detection מופעל. מידע כללי על הפעלה או השבתה של שירות מובנה או המודולים שלו זמין במאמר הגדרת שירותים של Security Command Center.

בודק את הממצאים

כדי לראות את הממצאים של Event Threat Detection, צריך להפעיל את השירות בהגדרות Services ב-Security Command Center. אחרי שמפעילים את Event Threat Detection, המערכת סורקת יומנים ספציפיים ויוצרת ממצאים. חלק מהיומנים ש-Event Threat Detection יכול לסרוק מושבתים כברירת מחדל, ולכן יכול להיות שתצטרכו להפעיל אותם.

למידע נוסף על כללי הזיהוי המובנים שבהם Event Threat Detection משתמש ועל היומנים ש-Event Threat Detection סורק, קראו את הנושאים הבאים:

• כללים של Event Threat Detection
• סוגי יומנים ודרישות הפעלה

אתם יכולים לראות את הממצאים של Event Threat Detection ב-Security Command Center. אם הגדרתם ייצוא רציף לכתיבת יומנים, אתם יכולים לראות את הממצאים גם ב-Cloud Logging. אפשר לייצא באופן רציף ל-Cloud Logging רק אם מפעילים את Security Command Center ברמת הארגון. כדי ליצור ממצא ולבדוק את ההגדרות, אתם יכולים להפעיל גלאי באופן מכוון ולבדוק את Event Threat Detection.

ההפעלה של Event Threat Detection מתבצעת תוך כמה שניות. זמן האחזור של הזיהוי הוא בדרך כלל פחות מ-15 דקות מהזמן שבו היומן נכתב ועד שהממצא זמין ב-Security Command Center. למידע נוסף על זמן האחזור, קראו את הסקירה הכללית על זמן האחזור ב-Security Command Center.

בדיקת הממצאים ב-Security Command Center

אפשר להקצות את התפקידים של IAM ל-Security Command Center ברמת הארגון, התיקייה או הפרויקט. היכולת שלכם להציג, לערוך, ליצור או לעדכן ממצאים, נכסים ומקורות אבטחה תלויה ברמת הגישה שקיבלתם. בקרת גישה – מידע נוסף על תפקידים ב-Security Command Center.

כדי לבדוק את הממצאים במסוף Google Cloud :

1. נכנסים לדף Findings של Security Command Center במסוף Google Cloud .

   כניסה לדף Findings

   אם מיקום אחסון הנתונים מופעל בארגון, צריך לגשת לדף באמצעות המסוף של תחום השיפוט. מידע נוסף מופיע במאמר שימוש במסוף כשהאפשרות "מיקום אחסון הנתונים" מופעלת.

2. אם צריך, בוחרים את הפרויקט או הארגון ב- Google Cloud .

3. בקטע מסננים מהירים, בסעיף המשנה השם המוצג של המקור, בוחרים באחת מהאפשרויות הבאות או בשתיהן:

   • ‫Event Threat Detection: כדי לסנן ממצאים שנוצרו על ידי גלאים מובְנים של Event Threat Detection
   • מודולים בהתאמה אישית של Event Threat Detection: כדי לסנן ממצאים שנוצרו על ידי מודולים בהתאמה אישית של Event Threat Detection

   הטבלה מאוכלסת בממצאים של Event Threat Detection.

4. כדי לראות פרטים על ממצא ספציפי, לוחצים על שם הממצא בקטע Category. חלונית הפרטים של הממצא מתרחבת ומוצג בה מידע, כולל:

   • מתי האירוע התרחש
   • המקור של נתוני הממצאים
   • חומרת הזיהוי, לדוגמה High
   • הפעולות שבוצעו, כמו הוספת תפקיד בניהול זהויות והרשאות גישה (IAM) למשתמש Gmail
   • המשתמש שביצע את הפעולה, שמופיע לצד כתובת האימייל של חשבון ה-Google

5. כדי להציג את כל הממצאים שנגרמו כתוצאה מפעולות של אותו משתמש:

   1. בחלונית הפרטים של הממצא, מעתיקים את כתובת האימייל שמופיעה לצד Principal email.
   2. סוגרים את החלונית.

   3. בעורך השאילתות, מזינים את השאילתה הבאה:

      access.principal_email="USER_EMAIL"
      

      מחליפים את USER_EMAIL בכתובת האימייל שהעתקתם קודם.

      ב-Security Command Center יוצגו כל הממצאים שמשויכים לפעולות שבוצעו על ידי המשתמש שציינתם.

צפייה בממצאים ב-Cloud Logging

אם מגדירים ייצוא רציף לכתיבת יומנים, אפשר לראות את הממצאים של Event Threat Detection ב-Cloud Logging. התכונה הזו זמינה רק אם מפעילים את רמת הפרימיום של Security Command Center ברמת הארגון.

כדי לראות את הממצאים של Event Threat Detection ב-Cloud Logging:

1. נכנסים לדף Logs Explorer במסוף Google Cloud .

   כניסה לדף Logs Explorer

2. בוחרים את Google Cloud הפרויקט או משאב Google Cloud אחר שבו מאוחסנים היומנים של Event Threat Detection.

3. משתמשים בחלונית Query כדי ליצור את השאילתה באחת מהדרכים הבאות:

   • ברשימה All resources, מבצעים את הפעולות הבאות:
     1. בוחרים באפשרות Threat Detector כדי להציג רשימה של כל הגלאים.
     2. כדי לראות ממצאים מכל הגלאים, בוחרים באפשרות all detector_name. כדי לראות ממצאים מגלאי ספציפי, בוחרים את השם שלו.
     3. לוחצים על אישור. הטבלה Query results מתעדכנת עם היומנים שבחרתם.

   • מזינים את השאילתה הבאה בעורך השאילתות ולוחצים על Run query:

     resource.type="threat_detector"

     הטבלה Query results מתעדכנת ביומנים שבחרתם.

4. כדי להציג יומן, בוחרים שורה בטבלה ולוחצים על Expand nested fields.

אפשר ליצור שאילתות יומנים מתקדמות כדי לציין קבוצה של רשומות יומן מכל מספר של יומנים.

דוגמאות לפורמטים של ממצאים

בקטע הזה יש קישורים לדוגמאות של פלט JSON לממצאים של Event Threat Detection. הפלט הזה מוצג כשמייצאים ממצאים באמצעות מסוףGoogle Cloud או כשמציגים ממצאים באמצעות Security Command Center API או Google Cloud CLI.

בדוגמאות שבדף הזה מוצגים סוגים שונים של ממצאים. כל דוגמה כוללת רק את השדות שהכי רלוונטיים לסוג הממצא הזה. רשימה מלאה של השדות שזמינים בממצא מופיעה במאמרי העזרה של ה-API של Security Command Center למשאב Finding.

כדי לראות דוגמאות לממצאים, לחצו על אחד מהקישורים הבאים.

ממצא של איום	דוגמה ל-JSON
Active Scan: Log4j Vulnerable to RCE	הצגת דוגמה ל-JSON
Brute force SSH	הצגת דוגמה ל-JSON
Cloud IDS: THREAT_IDENTIFIER	הצגת דוגמה ל-JSON
Defense Evasion: Breakglass Workload Deployment Created	הצגת דוגמה ל-JSON
Defense Evasion: Breakglass Workload Deployment Updated	הצגת דוגמה ל-JSON
Defense Evasion: Folder Level TokenCreator Role Granted to AI Agent	הצגת דוגמה ל-JSON
Defense Evasion: Modify VPC Service Control	הצגת דוגמה ל-JSON
Defense Evasion: Organization Level TokenCreator Role Granted to AI Agent	הצגת דוגמה ל-JSON
Defense Evasion: Project Level TokenCreator Role Granted to AI Agent	הצגת דוגמה ל-JSON
Discovery: AI Agent Service Account Self-Investigation	הצגת דוגמה ל-JSON
Discovery: AI Agent Unauthorized Service Account API Call	הצגת דוגמה ל-JSON
Discovery: Can get sensitive Kubernetes object check	הצגת דוגמה ל-JSON
Discovery: Service Account Self-Investigation	הצגת דוגמה ל-JSON
Evasion: Access from Anonymizing Proxy	הצגת דוגמה ל-JSON
Execution: Cryptomining Docker Image	הצגת דוגמה ל-JSON
Exfiltration: AI Agent Initiated BigQuery Data Exfiltration to External Table	הצגת דוגמה ל-JSON
Exfiltration: AI Agent Initiated BigQuery Data Extraction	הצגת דוגמה ל-JSON
Exfiltration: AI Agent Initiated BigQuery VPC Perimeter Violation	הצגת דוגמה ל-JSON
Exfiltration: AI Agent Initiated CloudSQL Exfiltration to External Bucket	הצגת דוגמה ל-JSON
Exfiltration: AI Agent Initiated CloudSQL Exfiltration to Public Bucket	הצגת דוגמה ל-JSON
Exfiltration: BigQuery Data Exfiltration	הצגת דוגמה ל-JSON
Exfiltration: BigQuery Data Extraction	הצגת דוגמה ל-JSON
Exfiltration: BigQuery Data to Google Drive	הצגת דוגמה ל-JSON
Exfiltration: Cloud SQL Data Exfiltration	הצגת דוגמה ל-JSON
Exfiltration: Cloud SQL Over-Privileged Grant	הצגת דוגמה ל-JSON
Exfiltration: Cloud SQL Restore Backup to External Organization	הצגת דוגמה ל-JSON
Impact: Cryptomining Commands	הצגת דוגמה ל-JSON
Impact: Deleted Google Cloud Backup and DR Backup	הצגת דוגמה ל-JSON
Impact: Deleted Google Cloud Backup and DR host	הצגת דוגמה ל-JSON
Impact: Deleted Google Cloud Backup and DR plan association	הצגת דוגמה ל-JSON
Impact: Deleted Google Cloud Backup and DR Vault	הצגת דוגמה ל-JSON
Impact: Gemini Discovery Engine API Document Import by External User	הצגת דוגמה ל-JSON
Impact: Gemini Discovery Engine API Document Import from External Resource	הצגת דוגמה ל-JSON
Impact: Gemini Discovery Engine API Document Import VPC Perimeter Violation	הצגת דוגמה ל-JSON
Impact: Google Cloud Backup and DR delete policy	הצגת דוגמה ל-JSON
Impact: Google Cloud Backup and DR delete profile	הצגת דוגמה ל-JSON
Impact: Google Cloud Backup and DR delete storage pool	הצגת דוגמה ל-JSON
Impact: Google Cloud Backup and DR delete template	הצגת דוגמה ל-JSON
Impact: Google Cloud Backup and DR expire all images	הצגת דוגמה ל-JSON
Impact: Google Cloud Backup and DR expire image	הצגת דוגמה ל-JSON
Impact: Google Cloud Backup and DR reduced backup expiration	הצגת דוגמה ל-JSON
Impact: Google Cloud Backup and DR reduced backup frequency	הצגת דוגמה ל-JSON
Impact: Google Cloud Backup and DR remove appliance	הצגת דוגמה ל-JSON
Impact: Google Cloud Backup and DR remove plan	הצגת דוגמה ל-JSON
Initial Access: Account Disabled Hijacked	הצגת דוגמה ל-JSON
Initial Access: AI Agent Identity Excessive Permission Denied Actions	הצגת דוגמה ל-JSON
Initial Access: Database Superuser Writes to User Tables	הצגת דוגמה ל-JSON
Initial Access: Disabled Password Leak	הצגת דוגמה ל-JSON
Initial Access: Dormant Service Account Action	הצגת דוגמה ל-JSON
Initial Access: Dormant Service Account Activity in AI Service	הצגת דוגמה ל-JSON
Initial Access: Dormant Service Account Key Created	הצגת דוגמה ל-JSON
Initial Access: Excessive Permission Denied Actions	הצגת דוגמה ל-JSON
Initial Access: Government Based Attack	הצגת דוגמה ל-JSON
Initial Access: Leaked Service Account Key Used	הצגת דוגמה ל-JSON
Initial Access: Log4j Compromise Attempt	הצגת דוגמה ל-JSON
Initial Access: Suspicious Login Blocked	הצגת דוגמה ל-JSON
Lateral Movement: Modified Boot Disk Attached to Instance	הצגת דוגמה ל-JSON
Malware: bad domain	הצגת דוגמה ל-JSON
Malware: bad IP	הצגת דוגמה ל-JSON
Malware: Cryptomining Bad Domain	הצגת דוגמה ל-JSON
Malware: Cryptomining Bad IP	הצגת דוגמה ל-JSON
Persistence: External Access Granted to Gemini Discovery Engine API Apps	הצגת דוגמה ל-JSON
Persistence: GCE Admin Added SSH Key	הצגת דוגמה ל-JSON
Persistence: GCE Admin Added Startup Script	הצגת דוגמה ל-JSON
Persistence: IAM Anomalous Grant	הצגת דוגמה ל-JSON
Persistence: New AI API Method	הצגת דוגמה ל-JSON
Persistence: New API Method	הצגת דוגמה ל-JSON
Persistence: New Geography	הצגת דוגמה ל-JSON
Persistence: New Geography for AI Service	הצגת דוגמה ל-JSON
Persistence: New User Agent	הצגת דוגמה ל-JSON
Persistence: Sensitive AI Permission Added to Custom Role	הצגת דוגמה ל-JSON
Persistence: Sensitive Role Granted by AI Agent	הצגת דוגמה ל-JSON
Persistence: Sensitive Role Granted to External AI Agent	הצגת דוגמה ל-JSON
Persistence: SSO Enablement Toggle	הצגת דוגמה ל-JSON
Persistence: SSO Settings Changed	הצגת דוגמה ל-JSON
Persistence: Strong Authentication Disabled	הצגת דוגמה ל-JSON
Persistence: Two Step Verification Disabled	הצגת דוגמה ל-JSON
Privilege Escalation: AI Agent Cross-Project Access Token Generation	הצגת דוגמה ל-JSON
Privilege Escalation: AI Agent Cross-Project OpenID Token Generation	הצגת דוגמה ל-JSON
Privilege Escalation: AI Agent Token Generation Using Implicit Delegation	הצגת דוגמה ל-JSON
Privilege Escalation: AI Agent Token Generation Using signJwt	הצגת דוגמה ל-JSON
Privilege Escalation: AlloyDB Database Superuser Writes to User Tables	הצגת דוגמה ל-JSON
Privilege Escalation: AlloyDB Over-Privileged Grant	הצגת דוגמה ל-JSON
Privilege Escalation: Anomalous Impersonation of Service Account for Admin Activity	הצגת דוגמה ל-JSON
Privilege Escalation: Anomalous Impersonation of Service Account for AI Admin Activity	הצגת דוגמה ל-JSON
Privilege Escalation: Anomalous Multistep Service Account Delegation for Admin Activity	הצגת דוגמה ל-JSON
Privilege Escalation: Anomalous Multistep Service Account Delegation for AI Admin Activity	הצגת דוגמה ל-JSON
Privilege Escalation: Anomalous Multistep Service Account Delegation for AI Data Access	הצגת דוגמה ל-JSON
Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access	הצגת דוגמה ל-JSON
Privilege Escalation: Anomalous Service Account Impersonator for Admin Activity	הצגת דוגמה ל-JSON
Privilege Escalation: Anomalous Service Account Impersonator for AI Admin Activity	הצגת דוגמה ל-JSON
Privilege Escalation: Anomalous Service Account Impersonator for AI Data Access	הצגת דוגמה ל-JSON
Privilege Escalation: Anomalous Service Account Impersonator for Data Access	הצגת דוגמה ל-JSON
Privilege Escalation: Changes to sensitive Kubernetes RBAC objects	הצגת דוגמה ל-JSON
Privilege Escalation: Create Kubernetes CSR for master cert	הצגת דוגמה ל-JSON
Privilege Escalation: Creation of sensitive Kubernetes bindings	הצגת דוגמה ל-JSON
Privilege Escalation: Default Compute Engine Service Account SetIAMPolicy	הצגת דוגמה ל-JSON
Privilege Escalation: Dormant Service Account Granted Sensitive Role	הצגת דוגמה ל-JSON
Privilege Escalation: External Member Added To Privileged Group	הצגת דוגמה ל-JSON
Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials	הצגת דוגמה ל-JSON
Privilege Escalation: Impersonation Role Granted For Dormant Service Account	הצגת דוגמה ל-JSON
Privilege Escalation: Launch of privileged Kubernetes container	הצגת דוגמה ל-JSON
Privilege Escalation: Privileged Group Opened To Public	הצגת דוגמה ל-JSON
Privilege Escalation: Sensitive Role Granted To Hybrid Group	הצגת דוגמה ל-JSON

המאמרים הבאים

• איך פועל Event Threat Detection
• איך חוקרים איומים ומפתחים תוכניות תגובה