Usar o Event Threat Detection

Níveis de serviço Premium e Enterprise (descontinuado)

O nível de serviço do Security Command Center Enterprise será desativado em 21 de maio de 2027. Se a organização usa o nível de serviço Enterprise, ela será migrada automaticamente para o nível de serviço Premium em 21 de maio de 2027 ou depois dessa data. Entre em contato com o representante da sua conta ou com um especialista de vendas doGoogle Cloud se tiver dúvidas.

Esta página mostra como revisar as descobertas do Event Threat Detection no console do Google Cloud e inclui exemplos dessas descobertas.

O Event Threat Detection é um serviço integrado que monitora os streams de geração de registros do Cloud Logging para sua organização ou projetos e detecta ameaças quase em tempo real. Se você ativar o Security Command Center no nível da organização, o Event Threat Detection também poderá monitorar os fluxos de geração de registros do Google Workspace da organização. Para saber mais, consulte Visão geral do Event Threat Detection.

Ativar ou desativar o Event Threat Detection

Por padrão, o Event Threat Detection está ativado. Para informações gerais sobre como ativar ou desativar um serviço integrado ou os módulos dele, consulte Configurar serviços do Security Command Center.

Analisar uma descoberta

Para ver as descobertas do Event Threat Detection, o serviço precisa estar ativado nas configurações Serviços do Security Command Center. Depois que você ativa o Event Threat Detection, ele detecta as descobertas verificando os registros específicos. Alguns dos registros que o Event Threat Detection pode verificar estão desativados por padrão. Talvez seja necessário ativá-los.

Para mais informações sobre as regras de detecção integradas que o Event Threat Detection usa e os registros que ele verifica, consulte os seguintes tópicos.

• Regras do Event Threat Detection
• Tipos de registro e requisitos de ativação

Você pode ver as descobertas do Event Threat Detection no Security Command Center. Se você configurou Exportações contínuas para gravar registros, também será possível ver as descobertas no Cloud Logging. As exportações contínuas para o Cloud Logging só ficam disponíveis quando o Security Command Center é ativado no nível da organização. Para gerar uma descoberta e verificar a configuração, você pode acionar intencionalmente um detector e testar o Event Threat Detection.

A ativação do Event Threat Detection ocorre em segundos. As latências de detecção geralmente são menores que 15 minutos a partir do momento em que um registro é gravado até o momento em que uma descoberta está disponível no Security Command Center. Para mais informações sobre latência, leia Visão geral da latência do Security Command Center.

Como analisar as descobertas no Security Command Center

Os papéis do IAM para o Security Command Center podem ser concedidos no nível da organização, da pasta ou do projeto. A capacidade de ver, editar, criar ou atualizar descobertas, recursos e fontes de segurança depende do nível a que você tem acesso. Para saber mais sobre os papéis do Security Command Center, consulte Controle de acesso.

Use o procedimento a seguir para analisar as descobertas no console do Google Cloud :

1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

   Acesse Descobertas

   Se a residência de dados estiver ativada na sua organização, acesse a página usando o console jurisdicional. Para mais informações, consulte Usar o console com a residência de dados ativada.

2. Se necessário, selecione o projeto ou a organização do Google Cloud .

3. Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione uma das opções a seguir ou ambas:

   • Event Threat Detection: para filtrar descobertas geradas por detectores integrados de Event Threat Detection
   • Módulos personalizados de detecção de ameaças do evento: para filtrar descobertas geradas por módulos personalizados do Event Threat Detection

   A tabela é preenchida com descobertas do Event Threat Detection.

4. Para ver detalhes sobre uma descoberta específica, clique no nome da descoberta em Category. O Painel de detalhes da descoberta é expandido para mostrar informações, incluindo:

   • Quando o evento ocorreu
   • A fonte dos dados de descoberta
   • A gravidade de detecção, por exemplo, Alta
   • As ações realizadas, como adicionar um papel de Gerenciamento de identidade e acesso (IAM, na sigla em inglês) a um usuário do Gmail.
   • O usuário que realizou a ação, listado ao lado de E-mail principal

5. Para exibir todas as descobertas causadas pelas ações do mesmo usuário:

   1. No Painel de detalhes da descoberta, copie o endereço de e-mail ao lado de E-mail principal.
   2. Fechar painel.

   3. No editor de consultas, insira a seguinte consulta:

      access.principal_email="USER_EMAIL"
      

      Substitua USER_EMAIL pelo endereço de e-mail que você copiou anteriormente.

      O Security Command Center exibe todas as descobertas associadas a ações realizadas pelo usuário que você especificou.

Como visualizar descobertas no Cloud Logging

Se você configurar Exportações contínuas para gravar registros, é possível conferir as descobertas do Event Threat Detection no Cloud Logging. Esse recurso só fica disponível se o nível Premium do Security Command Center Premium for ativado no nível da organização.

Para visualizar as descobertas do Event Threat Detection no Cloud Logging:

1. Acesse a Análise de registros no console do Google Cloud .

   Acessar a Análise de registros

2. Selecione o projeto do Google Cloud ou outro recurso do Google Cloud em que você está armazenando os registros do Event Threat Detection.

3. Use o painel Consulta para criar sua consulta de uma das seguintes maneiras:

   • Na lista Todos os recursos, faça o seguinte:
     1. Selecione Threat Detector para mostrar uma lista de todos os detectores.
     2. Para ver as descobertas de todos os detectores, selecione all detector_name. Para ver as descobertas de um detector específico, selecione o nome dele.
     3. Clique em Aplicar. A tabela Resultados da consulta é atualizada com os registros selecionados por você.

   • Insira a seguinte consulta no editor de consultas e clique em Executar:

     resource.type="threat_detector"

     A tabela Resultados da consulta é atualizada com os registros selecionados.

4. Para visualizar um registro, selecione uma linha da tabela e clique em Expandir campos aninhados.

É possível criar consultas de registro avançadas para especificar um conjunto de entradas de registro a partir de qualquer número de registros.

Exemplos de formatos de descoberta

Nesta seção, fornecemos links para exemplos de saída JSON para descobertas do Event Threat Detection. Essa saída é exibida quando você exporta descobertas usando o console doGoogle Cloud ou lista descobertas usando a API Security Command Center ou a Google Cloud CLI.

Os exemplos nesta página mostram diferentes tipos de descobertas. Cada exemplo inclui apenas os campos mais relevantes para esse tipo de descoberta. Para ver uma lista completa de campos disponíveis em uma descoberta, consulte a documentação da API Security Command Center para o recurso Finding.

Para ver exemplos de descobertas, selecione um dos links a seguir.

Descoberta de ameaça	Exemplo de JSON
Active Scan: Log4j Vulnerable to RCE	Ver exemplo de JSON
Brute force SSH	Ver exemplo de JSON
Cloud IDS: THREAT_IDENTIFIER	Ver exemplo de JSON
Defense Evasion: Breakglass Workload Deployment Created	Ver exemplo de JSON
Defense Evasion: Breakglass Workload Deployment Updated	Ver exemplo de JSON
Defense Evasion: Folder Level TokenCreator Role Granted to AI Agent	Ver exemplo de JSON
Defense Evasion: Modify VPC Service Control	Ver exemplo de JSON
Defense Evasion: Organization Level TokenCreator Role Granted to AI Agent	Ver exemplo de JSON
Defense Evasion: Project Level TokenCreator Role Granted to AI Agent	Ver exemplo de JSON
Discovery: AI Agent Service Account Self-Investigation	Ver exemplo de JSON
Discovery: AI Agent Unauthorized Service Account API Call	Ver exemplo de JSON
Discovery: Can get sensitive Kubernetes object check	Ver exemplo de JSON
Discovery: Service Account Self-Investigation	Ver exemplo de JSON
Evasion: Access from Anonymizing Proxy	Ver exemplo de JSON
Execution: Cryptomining Docker Image	Ver exemplo de JSON
Exfiltration: AI Agent Initiated BigQuery Data Exfiltration to External Table	Ver exemplo de JSON
Exfiltration: AI Agent Initiated BigQuery Data Extraction	Ver exemplo de JSON
Exfiltration: AI Agent Initiated BigQuery VPC Perimeter Violation	Ver exemplo de JSON
Exfiltration: AI Agent Initiated CloudSQL Exfiltration to External Bucket	Ver exemplo de JSON
Exfiltration: AI Agent Initiated CloudSQL Exfiltration to Public Bucket	Ver exemplo de JSON
Exfiltration: BigQuery Data Exfiltration	Ver exemplo de JSON
Exfiltration: BigQuery Data Extraction	Ver exemplo de JSON
Exfiltration: BigQuery Data to Google Drive	Ver exemplo de JSON
Exfiltration: Cloud SQL Data Exfiltration	Ver exemplo de JSON
Exfiltration: Cloud SQL Over-Privileged Grant	Ver exemplo de JSON
Exfiltration: Cloud SQL Restore Backup to External Organization	Ver exemplo de JSON
Impact: Cryptomining Commands	Ver exemplo de JSON
Impact: Deleted Google Cloud Backup and DR Backup	Ver exemplo de JSON
Impact: Deleted Google Cloud Backup and DR host	Ver exemplo de JSON
Impact: Deleted Google Cloud Backup and DR plan association	Ver exemplo de JSON
Impact: Deleted Google Cloud Backup and DR Vault	Ver exemplo de JSON
Impact: Gemini Discovery Engine API Document Import by External User	Ver exemplo de JSON
Impact: Gemini Discovery Engine API Document Import from External Resource	Ver exemplo de JSON
Impact: Gemini Discovery Engine API Document Import VPC Perimeter Violation	Ver exemplo de JSON
Impact: Google Cloud Backup and DR delete policy	Ver exemplo de JSON
Impact: Google Cloud Backup and DR delete profile	Ver exemplo de JSON
Impact: Google Cloud Backup and DR delete storage pool	Ver exemplo de JSON
Impact: Google Cloud Backup and DR delete template	Ver exemplo de JSON
Impact: Google Cloud Backup and DR expire all images	Ver exemplo de JSON
Impact: Google Cloud Backup and DR expire image	Ver exemplo de JSON
Impact: Google Cloud Backup and DR reduced backup expiration	Ver exemplo de JSON
Impact: Google Cloud Backup and DR reduced backup frequency	Ver exemplo de JSON
Impact: Google Cloud Backup and DR remove appliance	Ver exemplo de JSON
Impact: Google Cloud Backup and DR remove plan	Ver exemplo de JSON
Initial Access: Account Disabled Hijacked	Ver exemplo de JSON
Initial Access: AI Agent Identity Excessive Permission Denied Actions	Ver exemplo de JSON
Initial Access: Database Superuser Writes to User Tables	Ver exemplo de JSON
Initial Access: Disabled Password Leak	Ver exemplo de JSON
Initial Access: Dormant Service Account Action	Ver exemplo de JSON
Initial Access: Dormant Service Account Activity in AI Service	Ver exemplo de JSON
Initial Access: Dormant Service Account Key Created	Ver exemplo de JSON
Initial Access: Excessive Permission Denied Actions	Ver exemplo de JSON
Initial Access: Government Based Attack	Ver exemplo de JSON
Initial Access: Leaked Service Account Key Used	Ver exemplo de JSON
Initial Access: Log4j Compromise Attempt	Ver exemplo de JSON
Initial Access: Suspicious Login Blocked	Ver exemplo de JSON
Lateral Movement: Modified Boot Disk Attached to Instance	Ver exemplo de JSON
Malware: bad domain	Ver exemplo de JSON
Malware: bad IP	Ver exemplo de JSON
Malware: Cryptomining Bad Domain	Ver exemplo de JSON
Malware: Cryptomining Bad IP	Ver exemplo de JSON
Persistence: External Access Granted to Gemini Discovery Engine API Apps	Ver exemplo de JSON
Persistence: GCE Admin Added SSH Key	Ver exemplo de JSON
Persistence: GCE Admin Added Startup Script	Ver exemplo de JSON
Persistence: IAM Anomalous Grant	Ver exemplo de JSON
Persistence: New AI API Method	Ver exemplo de JSON
Persistence: New API Method	Ver exemplo de JSON
Persistence: New Geography	Ver exemplo de JSON
Persistence: New Geography for AI Service	Ver exemplo de JSON
Persistence: New User Agent	Ver exemplo de JSON
Persistence: Sensitive AI Permission Added to Custom Role	Ver exemplo de JSON
Persistence: Sensitive Role Granted by AI Agent	Ver exemplo de JSON
Persistence: Sensitive Role Granted to External AI Agent	Ver exemplo de JSON
Persistence: SSO Enablement Toggle	Ver exemplo de JSON
Persistence: SSO Settings Changed	Ver exemplo de JSON
Persistence: Strong Authentication Disabled	Ver exemplo de JSON
Persistence: Two Step Verification Disabled	Ver exemplo de JSON
Privilege Escalation: AI Agent Cross-Project Access Token Generation	Ver exemplo de JSON
Privilege Escalation: AI Agent Cross-Project OpenID Token Generation	Ver exemplo de JSON
Privilege Escalation: AI Agent Token Generation Using Implicit Delegation	Ver exemplo de JSON
Privilege Escalation: AI Agent Token Generation Using signJwt	Ver exemplo de JSON
Privilege Escalation: AlloyDB Database Superuser Writes to User Tables	Ver exemplo de JSON
Privilege Escalation: AlloyDB Over-Privileged Grant	Ver exemplo de JSON
Privilege Escalation: Anomalous Impersonation of Service Account for Admin Activity	Ver exemplo de JSON
Privilege Escalation: Anomalous Impersonation of Service Account for AI Admin Activity	Ver exemplo de JSON
Privilege Escalation: Anomalous Multistep Service Account Delegation for Admin Activity	Ver exemplo de JSON
Privilege Escalation: Anomalous Multistep Service Account Delegation for AI Admin Activity	Ver exemplo de JSON
Privilege Escalation: Anomalous Multistep Service Account Delegation for AI Data Access	Ver exemplo de JSON
Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access	Ver exemplo de JSON
Privilege Escalation: Anomalous Service Account Impersonator for Admin Activity	Ver exemplo de JSON
Privilege Escalation: Anomalous Service Account Impersonator for AI Admin Activity	Ver exemplo de JSON
Privilege Escalation: Anomalous Service Account Impersonator for AI Data Access	Ver exemplo de JSON
Privilege Escalation: Anomalous Service Account Impersonator for Data Access	Ver exemplo de JSON
Privilege Escalation: Changes to sensitive Kubernetes RBAC objects	Ver exemplo de JSON
Privilege Escalation: Create Kubernetes CSR for master cert	Ver exemplo de JSON
Privilege Escalation: Creation of sensitive Kubernetes bindings	Ver exemplo de JSON
Privilege Escalation: Default Compute Engine Service Account SetIAMPolicy	Ver exemplo de JSON
Privilege Escalation: Dormant Service Account Granted Sensitive Role	Ver exemplo de JSON
Privilege Escalation: External Member Added To Privileged Group	Ver exemplo de JSON
Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials	Ver exemplo de JSON
Privilege Escalation: Impersonation Role Granted For Dormant Service Account	Ver exemplo de JSON
Privilege Escalation: Launch of privileged Kubernetes container	Ver exemplo de JSON
Privilege Escalation: Privileged Group Opened To Public	Ver exemplo de JSON
Privilege Escalation: Sensitive Role Granted To Hybrid Group	Ver exemplo de JSON

A seguir

• Saiba mais sobre como o Event Threat Detection funciona.
• Saiba como investigar e desenvolver planos de resposta para ameaças.