Rispondere ai risultati delle minacce dell'AI

Questo documento offre indicazioni informali su come rispondere ai risultati di attività sospette nelle risorse AI. I passaggi consigliati potrebbero non essere appropriati per tutti i risultati e potrebbero influire sulle tue operazioni. Prima di intraprendere qualsiasi azione, devi esaminare i risultati, valutare le informazioni raccolte e decidere come rispondere.

Prima di iniziare

  1. Rivedi il risultato. Prendi nota delle risorse interessate e dei file binari, dei processi o delle librerie rilevati.
  2. Per scoprire di più sul risultato che stai esaminando, cercalo nell'indice dei risultati delle minacce.

Consigli generali

  • Contatta il proprietario della risorsa interessata.
  • Collabora con il tuo team di sicurezza per identificare risorse sconosciute, tra cui istanze di Agent Runtime, sessioni, service account e identità degli agenti. Elimina le risorse create con account non autorizzati.
  • Per identificare e correggere i ruoli eccessivamente permissivi, utilizza IAM Recommender. Elimina o disattiva gli account potenzialmente compromessi.
  • Per i livelli di servizio Standard legacy, Standard, Premium ed Enterprise, esamina i risultati relativi a identità e accesso.
  • Per ulteriori indagini, puoi utilizzare i servizi di risposta agli incidenti, ad esempio Mandiant.
  • Per l'analisi forense, raccogli ed esegui il backup dei log delle risorse interessate.

Account di servizio o identità dell'agente potenzialmente compromessi

Esfiltrazione ed estrazione

  • Revoca dei ruoli per l'entità elencata nella riga Email entità nei dettagli del risultato fino al completamento dell'indagine.
  • Per interrompere l'ulteriore esfiltrazione, aggiungi criteri IAM restrittivi alle risorse interessate.
  • Per determinare se i set di dati interessati contengono informazioni sensibili, ispezionali con Sensitive Data Protection. Puoi configurare il job di ispezione in modo da inviare i risultati a Security Command Center. A seconda della quantità di informazioni, i costi di Sensitive Data Protection possono essere significativi. Segui le best practice per tenere sotto controllo i costi di Sensitive Data Protection.
  • Utilizza i controlli di servizio VPC per creare perimetri di sicurezza attorno a servizi di dati come BigQuery e Cloud SQL per impedire i trasferimenti di dati a progetti al di fuori del perimetro.

Generazione token sospetta

  • Verifica la necessità di generare token tra progetti. Se non è necessario, rimuovi l'associazione del ruolo IAM nel progetto di destinazione che concede l'autorizzazione iam.serviceAccounts.getAccessToken, iam.serviceAccounts.getOpenIdToken, iam.serviceAccounts.implicitDelegation o iam.serviceAccounts.signJwt all'entità dal progetto di origine.

  • Esamina i log specificati nel risultato per convalidare i metodi di generazione dei token utilizzati dai carichi di lavoro agentic.

Ruoli o autorizzazioni IAM sensibili concessi

Passaggi successivi