Répondre aux résultats de détection des menaces liées à l'IA

Niveaux de service Premium et Enterprise (obsolètes)

Le niveau de service Security Command Center Enterprise sera arrêté le 21 mai 2027.

Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium le 21 mai 2027 ou après. Contactez votre responsable de compte ou un spécialiste des ventesGoogle Cloud si vous avez des questions.

Ce document fournit des conseils informels sur la façon de réagir aux activités suspectes détectées dans vos ressources d'IA. Les procédures recommandées peuvent ne pas convenir pour tous les résultats et peuvent avoir un impact sur vos opérations. Avant d'agir, vous devez examiner les résultats, évaluer les informations que vous avez recueillies et décider de votre plan d'action.

Remarque  : L'efficacité des techniques fournies par Security Command Center contre les menaces passées, actuelles ou futures n'est pas garantie. Pour savoir pourquoi Security Command Center ne fournit pas de conseils officiels pour la résolution des menaces, consultez Approche de la résolution des problèmes de détection des menaces.

Avant de commencer

1. Examinez le résultat. Notez les ressources concernées, ainsi que les binaires, processus ou bibliothèques détectés.
2. Pour en savoir plus sur le résultat que vous examinez, recherchez-le dans l'index des menaces constatées.

Recommandations générales

• Contactez le propriétaire de la ressource concernée.
• Collaborez avec votre équipe de sécurité pour identifier les ressources inconnues, y compris les instances et les sessions Agent Runtime, les comptes de service et les identités d'agent. Supprimez les ressources qui ont été créées avec des comptes non autorisés.
• Pour identifier et corriger les rôles trop permissifs, utilisez l'outil de recommandation IAM. Supprimez ou désactivez les comptes potentiellement piratés.
• Pour les niveaux de service Standard (ancienne version), Standard, Premium et Enterprise (obsolète), examinez les résultats liés à l'identité et à l'accès.
• Pour approfondir l'enquête, vous pouvez utiliser des services de réponse aux incidents, par exemple Mandiant.
• Pour l'analyse forensique, collectez et sauvegardez les journaux des ressources concernées.

Compte de service ou identité d'agent potentiellement compromis

• Pour supprimer une identité d'agent compromise, supprimez l'instance Agent Runtime correspondante.

• Désactivez le compte de service potentiellement piraté. Pour connaître les bonnes pratiques, consultez Désactiver les comptes de service inutilisés avant de les supprimer.

• Désactivez les clés de compte de service pour le projet potentiellement compromis.

• Pour savoir quand vos clés et vos comptes de service ont été utilisés pour la dernière fois pour appeler une API Google, utilisez Activity Analyzer. Pour en savoir plus, consultez Afficher l'utilisation récente des comptes de service et des clés.

• Si vous êtes sûr que vous pouvez supprimer le compte de service sans risque, supprimez-le.

  Remarque : Si le compte de service compromis est un agent de service Agent Runtime, vous ne pouvez pas le supprimer directement. Dans ce cas, assurez-vous que l'agent de service ne dispose pas de plus d'autorisations que nécessaire.

• Pour utiliser des règles d'administration afin de restreindre l'utilisation des comptes de service, consultez Restreindre l'utilisation des comptes de service.

• Pour utiliser Identity and Access Management afin de restreindre l'utilisation des comptes de service ou des clés de compte de service, consultez Refuser l'accès aux ressources.

Exfiltration et extraction

• Révoquez les rôles pour le compte principal listé dans la ligne Adresse e-mail du compte principal des détails du résultat jusqu'à la fin de l'enquête.
• Pour mettre fin à toute exfiltration, ajoutez des stratégies IAM restrictives sur les ressources concernées.
• Pour déterminer si les ensembles de données concernés contiennent des informations sensibles, inspectez-les avec Sensitive Data Protection. Vous pouvez configurer le job d'inspection pour envoyer les résultats à Security Command Center. Selon la quantité d'informations, les coûts liés à Sensitive Data Protection peuvent être importants. Suivez les bonnes pratiques pour contrôler les coûts liés à Sensitive Data Protection.
• Utilisez VPC Service Controls pour créer des périmètres de sécurité autour des services de données tels que BigQuery et Cloud SQL afin d'empêcher les transferts de données vers des projets situés en dehors du périmètre.

Génération de jetons suspects

• Validez la nécessité de générer des jetons multiprojets. Si ce n'est pas nécessaire, supprimez l'association de rôle IAM dans le projet cible qui accorde l'autorisation iam.serviceAccounts.getAccessToken, iam.serviceAccounts.getOpenIdToken, iam.serviceAccounts.implicitDelegation ou iam.serviceAccounts.signJwt au compte principal du projet source.

• Examinez les journaux spécifiés dans le résultat pour valider les méthodes de génération de jetons utilisées par vos charges de travail agentiques.

Rôles ou autorisations IAM sensibles accordés

• Utilisez le service de règles d'administration pour restreindre les identités avec le partage limité à un domaine.
• Pour identifier et corriger les rôles trop permissifs, utilisez l'outil de recommandation IAM.

Étapes suivantes

• Découvrez comment travailler avec les résultats de détection de menace dans Security Command Center.
• Consultez l'index des résultats de détection de menace.
• Découvrez comment examiner un résultat dans la console Google Cloud .
• Apprenez-en plus sur les services qui génèrent des résultats de détection de menace.

• Consultez la liste de tous les résultats de l'IA.