AI 위협 발견 사항에 대응하기

이 문서는 AI 리소스에서 의심스러운 활동의 발견 사항에 대응하는 방법에 관한 비공식 가이드를 제공합니다. 권장 단계가 모든 발견 사항에 적합하지 않을 수 있으며 작업에 영향을 미칠 수 있습니다. 조치를 취하기 전에 발견 사항을 조사하고 수집한 정보를 평가하고 어떻게 대응할지 결정해야 합니다.

이 문서의 기법이 과거, 현재 또는 미래의 모든 위협에 대해 효과적이라고 보장할 수는 없습니다. Security Command Center에서 위협에 대한 공식 해결 방법을 제공하지 않는 이유를 알아보려면 위협 해결을 확인하세요.

시작하기 전에

  1. 발견 사항을 검토합니다. 영향을 받는 리소스와 감지된 바이너리, 프로세스 또는 라이브러리를 기록합니다.
  2. 조사 중인 발견 사항에 대해 자세히 알아보려면 위협 발견 사항 색인에서 발견 사항을 검색합니다.

일반 권장사항

  • 영향을 받는 리소스의 소유자에게 문의하세요.
  • 보안팀과 협력하여 익숙하지 않은 리소스를 확인합니다. 여기에는 Agent Runtime 인스턴스, 세션, 서비스 계정, 그리고 에이전트 ID가 포함됩니다. 승인되지 않은 계정으로 생성된 리소스를 삭제합니다.
  • 과도한 권한이 부여된 역할을 식별하고 수정하려면 IAM 추천자를 사용합니다. 잠재적으로 침해된 계정을 삭제하거나 사용 중지합니다.
  • Standard-legacy, Standard, Premium, Enterprise 서비스 등급의 경우 ID 및 액세스 발견 사항을 조사합니다.
  • 추가 조사를 위해 예를 들어 Mandiant와 같은 사고 대응 서비스를 사용할 수 있습니다.
  • 포렌식 분석을 위해 영향을 받는 리소스의 로그를 수집하고 백업합니다.

잠재적으로 침해된 서비스 계정 또는 에이전트 ID

유출 및 추출

의심스러운 토큰 생성

  • 프로젝트 간 토큰 생성의 필요성을 확인합니다. 필요하지 않은 경우 소스 프로젝트의 주 구성원에게 iam.serviceAccounts.getAccessToken, iam.serviceAccounts.getOpenIdToken, iam.serviceAccounts.implicitDelegation 또는 iam.serviceAccounts.signJwt 권한을 부여하는 대상 프로젝트의 IAM 역할 결합을 삭제합니다.

  • 발견 사항에 지정된 로그를 조사하여 에이전트 워크로드에서 사용하는 토큰 생성 방법을 확인합니다.

중요한 IAM 역할 또는 권한 부여됨

  • 조직 정책 서비스를 사용하여 도메인 제한 공유로 ID를 제한합니다.
  • 과도한 권한이 부여된 역할을 식별하고 수정하려면 IAM 추천자를 사용합니다.

다음 단계

  • 모든 AI 발견 사항 목록을 참고하세요.