Rispondere alle credenziali Google Cloud compromesse

Se sospetti che una delle tue credenziali sia stata compromessa, devi intervenire immediatamente per limitare l'impatto della compromissione sul tuo accountGoogle Cloud .

Google Cloud controllano l'accesso alle risorse ospitate su Google Cloud. Google Cloud includono credenziali a lunga e breve durata. Per contribuire a mantenere i tuoi dati sicuri e protetti dagli aggressori, devi gestire le tue credenziali con la massima cura e rispondere rapidamente a qualsiasi compromissione sospetta.

Google Cloud credenziali

La tabella seguente descrive le credenziali Google Cloud comuni.

Credenziale Descrizione
Chiavi private del service account (file JSON e p12)

Tipo: credenziale di servizio di lunga durata

Località tipiche:

  • Workstation per sviluppatori
  • Ambienti server delle applicazioni
  • Repository di codice sorgente
  • Sistemi di gestione dei secret

Correzione: chiavi e token dell'account di servizio
Token dell'account di servizio (token di accesso OAuth 2.0)

Tipo:credenziale di breve durata

Località tipiche:

  • Memoria di runtime dell'applicazione
  • Workload di produzione (recuperati dinamicamente dai server di metadati delle istanze)
  • Postazioni di lavoro per sviluppatori o pipeline CI/CD

Correzione: chiavi e token dell'account di servizio
Chiavi API

Tipo: credenziale di servizio di lunga durata

Località tipiche:

  • Codice sorgente del frontend
  • File di configurazione del backend
  • Sistemi di gestione dei secret o variabili di ambiente

Correzione:chiavi API
Secret ID client OAuth 2.0

Tipo: credenziale di servizio di lunga durata

Località tipiche:

  • File di configurazione del backend del server web
  • Sistemi di gestione dei secret

Correzione:client ID client 2.0
Credenziali Google Cloud CLI

Tipo:credenziale utente di lunga durata

Posizione tipica: la home directory dell'utente. Per elencare le credenziali attive, esegui il comando gcloud auth list.

Correzione:Credenziali utente e token OAuth di Google Cloud CLI
Token di accesso OAuth per Google Cloud CLI

Tipo:credenziale di breve durata

Posizione tipica: workstation dello sviluppatore

Correzione:credenziali utente e token OAuth gcloud CLI
Credenziali predefinite dell'applicazione

Tipo:credenziale utente di lunga durata

Posizione tipica: workstation dello sviluppatore

Correzione:Credenziali predefinite dell'applicazione
Cookie del browser

Tipo:credenziale utente di lunga durata

Posizione tipica: specifica per il browser, ma in genere vengono memorizzati nelle workstation degli sviluppatori

Correzione: cookie del browser
Token di accesso federati del servizio token di sicurezza per la federazione delle identità per i workload

Tipo:credenziale di breve durata

Località tipiche:

  • Ambienti di runtime dei workload esterni
  • Pipeline di deployment CI/CD

Correzione: token di accesso federati del servizio token di sicurezza
Token di accesso federati di Security Token Service per la federazione delle identità della forza lavoro

Tipo:credenziale di breve durata

Località tipiche:

  • Workstation per sviluppatori
  • Script e applicazioni client di terze parti

Correzione:token di accesso federati del servizio token di sicurezza

Proteggi le tue risorse di Google Cloud da una credenziale compromessa

Se sospetti che una credenziale sia compromessa, revocala e riemettila. Procedi con attenzione per evitare un'interruzione del servizio a seguito della revoca delle credenziali.

In generale, per riemettere le credenziali, generi una nuova credenziale, la esegui il deployment su tutti i servizi e gli utenti che ne hanno bisogno e poi revochi la vecchia credenziale.

Le sezioni seguenti forniscono istruzioni specifiche per ciascun tipo di qualifica.

Chiavi e token service account

Completa i seguenti passaggi per sostituire una chiave del account di servizio compromessa e bloccare i token delaccount di serviziot di breve durata compromessi.

I token account di servizio di breve durata esistono separatamente dalle credenziali o dall'autorizzazione utilizzate per generarli e non possono essere revocati. I token di accesso del service account sono token di tipo bearer e rimangono validi fino alla loro scadenza (per impostazione predefinita, fino a 60 minuti o fino a 12 ore se è configurato un criterio di durata estesa del token).

A differenza dei token di accesso concessi alle identità utente, i token di accesso concessi agli account di servizio non possono essere invalidati tramite la Console di amministrazione o comandi come gcloud auth revoke. Inoltre, la durata della sessione specificata nel Google Cloud controllo della sessione si applica agli account utente nella directory Cloud Identity o Google Workspace, ma non agli account di servizio. Pertanto, la risposta agli incidenti per i service account compromessi deve riguardare sia i file di chiavi persistenti sia i token di accesso di breve durata.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per rispondere a chiavi e token del account di servizio compromessi, chiedi all'amministratore di concederti i seguenti ruoli IAM:

  • Gestisci le chiavi del account di servizio: Service Account Key Admin (roles/iam.serviceAccountKeyAdmin) sul progetto che contiene il account di servizio
  • Disabilita, abilita o elimina service account: Amministratore service account (roles/iam.serviceAccountAdmin) sul progetto che contiene il account di servizio
  • Applica le policy di negazione per bloccare i token attivi: Amministratore rifiuti (roles/iam.denyAdmin) sull'organizzazione
  • Revoca dei ruoli di rappresentazione: Project Identity and Access Management (IAM) Admin (roles/resourcemanager.projectIamAdmin), Service Account Admin (roles/iam.serviceAccountAdmin) sul progetto

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per rispondere a chiavi e token di account di servizio compromessi. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per rispondere a chiavi e token di account di servizio compromessi sono necessarie le seguenti autorizzazioni:

  • Gestisci le chiavi account di servizio:
    • iam.serviceAccountKeys.create sul progetto che contiene il account di servizio
    • iam.serviceAccountKeys.delete sul progetto che contiene il account di servizio
    • iam.serviceAccountKeys.list sul progetto che contiene il account di servizio
  • Disabilita, abilita o elimina i service account:
    • iam.serviceAccounts.disable sul progetto che contiene il account di servizio
    • iam.serviceAccounts.enable sul progetto che contiene il account di servizio
    • iam.serviceAccounts.delete sul progetto che contiene il account di servizio
  • Applica le policy di negazione per bloccare i token attivi: iam.denypolicies.create sull'organizzazione
  • Revoca i ruoli di rappresentazione:
    • resourcemanager.projects.setIamPolicy sul progetto
    • iam.serviceAccounts.setIamPolicy sul progetto che contiene il account di servizio

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Rispondere a token e chiavi del account di servizio compromessi

  1. Per bloccare un token di account di servizio compromesso, completa una delle seguenti operazioni:

    • Disattiva il service account rappresentato dalla credenziale.

    • Applica un'policy di negazione IAM per l'entità account di servizio (principal://iam.googleapis.com/projects/-/serviceAccounts/SA_EMAIL_ADDRESS) nei tuoi progetti o nelle tue cartelle. Il policy di negazione IAM nega l'accesso ad API e autorizzazioni sensibili per token e workload attivi, in modo che tu possa esaminare l'incidente senza eliminare iaccount di serviziont.

    • Elimina il service account.

    Se disattivi o elimini il account di servizio, qualsiasi carico di lavoro che lo utilizza perde immediatamente laccount di servizio#39;accesso alle tue risorse.

  2. Per sostituire una chiave del account di servizio compromessa, completa i seguenti passaggi:

    1. Nella Google Cloud console, vai alla pagina Service account.

      Vai ad Account di servizio

    2. Individua il account di servizio interessato.

    3. Se necessario, crea una nuova chiave per il account di servizio e implementala in tutte le posizioni in cui era in uso la vecchia chiave.

    4. Disattiva la vecchia chiave per verificare che la nuova funzioni come previsto.

    5. Elimina la vecchia chiave.

    Per saperne di più, consulta Creare ed eliminare le account di servizio account.

  3. Se le entità non autorizzate potrebbero avere l'autorizzazione per generare token, revoca il ruolo Service Account Token Creator (roles/iam.serviceAccountTokenCreator). Per istruzioni, vedi Gestisci l'accesso a progetti, cartelle e organizzazioni.

  4. Dopo la risoluzione dell'incidente, attendi almeno 60 minuti dopo aver disattivato l'account di servizio in modo che il token compromesso possa scadere. Se imposti un criterio di durata estesa utilizzando constraints/iam.allowServiceAccountCredentialLifetimeExtension, attendi il tempo specificato nel vincolo prima di riattivare il service account.

  5. Trascorso il tempo di attesa richiesto, riattiva il account di servizio e reimposta la policy di negazione.

Credenziali utente e token OAuth di gcloud CLI

Dopo la compromissione di un endpoint, determina come rispondere alla minaccia principale di un endpoint compromesso e alla minaccia secondaria di token compromessi. Se un malintenzionato ha accesso persistente alla workstation dello sviluppatore, potrebbe copiare di nuovo i token dopo la riautenticazione dell'utente legittimo.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per revocare l'accesso utente e invalidare i token OAuth gcloud CLI nella Console di amministrazione Google Workspace, chiedi all'amministratore di concederti i seguenti ruoli di amministratore di Google Workspace:

Per saperne di più sull'assegnazione dei ruoli amministrativi in Google Workspace, vedi Assegnare ruoli amministrativi nella Console di amministrazione Google.

Invalidare i token gcloud CLI per account utente specifici

Completa i seguenti passaggi per rimuovere l'accesso di un utente alla gcloud CLI e invalidare i token compromessi:

  1. Per rimuovere l'accesso di un utente a Google Cloud CLI, completa una delle seguenti operazioni:

    Quando l'utente accede di nuovo a Google Cloud CLI, gli viene chiesto di autorizzare nuovamente l'applicazione.

  2. Se hai estratto o intercettato una stringa di token compromessa specifica (che si tratti di un token di aggiornamento o di un token di accesso), puoi invalidarla direttamente utilizzando l'endpoint di revoca di Google OAuth 2.0:

    curl -d "token=TOKEN_STRING" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -X POST "https://oauth2.googleapis.com/revoke"

    Quando esegui questo comando per revocare un token di aggiornamento, vengono revocati sia il token di aggiornamento sia tutti i token di accesso associati. Quando esegui questo comando per revocare un token di accesso, invalidi anche il token di aggiornamento associato.

  3. Se non hai ancora applicato il Google Cloud controllo della sessione, attivalo immediatamente con una frequenza di riautenticazione breve. Questo controllo contribuisce a garantire che tutti i token di aggiornamento scadano al termine del periodo che definisci, il che limita la durata durante la quale un malintenzionato può utilizzare i token compromessi.

Invalidare i token gcloud CLI per molti account utente

Se sospetti una violazione, ma non riesci a identificare gli utenti interessati, valuta la possibilità di revocare le sessioni attive per tutti gli utenti della tua organizzazione più rapidamente di quanto consentito dalla policy di riautenticazione.

Questo approccio può essere dannoso per gli utenti legittimi e interrompere i processi a esecuzione prolungata che dipendono dalle credenziali utente. Se scegli di adottare questo approccio, prepara una soluzione basata su script da eseguire in anticipo per il tuo Security Operations Center (SOC) e testala con alcuni utenti.

Il seguente codice campione utilizza l'SDK Admin di Google Workspace per identificare tutte le identità utente nel tuo account Google Workspace o Cloud Identity che hanno accesso alla gcloud CLI. Se un utente ha autorizzato gcloud CLI, lo script revoca il token di aggiornamento e il token di accesso e costringe l'utente a eseguire nuovamente l'autenticazione con la password o il token di sicurezza. Per istruzioni su come attivare l'API SDK Admin ed eseguire questo codice, consulta la guida rapida di Google Apps Script.

/**
 * Remove access to the Google Cloud CLI for all users in an organization
 * @see https://developers.google.com/admin-sdk/directory/reference/rest/v1/tokens
 * @see https://developers.google.com/admin-sdk/directory/reference/rest/v1/users
 * @see https://developers.google.com/apps-script/guides/services/advanced#enabling_advanced_services
 */

function listUsersAndInvalidate() {
  const users = AdminDirectory.Users.list({
    customer: 'my_customer' // alias to represent your account's customerId
    }).users;
  if (!users || users.length === 0) {
    Logger.log('No users found.');
    return;
  }
  for (const user of users){
    let tokens = AdminDirectory.Tokens.list(user.primaryEmail).items
    if (!tokens || tokens.length === 0) {
      continue;
    }
    for (const token of tokens) {
      if (token.clientId === "32555940559.apps.googleusercontent.com") {
        AdminDirectory.Tokens.remove(user.primaryEmail, token.clientId)
        Logger.log('Invalidated the tokens granted to gcloud for user %s', user.primaryEmail)
      }
    }
  }
}

Credenziali predefinite dell'applicazione

Se sospetti che una credenziale predefinita dell'applicazione sia compromessa, puoi revocarla. Questa procedura può causare un'interruzione temporanea fino a quando il file delle credenziali non viene ricreato.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per rimuovere l'accesso alle applicazioni connesse nella Console di amministrazione Google Workspace, chiedi all'amministratore di concederti il ruolo Amministratore della sicurezza o Super amministratore.

I comandi locali eseguiti sulle workstation degli sviluppatori non richiedono ruoli amministrativi. Per saperne di più sull'assegnazione dei ruoli amministrativi in Google Workspace, vedi Assegnare ruoli amministrativi nella Console di amministrazione Google.

Revoca delle Credenziali predefinite dell'applicazione

Completa una delle seguenti operazioni:

  • In qualità di amministratore di Google Workspace, rimuovi l'accesso alla libreria Google Auth dall'elenco delle app connesse dell'utente. Per saperne di più, consulta Visualizzare e rimuovere l'accesso alle applicazioni di terze parti.

  • Chiedi al proprietario della credenziale compromessa di completare le seguenti operazioni:

    1. Installa e inizializza gcloud CLI, se non l'hai ancora fatto.

    2. Revoca le credenziali:

      gcloud auth application-default revoke

    3. Se non riesci a eseguire gcloud CLI, completa i seguenti passaggi:

      1. Revoca l'accesso alla libreria Google Auth utilizzando la pagina myaccount.google.com/permissions o l'endpoint di revoca OAuth 2.0.

      2. Elimina manualmente il file application_default_credentials.json:

        • Linux, macOS: $HOME/.config/gcloud/application_default_credentials.json
        • Windows: %APPDATA%\gcloud\application_default_credentials.json

    4. Ricrea il file delle credenziali con la tua identità utente:

      gcloud auth application-default login

Chiavi API

Completa i seguenti passaggi per rigenerare una chiave API compromessa.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire le chiavi API, chiedi all'amministratore di concederti il ruolo IAM API Keys Admin (roles/serviceusage.apiKeysAdmin) nel progetto. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questo ruolo predefinito contiene le autorizzazioni necessarie per gestire le chiavi API. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per gestire le chiavi API sono necessarie le seguenti autorizzazioni:

  • apikeys.keys.create
  • apikeys.keys.delete
  • apikeys.keys.update
  • apikeys.keys.getKeyString
  • apikeys.keys.list
  • apikeys.keys.get

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Rigenerazione di una chiave API

  1. Nella console Google Cloud , vai alla pagina Credenziali.

    Vai a credenziali

  2. Fai clic sul nome della chiave API che vuoi ruotare.

  3. Fai clic su Ruota la chiave.

  4. Inserisci un nome e conferma le limitazioni.

  5. Fai clic su Crea.

  6. Aggiorna le applicazioni per utilizzare la nuova chiave API.

  7. In Chiave precedente, fai clic su Elimina la chiave precedente.

Per ulteriori informazioni, vedi Ruotare una chiave API.

Secret ID client OAuth 2.0

La modifica di un ID client secret causa un'interruzione temporanea durante la rotazione del secret.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per reimpostare i ID client secret OAuth 2.0, chiedi all'amministratore di concederti il ruolo IAM OAuth Config Editor (roles/oauthconfig.editor) nel progetto. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questo ruolo predefinito contiene le autorizzazioni necessarie per reimpostare i secret dell'ID client OAuth 2.0. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per reimpostare i client secret dell'ID client OAuth 2.0 sono necessarie le seguenti autorizzazioni:

  • clientauthconfig.clients.createSecret
  • clientauthconfig.clients.getWithSecret
  • clientauthconfig.clients.update
  • clientauthconfig.clients.get

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Reimpostare il secret di un ID client OAuth 2.0

  1. Nella console Google Cloud , vai alla pagina Credenziali.

    Vai a credenziali

  2. Seleziona l'ID client OAuth 2.0 compromesso e modificalo.

  3. Fai clic su Reimposta secret.

  4. Esegui il deployment del nuovo secret nell'applicazione.

Per saperne di più, consulta Configurare OAuth 2.0 e Utilizzare OAuth 2.0 per accedere alle API di Google.

Token di accesso federati del servizio token di sicurezza

Quando le sessioni di identità esterne vengono compromesse, devi interrompere i nuovi scambi di token e revocare i token di accesso federato attivi. Questa attività si applica ai token di accesso emessi dalla federazione delle identità per i workload o dalla federazione delle identità della forza lavoro.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire la federazione delle identità per i workload e la federazione delle identità per la forza lavoro per bloccare i token federati, chiedi all'amministratore di concederti i seguenti ruoli IAM:

  • Gestisci i provider e i pool di identità del workload: Amministratore pool di identità del workload (roles/iam.workloadIdentityPoolAdmin) sul progetto che contiene il pool di identità del workload
  • Gestisci i pool e i provider delle identità della forza lavoro: Amministratore del pool di forza lavoro (roles/iam.workforcePoolAdmin) nell'organizzazione che contiene il pool di identità della forza lavoro
  • Applica le policy di negazione per bloccare i token attivi: Nega amministratore (roles/iam.denyAdmin) sull'organizzazione
  • Gestisci la simulazione dell'identità dei account di servizio: Amministratore service account (roles/iam.serviceAccountAdmin) sul progetto che contiene il account di servizio

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire la federazione delle identità per i workload e la federazione delle identità della forza lavoro per bloccare i token federati. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per gestire la federazione delle identità per i workload e la federazione delle identità per la forza lavoro per bloccare i token federati sono necessarie le seguenti autorizzazioni:

  • Gestisci i provider e i pool di identità del workload:
    • iam.workloadIdentityPools.update sul progetto che contiene il pool di identità del workload
    • iam.workloadIdentityPoolProviders.update sul progetto che contiene il pool di identità del workload
  • Gestisci i pool e i provider delle identità della forza lavoro:
    • iam.workforcePools.update nell'organizzazione che contiene il pool di identità della forza lavoro
    • iam.workforcePoolProviders.update nell'organizzazione che contiene il pool di identità della forza lavoro
  • Applica le policy di negazione per bloccare i token attivi:
    • iam.denypolicies.create sull'organizzazione
    • iam.denypolicies.update sul progetto, sulla cartella o sull'organizzazione
  • Gestisci la simulazione dell'identità del account di servizio: iam.serviceAccounts.setIamPolicy nel progetto che contiene il account di servizio

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Bloccare i token di accesso federato

  1. Completa una delle seguenti operazioni:

  2. Per bloccare l'accesso immediato per i token di autenticazione attivi (validi fino a un'ora), completa una delle seguenti operazioni:

    • Per bloccare l'accesso diretto alle risorse, revoca i ruoli IAM per l'entità o il principalSet interessati oppure applica una policy di negazione IAM temporanea.

    • Se l'identità federata simula l'identità di un account di servizio (roles/iam.workloadIdentityUser), completa la sezione Chiavi e token del service account. Per evitare futuri problemi di rappresentazione, rimuovi l'associazione di ruolo di rappresentazione.

  3. Nel tuo provider di identità, ruota le credenziali compromesse, revoca le sessioni attive o elimina l'entità compromessa.

Cookie del browser

Completa i seguenti passaggi per invalidare i cookie del browser per un utente.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per disconnettere un utente e forzare una modifica della password nella Console di amministrazione Google Workspace, chiedi all'amministratore di concederti il ruolo Amministratore gestione utenti o Super amministratore.

Per saperne di più sull'assegnazione dei ruoli amministratore in Google Workspace, vedi Impostare un utente come amministratore.

Invalidare i cookie del browser

Se sospetti che i cookie del browser siano compromessi, completa una delle seguenti operazioni:

Queste azioni invalidano tutti i cookie esistenti e all'utente viene chiesto di accedere di nuovo.

Esaminare l'accesso non autorizzato e le risorse dopo la revoca delle credenziali

Dopo aver revocato le credenziali compromesse e ripristinato il servizio, esamina tutti gli accessi alle tue risorse Google Cloud . Puoi utilizzare Cloud Logging o Security Command Center.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per esaminare l'accesso e le risorse non autorizzati, chiedi all'amministratore di concederti i seguenti ruoli IAM:

  • Visualizza i log di controllo in Logging: Visualizzatore log (roles/logging.viewer) sul progetto, sulla cartella o sull'organizzazione
  • Visualizza gli audit log di accesso ai dati in Logging: Visualizzatore log privati (roles/logging.privateLogViewer) sul progetto, sulla cartella o sull'organizzazione
  • Visualizza i risultati in Security Command Center: Security Center Findings Viewer (roles/securitycenter.findingsViewer) sul progetto o sull'organizzazione

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per esaminare l'accesso e le risorse non autorizzati. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per esaminare l'accesso e le risorse non autorizzati sono necessarie le seguenti autorizzazioni:

  • Visualizza gli audit log in Logging:
    • logging.logEntries.list sul progetto, sulla cartella o sull'organizzazione
    • logging.views.access sul progetto, sulla cartella o sull'organizzazione
  • Visualizza i log di audit di accesso ai dati in Logging: logging.privateLogEntries.list sul progetto, sulla cartella o sull'organizzazione
  • Visualizza i risultati in Security Command Center:
    • securitycenter.findings.list sul progetto o sull'organizzazione
    • securitycenter.findings.get sul progetto o sull'organizzazione

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Indagare su accesso non autorizzato e risorse

In Logging, completa quanto segue:

  1. Esamina i log di controllo nella consoleGoogle Cloud .

    Vai a Esplora log

  2. Cerca tutte le risorse potenzialmente interessate e assicurati che tutte le attività dell'account (in particolare quelle relative alle credenziali compromesse) siano quelle previste.

    Ad esempio, completa i seguenti passaggi:

    • Cerca tutte le chiamate API avviate dall'identità compromessa durante la finestra dell'incidente.
    • Se l'identità aveva privilegi di rappresentazione, cerca le azioni in cui protoPayload.authenticationInfo.serviceAccountDelegationInfo.firstPartyPrincipal.principalEmail corrisponde all'entità compromessa.
    • Controlla se sono state create nuove chiavi del account di servizio, nuovi account utente o nuove chiavi SSH a livello di progetto durante l'incidente.

In Security Command Center, completa quanto segue:

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai a Risultati

  2. Se necessario, seleziona il tuo progetto Google Cloud o la tua organizzazione.

  3. Nella sezione Filtri rapidi, fai clic su un filtro appropriato per visualizzare il risultato che ti serve nella tabella Risultati query sui risultati. Ad esempio, se selezioni Event Threat Detection o Container Threat Detection nella sottosezione Nome visualizzato origine, nei risultati vengono visualizzati solo i risultati del servizio selezionato.

    La tabella viene compilata con i risultati relativi all'origine selezionata.

  4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato in Categoria. Il riquadro dei dettagli del risultato si espande per mostrare un riepilogo dei dettagli del risultato.

  5. Per visualizzare tutti i risultati causati dalle azioni dello stesso utente:

    1. Nel riquadro dei dettagli del risultato, copia l'indirizzo email accanto a Email principale.
    2. Chiudi il riquadro.

    3. Nell'editor di query, inserisci la seguente query:

      access.principal_email="USER_EMAIL"

      Sostituisci USER_EMAIL con l'indirizzo email che hai copiato in precedenza.

      Security Command Center mostra tutti i risultati associati alle azioni intraprese dall'utente specificato.

Elimina tutte le risorse non autorizzate

Assicurati che non siano presenti risorse impreviste, come VM, app App Engine, service account e bucket Cloud Storage, a cui le credenziali compromesse potrebbero accedere.

Dopo aver identificato tutte le risorse non autorizzate, puoi eliminarle immediatamente. L'azione immediata è particolarmente importante per le risorse Compute Engine, perché gli autori degli attacchi possono utilizzare gli account compromessi per esfiltrare dati o compromettere in altro modo i tuoi sistemi di produzione.

Per eliminare le risorse non autorizzate, consulta la seguente documentazione:

In alternativa, puoi provare a isolare le risorse non autorizzate per consentire ai tuoi team di analisi forense di eseguire ulteriori analisi.

Contatta l'assistenza clienti

Per ricevere assistenza nella ricerca dei Google Cloud log e degli strumenti necessari per le fasi di indagine e mitigazione, contatta l'assistenza clienti Cloud e apri una richiesta di assistenza.

Gestire i blocchi dell'account

Se non riesci ad accedere al tuo account, valuta le seguenti opzioni:

  • Utilizza il modulo di recupero dell'account Google Workspace, disponibile negli strumenti amministrativi di Google Workspace. Per saperne di più, consulta Recuperare l'accesso amministrativo al proprio account.

  • Se un malintenzionato sta creando risorse fraudolente mentre tu non hai più accesso e hai diritto all'assistenza, completa i seguenti passaggi:

    1. In una finestra Incognito, vai alla risoluzione dei problemi di contatto con l'assistenza.

    2. Seleziona Sì e fai clic su Invia un ticket.

    3. Compila e invia il modulo con i tuoi dati.

  • Se un malintenzionato sta creando risorse fraudolente mentre tu non hai più accesso e non disponi di un diritto di assistenza, completa le seguenti operazioni:

    1. In una finestra Incognito, vai alla risoluzione dei problemi di contatto con l'assistenza.

    2. Rispondi alle domande nel seguente modo:

      Domanda dello strumento per la risoluzione dei problemi Selezione obbligatoria
      Hai diritto all'assistenza? No
      Stai usufruendo del periodo di prova senza costi? No
      Sei l'amministratore della fatturazione di un account di fatturazione Google Cloud (Google Cloud)? No
      Ti trovi in una di queste situazioni? Non riesco più ad accedere al mio progetto GCP o al mio account di fatturazione e devo recuperare l'accesso.

    3. Fai clic su Invia un ticket al nostro team di recupero dell'accesso.

    4. Compila e invia il modulo di contatto non autenticato con i tuoi dati, inclusi eventuali ID account di fatturazione o indicatori di pagamento che puoi fornire per verificare la tua identità.

Passaggi successivi

Implementa le seguenti best practice per evitare credenziali compromesse: