Security Command Center Cryptomining-Schutzprogramm

Dieses Schutzprogramm basiert auf den Investitionen von Google in Cryptomining-Erkennungstechnologie im Rahmen des VMTD-Dienstes (Virtual Machine Threat Detection) von Security Command Center Premium. Daher werden in diesem Programm nur Compute Engine-VM-Typen und Computing-Umgebungen behandelt, die von VMTD unterstützt werden.

Die Programmabdeckung umfasst:

• Nicht erkanntes und nicht autorisiertes Cryptomining in Linux-basierten Compute Engine-Instanzen.

Die Programmabdeckung schließt alle anderen Google Cloud-Dienste aus, einschließlich, aber nicht beschränkt auf:

• Windows-VMs
• Confidential Compute-VMs
• Google Kubernetes-Instanzen
• App Engine-Instanzen
• Cloud Run
• Cloud Functions

Kunden von Security Command Center Premium wird empfohlen, die Nutzung von Google Cloud-Diensten zu überwachen, die nicht von diesem Programm abgedeckt werden, um das Risiko unerkannter Cryptomining-Angriffe zu verringern.

Dieses Programm deckt keine vom Kunden initiierten Kryptomining-Aktivitäten ab. Das Ausführen von Cryptomining-Software in Google Cloud stellt einen Verstoß gegen die Nutzungsbedingungen der Google Cloud Platform dar.

Nachfolgend finden Sie eine Liste mit Best Practices, die Sie sich ansehen und befolgen müssen, um am Programm teilnehmen zu können. Weitere Informationen finden Sie unter Best Practices für die Cryptomining-Erkennung in Security Command Center.

• Aktivieren Sie Security Command Center Premium für die gesamte Google Cloud-Organisation des Kunden.
• Aktivieren Sie Virtual Machine Threat Detection (VMTD) und Event Threat Detection (ETD) für alle Projekte in der Google Cloud-Organisation des Kunden.
• Cloud DNS-Logging aktivieren
• Integrieren Sie die Ergebnisse des Security Command Centers in alle bestehenden Sicherheitstools des Kunden (z. B. Chronicle SIEM und Chronicle SOAR), um auf Sicherheitserkenntnisse zu reagieren, die auf potenzielle oder vorhandene Cryptomining-Angriffe hinweisen.
• Verwalten Sie die erforderlichen IAM-Rollen- und Berechtigungszuweisungen für Ihre Security Command Center-Nutzer und -Dienstkonten.
• Einen für die Sicherheit wichtigen Kontakt aktualisieren und pflegen

Google Cloud-Sicherheitsexperten haben dieses Validierungsskript veröffentlicht, um Kunden dabei zu helfen, zu prüfen, ob diese Best Practices in ihrer Umgebung implementiert sind. Die Ausgabe ist dann nur für den Kunden sichtbar.

Kunden werden von Security Command Center über Cryptomining-Angriffe in ihrer Compute Engine-VM-Umgebung informiert, die ein oder mehrere Erkennungsergebnisse der Phase 0 oder 1 hervorrufen.

Die Erkennungsergebnisse der Phase 0 sind Hauptindikatoren für einen Cryptomining-Angriff und geben der Steuerungsebene Einblick in einen bevorstehenden oder laufenden Angriff. Die Ergebnisse der Erkennung in Phase 1 sind positive Indikatoren für Kryptomining-Angriffe.

Phase 0: Ergebnisse der Erkennung

• Anmeldedaten des Kontos wurden gestohlen
• Umgehung von Abwehrmaßnahmen: Zugriff durch Anonymisierungsproxy
• Anfänglicher Zugriff: Aktion über inaktives Dienstkonto

Phase 1: Ergebnisse der Erkennung

• Malware: Cryptomining Bad Domain (Event Threat Detection)
• Malware: Cryptomining Bad IP (Event Threat Detection)
• Ausführung: YARA-Regel für Kryptowährungen (VM Threat Detection)
• Ausführung: Hash-Übereinstimmung für Kryptomining (VM Threat Detection)
• Ausführung: Kombinierte Erkennung – YARA-Regel und Hash-Übereinstimmung (VM-Bedrohungserkennung)

Alternativ kann Google den Kunden darüber informieren, dass Google mögliche Kryptomining-Aktivitäten in seiner Umgebung festgestellt hat.

Wenn Google ein Erkennungsergebnis von Security Command Center für Phase 0 oder Phase 1 liefert oder dem Kunden auf andere Weise eine Benachrichtigung sendet, erfüllt Google gemäß den Bedingungen dieses Programms die Verantwortung für Benachrichtigungen.

Wenn es eine Verzögerung zwischen dem Beginn eines Angriffs und dem Zeitpunkt gibt, an dem das Security Command Center eine Erkennung durchführt, oder ab dem Zeitpunkt, an dem Google anderweitig eine Benachrichtigung an den Kunden sendet, kann der Kunde eine Gutschrift für die überschüssigen Compute Engine-Kosten ab dem Beginn des Angriffs bis zur Benachrichtigung beantragen. Weitere Informationen finden Sie unter Best Practices für die Cryptomining-Erkennung in Security Command Center.

Um sich für Google Cloud-Guthaben im Rahmen des Programms zu qualifizieren, muss der Kunde auf Anfrage Folgendes tun:

• Nachweise über das Auftreten eines Cryptomining-Angriffs vorlegen, z. B. Ereignislogs und/oder ungewöhnliche Compute Engine-Kosten, und
• nachweisen, dass der Kunde die Best Practices des Security Command Center zur Erkennung von Cryptomining für dieses Programm befolgt hat, wie unter Best Practices des Security Command Center zur Erkennung von Cryptomining beschrieben, und dass er von Google weder eine Feststellung noch einen anderen Hinweis auf den Cryptomining-Angriff erhalten hat.

Nachdem Google bestätigt hat, dass ein Security Command Center Premium-Kunde einen unentdeckten Cryptomining-Angriff in seiner Compute Engine VM-Umgebung erfahren hat, muss der Kunde mit den Google Cloud-Sicherheitsingenieuren zusammenarbeiten, um forensische Artefakte zu identifizieren und auszutauschen, die Google bei der Verbesserung seiner Fähigkeiten zur Erkennung von Bedrohungen unterstützen.

Die angeforderten forensischen Informationen könnten vom Angreifer hochgeladene Bilder, das ausgeführte Cryptomining-Binärprogramm und Cloud-Audit-Logs umfassen, die das Verhalten des Angreifers während des Angriffs beschreiben. Kunden stellen Google diese Informationen auf Anfrage zur Verfügung und haben die Möglichkeit, die angeforderten Informationen zu prüfen und sensible oder geschützte Daten vor der Weitergabe an Google zu entfernen.

i. Allgemeines: Diese Programmbedingungen ergänzen die Nutzungsbedingungen der Google Cloud Platform.Google behält sich das Recht vor, das Programm ohne Angabe von Gründen zu ändern oder einzustellen, und zwar nach vorheriger Ankündigung (mindestens 30 Tage) durch Aktualisierung dieser Webseite.

Um sich für Google Cloud-Guthaben im Rahmen des Programms zu qualifizieren, muss der Kunde den Antrag auf Google Cloud-Guthaben innerhalb von 30 Tagen nach Beginn des Angriffs stellen.

ii. Google Cloud-Guthaben: Google arbeitet mit dem Kunden zusammen, um die Kosten für die Compute Engine zu ermitteln, die durch den Cryptomining-Angriff entstanden sind, und Google wird in angemessener Weise entscheiden, ob Gutschriften fällig sind und wie hoch diese ausfallen. Der im Rahmen dieses Programms ausgegebene Höchstbetrag für Guthaben überschreitet 1 Million $ in einem Zeitraum von 12 Monaten nicht. In Bezug auf dieses Programm sind keine anderen Rechtsmittel und keine ausdrücklichen, stillschweigenden oder gesetzlichen Gewährleistungen (einschließlich, aber nicht beschränkt auf Gewährleistungen der Gebrauchstauglichkeit und Eignung für einen bestimmten Zweck) verfügbar. Google Cloud-Guthaben steht dem Kunden nur für den Zeitraum vom Beginn des Kryptomining-Angriffs bis zu dem Zeitpunkt zur Verfügung, zu dem Google den Kunden über den Kryptomining-Angriff informiert. Für Kosten, die nach der Benachrichtigung von Google an den Kunden mit dem Kryptomining-Angriff verbunden sind, besteht kein Anspruch auf Google Cloud-Guthaben im Rahmen des Programms. Gutschriften, die dem Kunden zur Verfügung gestellt werden, haben keinen Barwert. Alle Guthaben verfallen 12 Monate nach Ausstellung oder nach Kündigung oder Ablauf der Google Cloud-Vereinbarung des Kunden.