Security Command Center Cryptomining-Schutzprogramm

Dieses Schutzprogramm basiert auf den Investitionen von Google in die Kryptomining-Erkennungstechnologie im Rahmen des VMTD-Dienstes (Virtual Machine Threat Detection), der nur für die Premium- und Enterprise-Stufen von Security Command Center verfügbar ist. Daher werden in diesem Programm nur Compute Engine-VM-Typen und Computing-Umgebungen behandelt, die von VMTD unterstützt werden.

Die Programmabdeckung umfasst:

• Nicht erkanntes und nicht autorisiertes Cryptomining in Linux-basierten Compute Engine-Instanzen.

Die Programmabdeckung schließt alle anderen Google Cloud-Dienste aus, einschließlich, aber nicht beschränkt auf:

• Windows-VMs
• Confidential Compute-VMs
• Google Kubernetes-Instanzen
• App Engine-Instanzen
• Cloud Run
• Cloud Functions

Kunden von Security Command Center Premium oder Enterprise wird empfohlen, die Nutzung von Google Cloud-Diensten zu überwachen, die nicht von diesem Programm abgedeckt werden, um das Risiko unerkannter Cryptomining-Angriffe zu verringern.

Dieses Programm deckt keine vom Kunden initiierten Kryptomining-Aktivitäten ab. Das Ausführen von Cryptomining-Software in Google Cloud stellt einen Verstoß gegen die Nutzungsbedingungen der Google Cloud Platform dar.

Nachfolgend finden Sie eine Liste mit Best Practices, die Sie sich ansehen und befolgen müssen, um am Programm teilnehmen zu können. Weitere Informationen finden Sie unter Best Practices für die Cryptomining-Erkennung in Security Command Center.

• Aktivieren Sie Security Command Center Premium oder Security Command Center Enterprise für die gesamte Google Cloud-Organisation des Kunden.
• Aktivieren Sie Virtual Machine Threat Detection (VMTD) und Event Threat Detection (ETD) für alle Projekte in der Google Cloud-Organisation des Kunden.
• Cloud DNS-Logging aktivieren
• Bei Security Command Center Premium können Sie die Ergebnisse des Security Command Centers in alle bestehenden Sicherheitsoperationen des Kunden (z. B. Google Sec) integrieren, um auf Sicherheitserkenntnisse zu reagieren, die auf potenzielle oder vorhandene Krypto-Mining-Angriffe hinweisen, und diese zuzuordnen.
• Verwalten Sie die erforderlichen IAM-Rollen- und Berechtigungszuweisungen für Ihre Security Command Center-Nutzer und -Dienstkonten.
• Einen für die Sicherheit wichtigen Kontakt aktualisieren und pflegen

Google Cloud-Sicherheitsexperten haben dieses Validierungsskript veröffentlicht, um Kunden dabei zu helfen, zu prüfen, ob diese Best Practices in ihrer Umgebung implementiert sind. Die Ausgabe ist dann nur für den Kunden sichtbar.

Kunden werden über Cryptomining-Angriffe in ihrer Compute Engine-VM-Umgebung informiert, indem Security Command Center ein oder mehrere Erkennungsergebnisse der Phase 0 oder Phase 1 erzeugt.

Ergebnisse der Erkennungsphase 0 sind wichtige Indikatoren für einen Cryptomining-Angriff und bieten der Steuerungsebene Einblick in einen bevorstehenden oder laufenden Angriff. Ergebnisse der Erkennungsphase 1 sind positive Hinweise auf Kryptomining-Angriffe.

Ergebnisse der Erkennungsphase 0

• Konto hat gehackte Anmeldedaten
• Umgehung von Abwehrmaßnahmen: Zugriff über Anonymisierungsproxy
• Erstzugriff: Aktion für inaktives Dienstkonto

Ergebnisse der Erkennungsphase 1

• Malware: Cryptomining Bad Domain (Event Threat Detection)
• Malware: Cryptomining Bad IP (Event Threat Detection)
• Ausführung: YARA-Regel für Kryptowährungen (VM Threat Detection)
• Ausführung: Cryptocurrency Mining Hash Match (VM Threat Detection)
• Ausführung: Kombinierte Erkennung – YARA-Regel und Hash Match (VM Threat Detection)

Alternativ kann Google den Kunden darüber informieren, dass Google mögliche Kryptomining-Aktivitäten in seiner Umgebung festgestellt hat.

Das Erstellen eines Erkennungsergebnisses von Security Command Center Phase 0 oder 1 oder das anderweitige Senden einer Benachrichtigung an den Kunden entspricht der Benachrichtigungsverantwortung von Google gemäß den Bedingungen dieses Programms. 

Wenn es eine Verzögerung zwischen dem Beginn eines Angriffs und dem Zeitpunkt gibt, an dem das Security Command Center eine Erkennung durchführt, oder ab dem Zeitpunkt, an dem Google anderweitig eine Benachrichtigung an den Kunden sendet, kann der Kunde eine Gutschrift für die überschüssigen Compute Engine-Kosten ab dem Beginn des Angriffs bis zur Benachrichtigung beantragen. Weitere Informationen finden Sie in den Best Practices für die Cryptomining-Erkennung in Security Command Center. 

Um sich für Google Cloud-Guthaben im Rahmen des Programms zu qualifizieren, muss der Kunde auf Anfrage Folgendes tun:

• Nachweise über das Auftreten eines Cryptomining-Angriffs vorlegen, z. B. Ereignisprotokolle und/oder ungewöhnliche Compute Engine-Kosten, und

• nachweisen, dass der Kunde die Best Practices des Security Command Center zur Erkennung von Cryptomining für dieses Programm befolgt hat, wie unter Best Practices des Security Command Center zur Erkennung von Cryptomining beschrieben, und dass er von Google weder eine Feststellung noch einen anderen Hinweis auf den Cryptomining-Angriff erhalten hat.

Nachdem Google bestätigt hat, dass ein Security Command Center Premium- oder -Enterprise-Kunde einen unentdeckten Cryptomining-Angriff in seiner Compute Engine VM-Umgebung erfahren hat, muss der Kunde mit den Google Cloud-Sicherheitsingenieuren zusammenarbeiten, um forensische Artefakte zu identifizieren und auszutauschen, die Google bei der Verbesserung seiner Fähigkeiten zur Erkennung von Bedrohungen unterstützen.

Die angeforderten forensischen Informationen könnten vom Angreifer hochgeladene Bilder, das ausgeführte Cryptomining-Binärprogramm und Cloud-Audit-Logs umfassen, die das Verhalten des Angreifers während des Angriffs beschreiben. Kunden stellen Google diese Informationen auf Anfrage zur Verfügung und haben die Möglichkeit, die angeforderten Informationen zu prüfen und sensible oder geschützte Daten vor der Weitergabe an Google zu entfernen.

i. Allgemeines: Diese Programmbedingungen ergänzen die Nutzungsbedingungen der Google Cloud Platform. Google behält sich das Recht vor, dieses Programm mit einer Frist von 30 Tagen über eine Aktualisierung dieser Webseite jederzeit aus beliebigen Gründen oder ohne Angabe von Gründen zu ändern oder einzustellen. 

Um sich für Google Cloud-Guthaben im Rahmen des Programms zu qualifizieren, muss der Kunde den Antrag auf Google Cloud-Guthaben innerhalb von 30 Tagen nach Beginn des Angriffs stellen.

ii. Google Cloud-Guthaben: Google arbeitet mit dem Kunden zusammen, um die Kosten für die Compute Engine zu ermitteln, die durch den Cryptomining-Angriff entstanden sind, und Google wird in angemessener Weise entscheiden, ob Gutschriften fällig sind und wie hoch diese ausfallen. Der im Rahmen dieses Programms ausgegebene Höchstbetrag für Guthaben überschreitet 1 Million $ in einem Zeitraum von 12 Monaten nicht. In Bezug auf dieses Programm sind keine anderen Rechtsmittel und keine ausdrücklichen, stillschweigenden oder gesetzlichen Gewährleistungen (einschließlich, aber nicht beschränkt auf Gewährleistungen der Gebrauchstauglichkeit und Eignung für einen bestimmten Zweck) verfügbar. Google Cloud-Guthaben ist für den Kunden nur für den Zeitraum verfügbar, der mit dem Beginn des Kryptomining-Angriffs beginnt und endet, wenn Google den Kunden über den Kryptomining-Angriff informiert. Alle Kosten, die nach der Benachrichtigung von Google an den Kunden im Zusammenhang mit dem Cryptomining-Angriff entstehen, sind nicht für Google Cloud-Guthaben im Rahmen des Programms berechtigt. Guthaben, die dem Kunden zur Verfügung gestellt werden, haben keinen Barwert. Alle Guthaben laufen 12 Monate nach Ausstellung bzw. nach Kündigung oder Ablauf der Google Cloud-Vereinbarung des Kunden ab.