Programa de proteção contra mineração de criptomoedas do Security Command Center

Esse programa de proteção é baseado no investimento do Google em tecnologia de detecção de criptomineração como parte do serviço de Detecção de ameaças a máquinas virtuais (VMTD, na sigla em inglês), que está disponível apenas com os níveis Premium e Enterprise do Security Command Center. Por isso, o programa aborda apenas os tipos de VM do Compute Engine e os ambientes de computação compatíveis com o VMTD.

A cobertura do programa inclui:

• Mineração de criptomoedas não detectada e não autorizada ocorrendo em instâncias do Compute Engine baseadas em Linux. 

A cobertura do programa exclui todos os outros serviços do Google Cloud, incluindo, sem limitação:

• VM do Windows
• VMs de computação confidencial
• Instâncias do Google Kubernetes
• Instâncias do App Engine
• Cloud Run
• Cloud Functions

Recomendamos que os clientes do Security Command Center Premium ou Enterprise monitorem o uso dos serviços do Google Cloud não cobertos por este programa para reduzir o risco de ataques de mineração de criptomoedas não detectados.

Este programa não abrange atividades de mineração de criptomoedas iniciadas pelo cliente. Executar software de mineração de criptomoedas no Google Cloud é uma violação dos Termos de Serviço do Google Cloud Platform.

Veja abaixo uma lista de práticas recomendadas que você precisa analisar e seguir para se qualificar para o programa. Para mais informações, consulte as Práticas recomendadas de detecção de mineração de criptomoedas do Security Command Center.

• Ativar o Security Command Center Premium ou o Security Command Center Enterprise em toda a organização do Google Cloud do cliente
• Ativar a Detecção de ameaças a máquinas virtuais (VMTD) e o Event Threat Detection (ETD) para todos os projetos na organização do Google Cloud do cliente
• Ativar a geração de registros do Cloud DNS
• Para o Security Command Center Premium, integre as descobertas do Security Command Center a qualquer ferramenta de operações de segurança do cliente (por exemplo, o Google Sec) para responder e fazer a triagem das descobertas de segurança que indicam o potencial ou a presença de ataques de mineração de criptomoedas.
• Manter as atribuições de permissões e papéis do IAM necessárias para usuários e contas de serviço do Security Command Center
• Atualizar e manter um contato essencial de segurança

Para ajudar os clientes a verificar se essas práticas recomendadas foram implementadas no ambiente deles, os especialistas em segurança do Google Cloud publicaram este script de validação com resultados visíveis apenas para os clientes.

Os clientes serão notificados sobre ataques de criptomineração no ambiente de VM do Compute Engine pelo Security Command Center que produzem uma ou mais descobertas de detecção nos Estágios 0 ou 1.

Os resultados da detecção no estágio 0 são indicadores principais de um ataque de criptomineração e fornecem visibilidade do plano de controle sobre um ataque iminente ou em andamento. Os resultados da detecção no estágio 1 são indicações positivas de ataques de criptomineração.

Descobertas da detecção no estágio 0

• A conta vazou credenciais
• Evasão de defesa: acesso a partir de proxy de anonimização
• Acesso inicial: ação de uma conta de serviço inativa

Descobertas da detecção do estágio 1

• Malware: domínio inválido de mineração de criptomoedas (Event Threat Detection)
• Malware: mineração de IP inválido (Event Threat Detection)
• Execução: regra YARA de criptomoedas (detecção de ameaças à VM)
• Execução: correspondência de hash de mineração de criptomoedas (detecção de ameaças da VM)
• Execução: detecção combinada - regra YARA e correspondência de hash (detecção de ameaças à VM)

Como alternativa, o Google pode notificar o cliente sobre a detecção de possível atividade de criptomineração no ambiente dele.

Produzir uma descoberta de detecção do Security Command Center no Estágio 0 ou no Estágio 1 ou, de outra forma, enviar uma notificação ao cliente, cumpre a responsabilidade de notificação do Google de acordo com os termos deste programa. 

Se houver um atraso a partir do momento em que um ataque começa até que o Security Command Center produz uma descoberta de detecção ou a partir do momento em que o Google envia uma notificação ao cliente, o cliente pode solicitar créditos pelos custos excedentes do Compute Engine desde o início do ataque até notificação. Para mais informações, consulte as Práticas recomendadas de detecção de mineração de criptomoedas do Security Command Center. 

Para se qualificar para receber os créditos do Google Cloud no programa, o cliente deve:

• enviar evidências que demonstrem a ocorrência de um ataque de criptomineração, como logs de eventos e/ou custos anômalos do Compute Engine; e

• declarar e fornecer evidências que demonstrem de forma razoável que o cliente estava seguindo as práticas recomendadas de detecção de mineração de criptomoedas do Security Command Center para este programa, conforme descrito em Práticas recomendadas de detecção de mineração de criptomoedas do Security Command Center, e não recebeu uma descoberta ou outro aviso do Google em relação ao para um ataque de mineração de criptomoedas.

Depois que o Google confirmar que um cliente do Security Command Center Premium ou Enterprise sofreu um ataque de mineração de criptomoedas não detectado no ambiente de VM do Compute Engine, o cliente precisará trabalhar de maneira colaborativa com os engenheiros de segurança do Google Cloud para identificar e compartilhar artefatos forenses para ajudar o Google a melhorar a detecção de ameaças.

As informações forenses solicitadas poderiam incluir imagens enviadas pelo invasor, o binário de criptomineração executado e ogs de auditoria do Cloud descrevendo o comportamento do adversário durante o ataque. Os clientes vão apresentar essas informações ao Google mediante solicitação e terão a oportunidade de analisar as informações solicitadas e remover dados confidenciais ou reservados antes de compartilhar com o Google.

i. Geral: estes termos do programa complementam os Termos de Serviço do Google Cloud Platform. O Google se reserva o direito de alterar ou descontinuar este programa por qualquer motivo ou sem motivo com um aviso prévio de 30 dias após a atualização desta página da Web. 

Para se qualificar para os créditos do Google Cloud no programa, o cliente precisa registrar a solicitação desses créditos no prazo de 30 dias a partir do início do ataque. 

ii. Créditos do Google Cloud: o Google trabalhará com o cliente para determinar o Compute Engine custos incorridos devido ao ataque de mineração de criptomoedas, e o Google determinará razoavelmente se os créditos são devidos e o valor adequado. O valor máximo de créditos emitidos neste programa não será superior a US$1 milhão em qualquer período de 12 meses. Nenhuma outra medida judicial ou garantias expressas, implícitas ou legais estão disponíveis (incluindo, sem limitação, garantias de comercialidade e adequação para uma finalidade específica) em relação a este programa. Os créditos do Google Cloud só vão estar disponíveis para o cliente no período entre o início do ataque de criptomineração e o término quando o Google enviar um aviso ao cliente. Quaisquer custos associados ao ataque de criptomineração após a notificação do Google ao cliente não se qualificam para os créditos do Google Cloud no programa. Os créditos fornecidos ao cliente não têm valor monetário. Todos os créditos expiram 12 meses após a emissão ou após a rescisão ou expiração do contrato do Google Cloud do cliente.