什么是 Event Threat Detection?
Event Threat Detection 是 Security Command Center 高级层级的内置服务,可持续监控您的组织或项目,并以近乎实时的方式识别系统内的威胁。Event Threat Detection 会定期更新检测程序,以识别新出现的云规模的威胁。
Event Threat Detection 的工作原理
Event Threat Detection 会监控您的组织或项目的 Cloud Logging 流。如果您在组织级层激活 Security Command Center 高级层级,则 Event Threat Detection 会在项目创建后使用日志,并且 Event Threat Detection 可以监控 Google Workspace 日志。Cloud Logging 包含会创建、读取或修改资源配置或元数据的 API 调用以及其他操作的日志条目。Google Workspace 日志会跟踪您网域中的用户登录情况,并提供在 Google Workspace 管理控制台中执行的操作的记录。
日志条目包含 Event Threat Detection 用于快速检测威胁的状态和事件信息。Event Threat Detection 会应用检测逻辑和专有威胁情报(包括 Tripwire 指示器匹配、时段分析、高级分析、机器学习和异常值检测),以近乎实时的方式识别威胁。
当 Event Threat Detection 检测到威胁时,它会将发现结果写入 Security Command Center。如果您在组织级层激活 Security Command Center 高级层级,Security Command Center 可将发现结果写入 Cloud Logging 项目。 从 Cloud Logging 和 Google Workspace 日志记录中,您可以使用 Pub/Sub 将发现结果导出到其他系统,并使用 Cloud Functions 对其进行处理。
如果您在组织级别激活 Security Command Center 高级层级, 还可以使用 Google Security Operations 来 并研究一些发现结果。Google SecOps 是 Google Cloud, 服务,让您可以调查威胁并通过 一个统一的时间轴有关如何将发现结果发送到 Google SecOps,请参阅在 Google SecOps 中调查发现结果。
您查看和修改发现结果和日志的能力取决于您被授予的 Identity and Access Management (IAM) 角色。如需详细了解 Security Command Center IAM 角色,请参阅访问权限控制。
Event Threat Detection 规则
规则定义了 Event Threat Detection 检测到的威胁类型,以及让检测器工作所必须启用的日志类型。管理员活动审核日志始终会写入;您无法配置或停用它们。
Event Threat Detection 包含以下默认规则:
显示名称 | API 名称 | 日志源类型 | 说明 |
---|---|---|---|
主动扫描:Log4j 易受 RCE 攻击 | 无法提供服务 | Cloud DNS 日志 | 通过识别由受支持 Log4j 漏洞扫描工具启动的经过去混淆处理的网域的 DNS 查询,检测活跃的 Log4j 漏洞。 |
禁止系统恢复:删除了 Google Cloud 备份和灾难恢复主机 | BACKUP_HOSTS_DELETE_HOST |
Cloud Audit Logs: 备份和灾难恢复服务数据访问日志 |
从备份和灾难恢复中删除了一个主机。与已删除的主机关联的应用可能无法受到保护。 |
数据销毁:Google Cloud 备份和灾难恢复会过期的映像 | BACKUP_EXPIRE_IMAGE |
Cloud Audit Logs: 备份和灾难恢复数据访问日志 |
用户请求从备份和灾难恢复中删除备份图片。删除备份不会阻止未来备份。 |
禁止系统恢复:Google Cloud 备份和灾难恢复移除方案 | BACKUP_REMOVE_PLAN |
Cloud Audit Logs: 备份和灾难恢复数据访问日志 |
从备份和灾难恢复中删除了具有多个应用的备份方案。删除备份方案可能会阻止未来备份。 |
数据销毁:Google Cloud 备份和灾难恢复会使所有映像过期 | BACKUP_EXPIRE_IMAGES_ALL |
Cloud Audit Logs: 备份和灾难恢复数据访问日志 |
用户请求从备份和灾难恢复中删除受保护应用的所有备份映像。删除备份不会阻止未来备份。 |
禁止系统恢复:Google Cloud 备份和灾难恢复删除模板 | BACKUP_TEMPLATES_DELETE_TEMPLATE |
Cloud Audit Logs: 备份和灾难恢复数据访问日志 |
用于为多个应用设置备份的预定义备份模板已被删除。未来设置备份的能力可能会受到影响。 |
禁止系统恢复:Google Cloud 备份和灾难恢复删除政策 | BACKUP_TEMPLATES_DELETE_POLICY |
Cloud Audit Logs: 备份和灾难恢复数据访问日志 |
备份和灾难恢复政策定义了备份的存储方式和存储位置。将来使用该政策的备份可能会失败。 |
禁止系统恢复:Google Cloud 备份和灾难恢复删除配置文件 | BACKUP_PROFILES_DELETE_PROFILE |
Cloud Audit Logs: 备份和灾难恢复数据访问日志 |
备份和灾难恢复配置文件(用于定义应该使用哪些存储池来存储备份)已被删除。将来使用该配置文件的备份可能会失败。 |
数据销毁:Google Cloud 备份和灾难恢复会移除设备 | BACKUP_APPLIANCES_REMOVE_APPLIANCE |
Cloud Audit Logs: 备份和灾难恢复数据访问日志 |
从备份和灾难恢复中删除备份设备。与已删除的备份设备关联的应用可能无法保护。 |
禁止系统恢复:Google Cloud 备份和灾难恢复删除存储池 | BACKUP_STORAGE_POOLS_DELETE |
Cloud Audit Logs: 备份和灾难恢复数据访问日志 |
已从备份和灾难恢复中移除存储池,该池将 Cloud Storage 存储桶与备份和灾难恢复相关联。此存储目标的未来备份将失败。 |
影响:Google Cloud 备份和灾难恢复缩短了备份到期时间 | BACKUP_REDUCE_BACKUP_EXPIRATION |
Cloud Audit Logs: 备份和灾难恢复数据访问日志 |
受备份和灾难恢复保护的备份的到期日期已缩短。 |
影响:Google Cloud 备份和灾难恢复降低了备份频率 | BACKUP_REDUCE_BACKUP_FREQUENCY |
Cloud Audit Logs: 备份和灾难恢复数据访问日志 |
已修改备份和灾难恢复备份时间表,以降低备份频率。 |
SSH 暴力破解 | BRUTE_FORCE_SSH |
authlog | 检测主机上的 SSH 暴力破解能力。 |
Cloud IDS:THREAT_IDENTIFIER(预览版) | CLOUD_IDS_THREAT_ACTIVITY |
Cloud IDS 日志 | Cloud IDS 检测到的事件。Cloud IDS 通过分析镜像数据包来检测第 7 层攻击,并在检测到事件时将发现结果发送到 Security Command Center。发现结果类别名称以“Cloud IDS”开头,后跟 Cloud IDS 威胁标识符。如需详细了解 Cloud IDS 检测,请参阅 Cloud IDS Logging 信息。 |
凭据访问:添加到特权群组的外部成员 |
EXTERNAL_MEMBER_ADDED_TO_PRIVILEGED_GROUP |
Google Workspace 日志: 登录审核 权限: DATA_READ
|
检测外部成员添加到特权 Google 群组(授予了敏感角色或权限的群组)的事件。仅当组尚未包含与新成员相同的组织中的其他外部成员时,才会生成发现结果。如需了解详情,请参阅不安全的 Google 群组更改。 发现结果的分类为高或中,具体取决于与组更改相关的角色的敏感性。如需了解详情,请参阅敏感 IAM 角色和权限。 此发现结果不适用于项目级激活。 |
凭据访问:向公众开放的特权群组 |
PRIVILEGED_GROUP_OPENED_TO_PUBLIC |
Google Workspace: 管理员审核 权限: DATA_READ |
检测特权 Google 群组(授予了敏感角色或权限的群组)变为可供公众访问的事件。如需了解详情,请参阅不安全的 Google 群组更改。 发现结果的分类为高或中,具体取决于与组更改相关的角色的敏感性。如需了解详情,请参阅敏感 IAM 角色和权限。 此发现结果不适用于项目级激活。 |
凭据访问:授予混合群组的敏感角色 |
SENSITIVE_ROLE_TO_GROUP_WITH_EXTERNAL_MEMBER
|
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测向具有外部成员的 Google 群组授予敏感角色的事件。如需了解详情,请参阅不安全的 Google 群组更改。 发现结果的分类为高或中,具体取决于与组更改相关的角色的敏感性。如需了解详情,请参阅敏感 IAM 角色和权限。 此发现结果不适用于项目级激活。 |
防护规避:已创建工作负载部署 Breakglass预览版 | BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_CREATE |
Cloud Audit Logs: 管理员活动日志 |
使用 break-glass 标志替换 Binary Authorization 控制措施,以检测所部署的工作负载的部署情况。 |
防护规避:Breakglass 工作负载部署已更新预览版 | BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_UPDATE |
Cloud Audit Logs: 管理员活动日志 |
使用 Breakglass 标志替换 Binary Authorization 控制措施,以检测工作负载何时更新。 |
防护规避:修改 VPC Service Controls | DEFENSE_EVASION_MODIFY_VPC_SERVICE_CONTROL |
Cloud Audit Logs VPC Service Controls 审核日志 | 检测对现有 VPC Service Controls 边界的更改,这些更改会导致该边界提供的保护减少。 此发现结果不适用于项目级激活。 |
发现:可以获取敏感的 Kubernetes 对象检查 | GKE_CONTROL_PLANE_CAN_GET_SENSITIVE_OBJECT |
Cloud Audit Logs: GKE 数据访问日志 |
潜在恶意操作者尝试使用
|
发现:服务账号自行调查 | SERVICE_ACCOUNT_SELF_INVESTIGATION |
Cloud Audit Logs: IAM 数据访问审核日志 权限: DATA_READ
|
检测用于调查与同一服务账号关联的角色和权限的 IAM 服务账号凭据。 敏感角色 发现结果的严重程度分为高或中,具体取决于授予的角色的敏感度。如需了解详情,请参阅敏感 IAM 角色和权限。 |
规避:通过匿名代理访问 | ANOMALOUS_ACCESS |
Cloud Audit Logs: 管理员活动日志 |
检测源自匿名代理 IP 地址(例如 Tor IP 地址)的 Google Cloud 服务修改。 |
数据渗漏:BigQuery 数据渗漏 | DATA_EXFILTRATION_BIG_QUERY |
Cloud Audit Logs:BigQueryAuditMetadata 数据访问日志 权限: DATA_READ |
检测以下场景:
|
渗漏:BigQuery 数据提取 | DATA_EXFILTRATION_BIG_QUERY_EXTRACTION |
Cloud Audit Logs:BigQueryAuditMetadata 数据访问日志 权限: DATA_READ |
检测以下场景:
对于 Security Command Center 高级层级的项目级激活,此发现结果仅在父级组织中启用了标准层级时才可用。 |
渗漏:BigQuery 数据进入 Google 云端硬盘 | DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE |
Cloud Audit Logs:BigQueryAuditMetadata 数据访问日志 权限: DATA_READ |
检测以下情况:
|
渗漏:Cloud SQL 数据渗漏 |
CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS |
Cloud Audit Logs:
MySQL 数据访问日志 PostgreSQL 数据访问日志 SQL Server 数据访问日志 |
检测以下场景:
对于 Security Command Center 高级层级的项目级激活,此发现结果仅在父级组织中启用了标准层级时才可用。 |
渗漏:Cloud SQL 将备份恢复到外部组织 | CLOUDSQL_EXFIL_RESTORE_BACKUP_TO_EXTERNAL_INSTANCE |
Cloud Audit Logs:
MySQL 管理员活动日志 PostgreSQL 管理员活动日志 SQL Server 管理员活动日志 |
检测 Cloud SQL 实例备份恢复到组织外部的实例的事件。 |
渗漏:Cloud SQL 过度授予特权 | CLOUDSQL_EXFIL_USER_GRANTED_ALL_PERMISSIONS |
Cloud Audit Logs:
PostgreSQL 数据访问日志 注意:您必须启用 pgAudit 扩展程序才能使用此规则。 |
检测 Cloud SQL for PostgreSQL 用户或角色被授予对数据库或架构中所有表、过程或函数的所有权限。 |
初始访问:数据库超级用户写入用户表 | CLOUDSQL_SUPERUSER_WRITES_TO_USER_TABLES |
Cloud Audit Logs:Cloud SQL for PostgreSQL 数据访问日志 Cloud SQL for MySQL 数据访问日志 注意:您必须为 PostgreSQL 启用 pgAudit 扩展程序或为 MySQL 启用数据库审核才能使用此规则。 |
检测 Cloud SQL 超级用户(对 PostgreSQL 服务器来说是 |
提升权限:AlloyDB 过度特权授权 | ALLOYDB_USER_GRANTED_ALL_PERMISSIONS |
Cloud Audit Logs:
<ph type="x-smartling-placeholder"></ph>
AlloyDB for PostgreSQL 数据访问日志 注意:您必须启用 pgAudit 扩展程序才能使用此规则。 |
检测 AlloyDB for PostgreSQL 用户或角色已被授予数据库的所有权限的事件,或者 架构中的所有表、过程或函数。 |
提升权限:AlloyDB 数据库超级用户写入用户表 | ALLOYDB_SUPERUSER_WRITES_TO_USER_TABLES |
Cloud Audit Logs:
<ph type="x-smartling-placeholder"></ph>
AlloyDB for PostgreSQL 数据访问日志 注意:您必须启用 pgAudit 扩展程序才能使用此规则。 |
检测 AlloyDB for PostgreSQL 超级用户 ( |
初始访问:休眠服务账号操作 | DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION |
Cloud Audit Logs: 管理员活动日志 |
检测处于休眠状态用户管理的服务账号触发了操作的事件。在此上下文中,如果服务账号处于非活跃状态超过 180 天,则会被视为休眠。 |
提升权限:休眠服务账号被授予敏感角色 | DORMANT_SERVICE_ACCOUNT_ADDED_IN_IAM_ROLE |
Cloud Audit Logs:IAM 管理员活动审核日志 |
检测用户管理的休眠服务账号被授予一个或多个敏感 IAM 角色的事件。 在此上下文中,如果服务账号处于非活跃状态超过 180 天,则会被视为休眠。 敏感角色 发现结果的严重程度分为高或中,具体取决于授予的角色的敏感度。如需了解详情,请参阅敏感 IAM 角色和权限。 |
持久性:已授予休眠服务账号的模拟角色 | DORMANT_SERVICE_ACCOUNT_IMPERSONATION_ROLE_GRANTED |
Cloud Audit Logs:IAM 管理员活动审核日志 |
检测主账号被授予模拟用户管理的休眠服务账号的权限的事件。在此上下文中,如果服务账号处于非活跃状态超过 180 天,则会被视为休眠。 |
初始访问:已创建休眠服务账号密钥 | DORMANT_SERVICE_ACCOUNT_KEY_CREATED |
Cloud Audit Logs: 管理员活动日志 |
检测为用户管理的休眠服务账号创建密钥的事件。在此上下文中,如果服务账号处于非活跃状态超过 180 天,则会被视为休眠。 |
初始访问权限:使用的服务账号密钥已泄露 | LEAKED_SA_KEY_USED |
Cloud Audit Logs:管理员活动日志 数据访问日志 |
检测使用泄露的服务账号密钥对操作进行身份验证的事件。在此情况下,泄露的服务账号密钥是发布到公共互联网上的密钥。 |
初始访问:过多的权限遭拒操作 | EXCESSIVE_FAILED_ATTEMPT |
Cloud Audit Logs: 管理员活动日志 |
检测到主账号尝试在多个方法和服务中进行更改时反复触发权限遭拒错误的事件。 |
防御受影响:强身份验证被停用 |
ENFORCE_STRONG_AUTHENTICATION |
Google Workspace: 管理员审核 |
您的组织已停用两步验证。 此发现结果不适用于项目级激活。 |
防御受影响:两步验证被停用 |
2SV_DISABLE |
Google Workspace 日志: 登录审核 权限: DATA_READ
|
用户停用了两步验证。 此发现结果不适用于项目级激活。 |
初始访问权限:账号因遭到盗用而被停用 |
ACCOUNT_DISABLED_HIJACKED |
Google Workspace 日志: 登录审核 权限: DATA_READ
|
用户的账号因可疑活动而被暂停。 此发现结果不适用于项目级激活。 |
初始访问权限:因密码泄露而被停用 |
ACCOUNT_DISABLED_PASSWORD_LEAK |
Google Workspace 日志: 登录审核 权限: DATA_READ
|
由于检测到密码泄露,用户的账号已被停用。 此发现结果不适用于项目级激活。 |
初始访问权限:政府支持的攻击 |
GOV_ATTACK_WARNING |
Google Workspace 日志: 登录审核 权限: DATA_READ
|
政府支持的攻击者可能尝试破解了用户账号或计算机。 此发现结果不适用于项目级激活。 |
初始访问权限:Log4j 入侵尝试 | 无法提供服务 | Cloud Load Balancing 日志: Cloud HTTP 负载均衡器 注意:您必须启用外部应用负载均衡器日志记录才能使用此规则。 |
检测标头或网址参数中的 Java 命名和目录接口 (JNDI) 查找。这些查找可能表示有些攻击在尝试利用 Log4Shell 漏洞。这些发现结果的严重程度较低,因为它们仅表示检测或漏洞利用尝试,而非漏洞或危害。 此规则始终处于启用状态。 |
初始访问权限:可疑登录被阻止 |
SUSPICIOUS_LOGIN |
Google Workspace 日志: 登录审核 权限: DATA_READ
|
检测到并阻止了用户账号的可疑登录。 此发现结果不适用于项目级激活。 |
Log4j 恶意软件:网域错误 | LOG4J_BAD_DOMAIN |
Cloud DNS 日志 | 根据与 Log4j 攻击中使用的已知网域的连接或查询来检测 Log4j 漏洞流量。 |
Log4j 恶意软件:IP 错误 | LOG4J_BAD_IP |
VPC 流日志 防火墙规则日志 Cloud NAT 日志 |
根据与 Log4j 攻击中使用的已知 IP 地址的连接来检测 Log4j 漏洞流量。 |
恶意软件错误网域 | MALWARE_BAD_DOMAIN |
Cloud DNS 日志 | 根据与已知恶意网域的连接或查询内容的恶意软件检测恶意软件。 |
恶意软件错误 IP | MALWARE_BAD_IP |
VPC 流日志 防火墙规则日志 Cloud NAT 日志 |
根据与已知不良 IP 地址的连接检测恶意软件。 |
恶意软件:挖矿网域错误 | CRYPTOMINING_POOL_DOMAIN |
Cloud DNS 日志 | 根据与已知挖矿网域的连接或查询挖掘加密内容。 |
恶意软件:挖矿 IP 错误 | CRYPTOMINING_POOL_IP |
VPC 流日志 防火墙规则日志 Cloud NAT 日志 |
根据与已知挖矿 IP 地址的连接检测加密。 |
传出 DoS | OUTGOING_DOS |
VPC 流日志 | 检测拒绝服务攻击流量传出事件。 |
持久性:GCE 管理员添加了 SSH 密钥 | GCE_ADMIN_ADD_SSH_KEY |
Cloud Audit Logs: Compute Engine 审核日志 |
检测对已建立的实例(超过 1 周)上的 Compute Engine 实例元数据 SSH 密钥值的修改。 |
持久性:GCE 管理员添加了启动脚本 | GCE_ADMIN_ADD_STARTUP_SCRIPT |
Cloud Audit Logs: Compute Engine 审核日志 |
检测对已建立的实例(早于 1 周)上的 Compute Engine 实例元数据启动脚本值的修改。 |
持久性:IAM 异常授权 | IAM_ANOMALOUS_GRANT |
Cloud Audit Logs: IAM 管理员活动审核日志 |
此发现结果包含子规则,用于提供有关此发现结果每个实例的更具体的信息。 以下列表显示了所有可能的子规则:
|
预览版持久化:非受管账号授予敏感角色 |
UNMANAGED_ACCOUNT_ADDED_IN_IAM_ROLE |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测向以下用户授予的敏感角色: 非受管账号。 |
持久性:新的 API 方法 |
ANOMALOUS_BEHAVIOR_NEW_API_METHOD |
Cloud Audit Logs: 管理员活动日志 |
检测 IAM 服务账号对 Google Cloud 服务的异常使用。 |
持久性:新地理位置 |
IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION |
Cloud Audit Logs: 管理员活动日志 |
根据发出请求的 IP 地址的地理位置,检测到 IAM 用户和服务账号从异常位置访问 Google Cloud。 此发现结果不适用于项目级激活。 |
持久性:新用户代理 | IAM_ANOMALOUS_BEHAVIOR_USER_AGENT |
Cloud Audit Logs: 管理员活动日志 |
检测到 IAM 服务账号从异常或可疑用户代理访问 Google Cloud。 此发现结果不适用于项目级激活。 |
持久性:单点登录启用切换 |
TOGGLE_SSO_ENABLED |
Google Workspace: 管理员审核 |
管理员账号的“启用单点登录 (SSO)”设置已停用。 此发现结果不适用于项目级激活。 |
持久性:单点登录设置发生了更改 |
CHANGE_SSO_SETTINGS |
Google Workspace: 管理员审核 |
管理员账号的 SSO 设置已更改。 此发现结果不适用于项目级激活。 |
提升权限:针对管理员活动的服务账号异常模拟 | ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY |
Cloud Audit Logs: 管理员活动日志 |
检测潜在的异常模拟服务账号何时用于管理活动。 |
提升权限:针对管理员活动的异常多步服务账号委托 | ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY |
Cloud Audit Logs: 管理员活动日志 |
检测何时发现针对管理活动的异常多步委托请求。 |
提升权限:针对数据访问的异常多步服务账号委托 | ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS |
Cloud Audit Logs: 数据访问日志 |
检测何时发现针对数据访问活动的异常多步委托请求。 |
提升权限:针对管理员活动的异常服务账号模拟者 | ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY |
Cloud Audit Logs: 管理员活动日志 |
检测委托链中潜在的异常调用者/模拟者何时用于管理活动。 |
提升权限:针对数据访问的异常服务账号模拟者 | ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS |
Cloud Audit Logs: 数据访问日志 |
检测委托链中潜在的异常调用者/模拟者何时用于数据访问活动。 |
提升权限:对敏感 Kubernetes RBAC 对象的更改 | GKE_CONTROL_PLANE_EDIT_SENSITIVE_RBAC_OBJECT |
Cloud Audit Logs: GKE 管理员活动日志 |
为了提升特权,潜在恶意操作者尝试使用 PUT 或 PATCH 请求修改敏感 cluster-admin 角色的 ClusterRole 、RoleBinding 或 ClusterRoleBinding 基于角色的访问权限控制 (RBAC) 对象。 |
提升权限:为主证书创建 Kubernetes CSR | GKE_CONTROL_PLANE_CSR_FOR_MASTER_CERT |
Cloud Audit Logs: GKE 管理员活动日志 |
潜在恶意操作者创建了 Kubernetes 主实例证书签名请求 (CSR),用于向其授予 cluster-admin 访问权限。 |
提升权限:创建敏感的 Kubernetes 绑定 | GKE_CONTROL_PLANE_CREATE_SENSITIVE_BINDING |
Cloud Audit Logs: IAM 管理员活动审核日志 |
为了提升特权,潜在恶意操作者尝试为 cluster-admin 角色创建新的 RoleBinding 或 ClusterRoleBinding 对象。 |
提升权限:使用被破解的引导凭据获取 Kubernetes CSR | GKE_CONTROL_PLANE_GET_CSR_WITH_COMPROMISED_BOOTSTRAP_CREDENTIALS |
Cloud Audit Logs: GKE 数据访问日志 |
潜在恶意操作者使用 kubectl 命令和被破解的引导凭据查询了证书签名请求 (CSR)。 |
提升权限:启动特权 Kubernetes 容器 | GKE_CONTROL_PLANE_LAUNCH_PRIVILEGED_CONTAINER |
Cloud Audit Logs: GKE 管理员活动日志 |
潜在恶意操作者创建了包含特权容器或具有提升特权功能的容器的 Pod。 特权容器的 |
持久性:已创建服务账号密钥 | SERVICE_ACCOUNT_KEY_CREATION |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测到服务账号密钥的创建操作。服务账号密钥是长期有效的凭据,会增加未经授权访问 Google Cloud 资源的风险。 |
提升权限:已添加全局关闭脚本 | GLOBAL_SHUTDOWN_SCRIPT_ADDED |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测何时将全局关停脚本添加到项目。 |
持久性:已添加全局启动脚本 | GLOBAL_STARTUP_SCRIPT_ADDED |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测何时向项目添加了全局启动脚本。 |
防护规避:已添加组织级 Service Account Token Creator 角色 | ORG_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测何时在组织级别授予 Service Account Token Creator IAM 角色。 |
防护规避:已添加项目级 Service Account Token Creator 角色 | PROJECT_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测何时在项目级授予 Service Account Token Creator IAM 角色。 |
横向移动:通过服务账号执行操作系统补丁 | OS_PATCH_EXECUTION_FROM_SERVICE_ACCOUNT |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测服务账号何时使用 Compute Engine 补丁功能更新当前正在运行的任何 Compute Engine 实例的操作系统。 |
横向移动:修改后的启动磁盘挂接到实例预览版 | MODIFY_BOOT_DISK_ATTACH_TO_INSTANCE |
Cloud Audit Logs: Compute Engine 审核日志 |
检测到启动磁盘从一个 Compute Engine 实例分离并挂接到另一个 Compute Engine 实例时,这可能表明有人企图使用经过修改的启动磁盘来入侵系统。 |
凭据访问:在 Kubernetes 命名空间中访问 Secret | SECRETS_ACCESSED_IN_KUBERNETES_NAMESPACE |
Cloud Audit Logs: GKE 数据访问日志 |
检测当前 Kubernetes 命名空间中的服务账号何时访问 Secret 或服务账号令牌。 |
资源开发:攻击性安全发行版活动 | OFFENSIVE_SECURITY_DISTRO_ACTIVITY |
Cloud Audit Logs: IAM 管理员活动审核日志 |
从已知的渗透测试或攻击性安全发行版中检测成功的 Google Cloud 资源操纵。 |
提升权限:新服务账号为 Owner 或 Editor | SERVICE_ACCOUNT_EDITOR_OWNER |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测何时使用项目的 Editor 或 Owner 角色创建了新的服务账号。 |
发现:使用信息收集工具 | INFORMATION_GATHERING_TOOL_USED |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测用户是否使用了 ScoutSuite(一种已知的威胁行为者使用的云安全审核工具)。 |
提升权限:可疑的令牌生成 | SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测何时滥用 iam.serviceAccounts.implicitDelegation 权限,以便从权限更高的服务账号生成访问令牌。 |
提升权限:可疑的令牌生成 | SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测服务账号何时使用 serviceAccounts.signJwt 方法为另一服务账号生成访问令牌。 |
提升权限:可疑的令牌生成 | SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测 iam.serviceAccounts.getOpenIdToken IAM 权限的跨项目使用情况。
此发现结果不适用于项目级激活。 |
提升权限:可疑的令牌生成 | SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测 iam.serviceAccounts.getAccessToken IAM 权限的跨项目使用情况。
此发现结果不适用于项目级激活。 |
提升权限:可疑的跨项目权限使用行为 | SUSPICIOUS_CROSS_PROJECT_PERMISSION_DATAFUSION |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测 datafusion.instances.create IAM 权限的跨项目使用情况。
此发现结果不适用于项目级激活。 |
命令与控制:DNS 隧道 | DNS_TUNNELING_IODINE_HANDSHAKE |
Cloud DNS 日志 | 检测 DNS 隧道工具 Iodine 的握手。 |
防护规避:尝试 VPC 路由伪装 | VPC_ROUTE_MASQUERADE |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测到伪装为 Google Cloud 默认路由的 VPC 路由的手动创建,从而允许流向外部 IP 地址的出站流量。 |
影响:已停用结算功能 | BILLING_DISABLED_SINGLE_PROJECT |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测何时为项目停用结算功能。 |
影响:已停用结算功能 | BILLING_DISABLED_MULTIPLE_PROJECTS |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测何时为组织中的多个项目在短时间内停用了结算功能。 |
影响:VPC 防火墙高优先级阻止 | VPC_FIREWALL_HIGH_PRIORITY_BLOCK |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测何时将阻止所有流量的 VPC 防火墙规则的优先级设为 0。 |
影响:VPC 防火墙大规模规则删除 | VPC_FIREWALL_MASS_RULE_DELETION |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测非服务账号大量删除 VPC 防火墙规则。 |
影响:已停用服务 API | SERVICE_API_DISABLED |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测 Google Cloud 服务 API 何时在生产环境中停用。 |
影响:代管式实例组自动扩缩已设为最大 | MIG_AUTOSCALING_SET_TO_MAX |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测何时配置了代管式实例组以实现最大自动扩缩。 |
发现:未经授权的服务账号 API 调用 | UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL |
Cloud Audit Logs: IAM 管理员活动审核日志 |
检测服务账号何时进行未经授权的跨项目 API 调用。 |
防护规避:匿名会话授予集群管理员访问权限 | ANONYMOUS_SESSIONS_GRANTED_CLUSTER_ADMIN |
Cloud Audit Logs: GKE 管理员活动日志 |
检测是否创建基于角色的访问权限控制 (RBAC) ClusterRoleBinding 对象,并将 root-cluster-admin-binding 行为添加到匿名用户。
|
初始访问:从互联网匿名创建 GKE 资源预览版 | GKE_RESOURCE_CREATED_ANONYMOUSLY_FROM_INTERNET |
Cloud Audit Logs: GKE 管理员活动日志 |
检测来自有效匿名互联网用户的资源创建事件。 |
初始访问:从互联网匿名修改 GKE 资源预览版 | GKE_RESOURCE_MODIFIED_ANONYMOUSLY_FROM_INTERNET |
Cloud Audit Logs: GKE 管理员活动日志 |
检测来自有效匿名互联网用户的资源操纵事件。 |
Event Threat Detection 的自定义模块
除了内置检测规则之外,Event Threat Detection 还提供模块模板,可用于创建自定义检测规则。如需了解详情,请参阅 Event Threat Detection 的自定义模块概览。
如需创建没有可用自定义模块模板的检测规则,您可以将日志数据导出到 BigQuery,然后运行唯一或重复的 SQL 查询来捕获威胁模型。
不安全的 Google 群组更改
本部分介绍 Event Threat Detection 如何使用 Google Workspace 日志、Cloud Audit Logs 和 IAM 政策来检测不安全的 Google 群组更改。仅当您在组织级层激活 Security Command Center 时,才支持检测 Google 群组更改。
Google Cloud 客户可以使用 Google 群组管理其组织成员的角色和权限,或对一系列用户应用访问权限政策。管理员可以直接向成员授予角色和权限,然后将成员添加到特定群组,而不是直接向成员授予角色。群组成员会继承群组的所有角色和权限,使成员可以访问特定资源和服务。
虽然 Google 群组是大规模管理访问权限控制的便捷方式,但如果组织或网域外部的外部用户被添加到特权群组(即群组)中,则可能会带来风险授予敏感角色或权限。敏感角色用于控制对安全和网络设置、日志以及个人身份信息 (PII) 的访问权限,不建议外部群组成员使用。
在大型组织中,管理员可能不知道外部成员添加到特权群组的时间。Cloud Audit Logs 会记录向群组授予的角色,但这些日志事件不包含群组成员的相关信息,这可能会掩盖部分群组更改的潜在影响。
如果您与 Google Cloud 共享 Google Workspace 日志,则 Event Threat Detection 会监控您的日志记录流,以查找添加到组织 Google 群组的新成员。由于日志处于组织级层,因此只有当您在组织级层激活 Security Command Center 时,Event Threat Detection 才能扫描 Google Workspace 日志。如果您在项目级层激活 Security Command Center,Event Threat Detection 则无法扫描这些日志。
Event Threat Detection 可识别外部群组成员,并通过 Cloud Audit Logs 审核每个受影响群组的 IAM 角色,检查这些群组是否被授予了敏感角色。这些信息用于检测特权 Google 群组的以下不安全更改:
- 已加入特权群组的外部群组成员
- 授予群组外部成员的敏感角色或权限
- 更改为允许公众加入的特权群组
Event Threat Detection 会将发现结果写入 Security Command Center。发现结果包含新添加的外部成员的电子邮件地址、内部群组(用于启动事件、群组名称)以及与群组关联的敏感角色。您可以使用这些信息从群组中移除外部成员或撤消授予群组的敏感角色。
如需详细了解 Event Threat Detection 的发现结果,请参阅 Event Threat Detection 规则。
敏感 IAM 角色和权限
本部分介绍 Event Threat Detection 如何定义敏感 IAM 角色。 IAM 异常授权和不安全的 Google 群组更改等检测会生成 调查结果。角色的敏感度会影响分配给发现结果的严重级别。
- 高敏感度角色控制组织中的关键服务,包括结算、防火墙设置和日志记录。与这些角色匹配的发现结果会被归类为高严重程度。
- 中敏感角色具有修改权限,可让主账号更改 Google Cloud 资源;以及查看通常对敏感数据拥有的数据存储服务的权限并执行这些权限。分配给发现结果的严重级别取决于资源:
- 如果在组织级层授予了中敏感度角色,则发现结果将归类为高严重性。
- 如果在资源层次结构中的较低级层授予了中敏感角色(文件夹、项目和存储桶等),则发现结果将归类为中严重性。
如果被授予者是外部成员或异常身份(例如长时间处于非活跃状态的主账号),则授予这些敏感角色可能会有危险。向外部成员授予敏感角色会构成潜在的威胁,因为它们可能会被滥用,从而导致账号泄露和数据渗漏。
查找使用这些敏感角色的类别包括:
- 持久性:IAM 异常授权
- 子规则:
external_service_account_added_to_policy
- 子规则:
external_member_added_to_policy
- 子规则:
- 凭据访问:授予混合群组的敏感角色
- 提升权限:休眠服务账号被授予敏感角色
查找使用部分敏感角色的类别包括:
- 持久性:IAM 异常授权
- 子规则:
service_account_granted_sensitive_role_to_member
- 子规则:
service_account_granted_sensitive_role_to_member
子规则同时定位
因此通常只使用一部分成员,
敏感角色,如 Event Threat Detection 规则中所述。
类别 | 角色 | 说明 |
---|---|---|
基本角色:具有针对所有 Google Cloud 服务的数千项权限。 | roles/owner |
基本角色 |
roles/editor |
||
安全角色:控制对安全设置的访问权限 | roles/cloudkms.* |
所有 Cloud Key Management Service 角色 |
roles/cloudsecurityscanner.* |
所有 Web Security Scanner 角色 | |
roles/dlp.* |
所有敏感数据保护角色 | |
roles/iam.* |
所有 IAM 角色 | |
roles/secretmanager.* |
所有 Secret Manager 角色 | |
roles/securitycenter.* |
所有 Security Command Center 角色 | |
Logging 角色:控制对组织日志的访问权限 | roles/errorreporting.* |
所有 Error Reporting 角色 |
roles/logging.* |
所有 Cloud Logging 角色 | |
roles/stackdriver.* |
所有 Cloud Monitoring 角色 | |
个人信息角色:控制对个人身份信息(包括银行和联系信息)资源的访问权限 | roles/billing.* |
所有 Cloud Billing 角色 |
roles/healthcare.* |
所有 Cloud Healthcare API 角色 | |
roles/essentialcontacts.* |
所有重要联系人角色 | |
网络角色:控制对组织网络设置的访问权限 | roles/dns.* |
所有 Cloud DNS 角色 |
roles/domains.* |
所有 Cloud Domains 角色 | |
roles/networkconnectivity.* |
所有 Network Connectivity Center 角色 | |
roles/networkmanagement.* |
所有 Network Connectivity Center 角色 | |
roles/privateca.* |
所有 Certificate Authority Service 角色 | |
服务角色:控制对 Google Cloud 中服务资源的访问权限 | roles/cloudasset.* |
所有 Cloud Asset Inventory 角色 |
roles/servicedirectory.* |
所有 Service Directory 角色 | |
roles/servicemanagement.* |
所有 Service Management 角色 | |
roles/servicenetworking.* |
所有 Service Networking 角色 | |
roles/serviceusage.* |
所有 Service Usage 角色 | |
Compute Engine 角色:控制对 Compute Engine 虚拟机的访问,这些虚拟机承担长时间运行的作业并与防火墙规则相关联。 |
|
所有 Compute EngineAdmin 和 Editor 角色 |
类别 | 角色 | 说明 |
---|---|---|
修改角色:包含以下角色的 IAM 角色: 更改 Google Cloud 资源的权限 |
示例:
|
角色名称通常以标题为 Admin、Owner、Editor 或 Writer 结尾。 展开表最后一行中的节点,以查看所有中敏感度角色 |
数据存储角色 : 拥有查看和执行数据存储服务的权限 |
示例:
|
展开表最后一行中的节点,以查看所有中敏感度角色 |
所有中等敏感度角色
Access Approval
Access Context Manager
操作 AI Platform API Gateway App Engine AutoML BigQuery
Binary Authorization
Bigtable
Cloud Build
Cloud Deployment Manager
Cloud Endpoints
Cloud Functions
Cloud IoT
Cloud Life Sciences
Cloud Monitoring
Cloud Run
Cloud Scheduler
Cloud Source Repositories
Spanner
Cloud Storage
Cloud SQL
Cloud Tasks
Cloud TPU
Cloud Trace
Compute Engine
Artifact Analysis
Data Catalog
Dataflow
Dataproc
Dataproc Metastore
Datastore
Eventarc
Filestore
Firebase
Game Servers
Google Cloud VMware Engine
Google Kubernetes Engine
Google Kubernetes Engine Hub
Google Workspace
Identity-Aware Proxy
Managed Service for Microsoft Active Directory
Memorystore for Redis
On-Demand Scanning API
Ops Config Monitoring
组织政策服务
其他角色
Proximity Beacon
Pub/Sub
Pub/Sub Lite
reCAPTCHA
建议
Recommender
Resource Manager
Resource Settings
无服务器 VPC 访问通道
Service Consumer Management
Storage Transfer Service
Vertex AI
Vertex AI Workbench 用户管理的笔记本
Workflows |
日志类型和激活要求
本部分列出 Event Threat Detection 使用的日志、Event Threat Detection 在每个日志中查找的威胁,以及要启用每个日志所需执行的操作(如有需要)。
只有在以下情况下,您才需要为事件威胁检测开启日志: 同时符合以下所有条件:
- 您正在使用可写入日志的产品或服务。
- 您需要保护产品或服务免受 Event Threat Detection 在日志中检测到。
- 该日志是数据访问审核日志或其他默认处于关闭状态的日志。
有一些威胁可能会在多个日志中检测到。如果 Event Threat Detection 可以在已启用的日志中检测到某一威胁,则没有必要为了检测同一威胁而启用其他日志。
如果日志未在本部分中列出,则 Event Threat Detection 不会扫描该日志,即使该日志已启用也是如此。如需了解详情,请参阅潜在的冗余日志扫描。
如下表所述,某些日志类型仅在组织级层提供。如果您在项目级层激活 Security Command Center,则 Event Threat Detection 不会扫描这些日志,也不会生成任何发现结果。
潜在的冗余日志扫描
Event Threat Detection 可以通过扫描以下任一日志来对恶意软件进行网络检测:
- Cloud DNS 日志记录
- Cloud NAT 日志记录
- 防火墙规则日志记录
- VPC 流日志
如果您已在使用 Cloud DNS 日志记录,事件威胁检测可以 使用域解析检测恶意软件。 对于大多数用户而言,Cloud DNS 日志足以帮助其对恶意软件进行网络检测。
如果除了网域解析以外,您还需要了解其他更深层次的信息,则可以启用 VPC 流日志,但该日志可能会产生费用。为了对这些费用进行合理管理,我们建议将汇总间隔增加到 15 分钟,并将采样率降低到 5% 到 10% 之间,但您需要在召回率(较高采样率)和费用管理(较低采样率)之间有一定的权衡。
如果您已在使用防火墙规则日志记录或 Cloud NAT 日志记录,则可以使用这些日志来替代 VPC 流日志。
您只需在 Cloud NAT 日志记录、防火墙规则日志记录和 VPC 流日志中启用一项即可。
需要启用的日志
本部分列出了您可以启用或配置的 Cloud Logging 和 Google Workspace 日志,以增加 Event Threat Detection 可以检测的威胁数量。
某些威胁(例如由服务账号的异常模拟或委托构成的威胁)可以在大多数审核日志中找到。对于这些类型的威胁,您需要确定需要 根据您所使用的产品和服务启用自动采纳建议功能。
下表显示了您需要针对威胁启用的特定日志 只能在某些特定日志类型中检测到。
日志类型 | 检测到的威胁 | 需要配置 |
---|---|---|
Cloud DNS 日志记录 |
Log4j Malware: Bad Domain Malware: bad domain Malware: Cryptomining Bad Domain |
启用 Cloud DNS 日志记录 |
Cloud NAT 日志记录 |
Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP |
启用 Cloud NAT 日志记录 |
防火墙规则日志记录 |
Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP |
启用 防火墙规则日志记录。 |
Google Kubernetes Engine (GKE) 数据访问审核日志 |
Discovery: Can get sensitive Kubernetes object check Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials |
为 GKE 激活 Logging 数据访问审核日志 |
Google Workspace 管理员审核日志 |
Credential Access: Privileged Group Opened To Public Impair Defenses: Strong Authentication Disabled Impair Defenses: Two Step Verification Disabled Persistence: SSO Enablement Toggle Persistence: SSO Settings Changed |
分享 Google Workspace 管理员审核日志 Cloud Logging 无法在项目级激活时扫描此日志类型。 |
Google Workspace 登录审核日志 |
Credential Access: External Member Added To Privileged Group Impair Defenses: Two Step Verification Disabled Initial Access: Account Disabled Hijacked Initial Access: Disabled Password Leak Initial Access: Government Based Attack Initial Access: Suspicious Login Blocked |
分享 Google Workspace 登录审核日志 Cloud Logging 无法在项目级激活时扫描此日志类型。 |
外部应用负载均衡器后端服务日志 |
Initial Access: Log4j Compromise Attempt |
启用 外部应用负载平衡器日志记录 |
Cloud SQL MySQL 数据访问审核日志 | Exfiltration: Cloud SQL Data Exfiltration |
启用 Cloud SQL 的日志记录数据访问审核日志 (针对 MySQL) |
Cloud SQL PostgreSQL 数据访问审核日志 |
Exfiltration: Cloud SQL Data Exfiltration Exfiltration: Cloud SQL Over-Privileged Grant |
|
AlloyDB for PostgreSQL 数据访问审核日志 |
Privilege Escalation: AlloyDB Database Superuser Writes to User Tables Privilege Escalation: AlloyDB Over-Privileged Grant |
|
IAM 数据访问审核日志 |
Discovery: Service Account Self-Investigation |
启用 Resource Manager 的日志记录数据访问审核日志 |
SQL Server 数据访问审核日志 | Exfiltration: Cloud SQL Data Exfiltration |
启用 Cloud SQL 的日志记录数据访问审核日志 (使用 SQL Server) |
通用数据访问审核日志 |
Initial Access: Leaked Service Account Key Used Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Privilege Escalation: Anomalous Service Account Impersonator for Data Access |
启用 记录数据访问审核日志。 |
虚拟机上的 authlogs/authlog | Brute force SSH |
在虚拟机主机上安装 Ops Agent 或旧版 Logging 代理 |
VPC 流日志 |
Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP Outgoing DoS |
启用 VPC 流日志。 |
备份和灾难恢复审核日志记录 |
Data destruction: Google Cloud Backup and DR expire all images Inhibit system recovery: Google Cloud Backup and DR delete policy Inhibit system recovery: Google Cloud Backup and DR delete template Inhibit system recovery: Google Cloud Backup and DR delete profile Inhibit system recovery: Google Cloud Backup and DR delete storage pool Inhibit system recovery: deleted Google Cloud Backup and DR host Data destruction: Google Cloud Backup and DR expire image Data destruction: Google Cloud Backup and DR remove appliance Inhibit system recovery: Google Cloud Backup and DR remove plan Impact: Google Cloud Backup and DR reduce backup expiration Impact: Google Cloud Backup and DR reduce backup frequency |
启用备份和灾难恢复审核日志记录 |
始终启用的日志
下表列出了无需您开启或配置的 Cloud Logging 日志。这些日志始终处于启用状态,并且 Event Threat Detection 会自动扫描这些日志。
日志类型 | 检测到的威胁 | 需要配置 |
---|---|---|
BigQueryAuditMetadata 数据访问日志 |
渗漏:BigQuery 数据渗漏 渗漏:BigQuery 数据提取 渗漏:BigQuery 数据进入 Google 云端硬盘 |
无 |
Google Kubernetes Engine (GKE) 管理员活动审核日志 |
提升权限:更改敏感的 Kubernetes RBAC 对象 提升权限:创建敏感的 Kubernetes 绑定 提升权限:启动特权 Kubernetes 容器 提升权限:为主证书创建 Kubernetes CSR |
无 |
IAM 管理员活动审核日志 |
凭据访问权限:授予混合群组的敏感角色 提升权限:休眠服务账号被授予敏感角色 持久性:为休眠服务账号授予模拟角色 持久性:IAM 异常授权 预览版永久化:非受管账号授予敏感角色 |
无 |
MySQL 管理员活动日志 | 渗漏:Cloud SQL 将备份恢复到外部组织 | 无 |
PostgreSQL 管理员活动日志 | 渗漏:Cloud SQL 将备份恢复到外部组织 | 无 |
SQL Server 管理员活动日志 | 渗漏:Cloud SQL 将备份恢复到外部组织 | 无 |
常规管理员活动审核日志 |
初始访问:休眠服务账号操作 > 初始访问:已创建休眠服务账号密钥 初始访问:权限遭拒操作过多 初始访问:使用了泄露的服务账号密钥 持久性:Compute Engine 管理员添加了 SSH 密钥 持久性:Compute Engine 管理员添加了启动脚本 持久性:新的 API 方法 持久性:新的地理位置 持久性:新用户代理 提升权限:针对管理员活动的服务账号异常模拟 提升权限:针对管理员活动的异常多步服务账号委托 提升权限:针对管理员活动的异常服务账号模拟者 横向移动:将修改后的启动磁盘挂接到实例预览版 |
无 |
VPC Service Controls 审核日志 | 防护规避:修改 VPC Service Control 预览版 | 无 |
后续步骤
了解如何调查和制定威胁响应方案。