Qu'est-ce qu'Event Threat Detection ?
Event Threat Detection est un service intégré au niveau Premium de Security Command Center surveille en permanence votre organisation ou vos projets et identifie les menaces au sein de vos systèmes en temps quasi réel. Event Threat Detection est régulièrement mis à jour avec de nouveaux détecteurs afin d'identifier les nouvelles menaces à l'échelle du cloud.
Fonctionnement d'Event Threat Detection
Event Threat Detection surveille le flux Cloud Logging pour votre organisation ou vos projets. Si vous activez Au niveau Premium de Security Command Center au niveau de l'organisation, Event Threat Detection utilise les journaux de vos projets à mesure qu'ils sont créés, et Event Threat Detection peut surveiller les journaux Google Workspace ; Cloud Logging contient des entrées de journal d'appels d'API et d'autres actions qui créent, lisent ou modifient la configuration ou les métadonnées de vos ressources. Les journaux Google Workspace effectuent le suivi des connexions des utilisateurs à votre domaine et fournissent un enregistrement des actions effectuées dans la console d'administration Google Workspace.
Les entrées de journal contiennent des informations sur l'état et l'événement que Event Threat Detection utilise pour détecter rapidement les menaces. Event Threat Detection applique la logique de détection et les renseignements propriétaires sur les menaces, y compris la mise en correspondance des indicateurs de tripwire, le profilage de fenêtres, le profilage avancé, le machine learning et la détection d'anomalies, afin d'identifier les menaces en quasi-temps réel.
Lorsqu'Event Threat Detection détecte une menace, il écrit un résultat dans Security Command Center. Si vous activez le niveau Premium de Security Command Center au niveau de l'organisation, Security Command Center peut écrire les résultats dans un projet Cloud Logging. À partir de Cloud Logging et de Google Workspace Logging, vous pouvez exporter les résultats vers avec Pub/Sub et les traiter avec Cloud Functions.
Si vous activez le niveau Premium de Security Command Center au niveau de l'organisation, vous peut également utiliser Google Security Operations pour examiner certaines conclusions. Google SecOps est une solution Google Cloud d'analyse des menaces et d'analyse d'entités associées une chronologie unifiée. Pour obtenir des instructions sur l'envoi des résultats à Pour Google SecOps, consultez la page Examiner les résultats dans Google SecOps.
Votre capacité à afficher et à modifier les résultats et les journaux est déterminée par les rôles IAM (Identity and Access Management) qui vous sont attribués. Pour en savoir plus sur les rôles IAM de Security Command Center, consultez la page Contrôle des accès.
Règles d'Event Threat Detection
Les règles définissent le type de menaces détectées par Event Threat Detection et les types de journaux qui doivent être activés pour que les détecteurs fonctionnent. Les journaux d'audit des activités d'administration sont toujours écrits. Vous ne pouvez pas les configurer ni les désactiver.
Event Threat Detection inclut les règles par défaut suivantes :
.Nom à afficher | Nom de l'API | Types de sources de journal | Description |
---|---|---|---|
Analyse active : Log4j vulnérable à RCE | Indisponible | Journaux Cloud DNS | Détecte les failles Log4j actives en identifiant les requêtes DNS pour les domaines non obscurcis lancés par les outils d'analyse des failles Log4j compatibles. |
Blocage de la récupération système: suppression de l'hôte de sauvegarde et de reprise après sinistre Google Cloud | BACKUP_HOSTS_DELETE_HOST |
Cloud Audit Logs: Journaux des accès aux données du service de sauvegarde et de reprise après sinistre |
Un hôte a été supprimé de la sauvegarde et de la reprise après sinistre. Les applications associées à l'hôte supprimé peuvent ne pas être protégées. |
Destruction des données: image d'expiration des sauvegardes Google Cloud et de la reprise après sinistre | BACKUP_EXPIRE_IMAGE |
Cloud Audit Logs: Journaux des accès aux données de sauvegarde et de reprise après sinistre |
Un utilisateur a demandé la suppression d'une image de back-up de la sauvegarde et de la reprise après sinistre. La suppression d'une image de back-up n'empêche pas les sauvegardes futures. |
Empêchez la récupération du système: plan de suppression de la sauvegarde et de la reprise après sinistre Google Cloud | BACKUP_REMOVE_PLAN |
Cloud Audit Logs: Journaux des accès aux données de sauvegarde et de reprise après sinistre |
Un plan de sauvegarde comportant plusieurs règles pour une application a été supprimé de la section "Sauvegarde et reprise après sinistre". La suppression d'un plan de sauvegarde peut empêcher les futures sauvegardes. |
Destruction des données: la sauvegarde et la reprise après sinistre Google Cloud font expirer toutes les images | BACKUP_EXPIRE_IMAGES_ALL |
Cloud Audit Logs: Journaux des accès aux données de sauvegarde et de reprise après sinistre |
Un utilisateur a demandé la suppression de toutes les images de sauvegarde d'une application protégée contre la sauvegarde et la reprise après sinistre. La suppression d'images de sauvegarde n'empêche pas les sauvegardes futures. |
Empêcher la récupération du système: modèle de suppression de sauvegarde et de reprise après sinistre Google Cloud | BACKUP_TEMPLATES_DELETE_TEMPLATE |
Cloud Audit Logs: Journaux des accès aux données de sauvegarde et de reprise après sinistre |
Un modèle de sauvegarde prédéfini, utilisé afin de configurer les sauvegardes pour plusieurs applications, a été supprimé. La possibilité de configurer des sauvegardes à l'avenir pourrait être affectée. |
Empêcher la récupération du système: règle de suppression des sauvegardes Google Cloud et de la reprise après sinistre | BACKUP_TEMPLATES_DELETE_POLICY |
Cloud Audit Logs: Journaux des accès aux données de sauvegarde et de reprise après sinistre |
Une stratégie de sauvegarde et de reprise après sinistre, qui définit la manière dont une sauvegarde est effectuée et où elle est stockée, a été supprimée. Les futures sauvegardes utilisant cette règle risquent d'échouer. |
Empêcher la récupération du système: supprimer le profil de sauvegarde et de reprise après sinistre Google Cloud | BACKUP_PROFILES_DELETE_PROFILE |
Cloud Audit Logs: Journaux des accès aux données de sauvegarde et de reprise après sinistre |
Un profil de sauvegarde et de reprise après sinistre, qui définit les pools de stockage à utiliser pour stocker les sauvegardes, a été supprimé. Les futures sauvegardes qui utilisent ce profil risquent d'échouer. |
Destruction des données: suppression de l'appareil de sauvegarde et de reprise après sinistre Google Cloud | BACKUP_APPLIANCES_REMOVE_APPLIANCE |
Cloud Audit Logs: Journaux des accès aux données de sauvegarde et de reprise après sinistre |
Un dispositif de sauvegarde a été supprimé de la section "Sauvegarde et reprise après sinistre". Les applications associées au système de sauvegarde supprimé peuvent ne pas être protégées. |
Empêcher la récupération du système: supprimer le pool de stockage des sauvegardes Google Cloud et de la reprise après sinistre | BACKUP_STORAGE_POOLS_DELETE |
Cloud Audit Logs: Journaux des accès aux données de sauvegarde et de reprise après sinistre |
Un pool de stockage, qui associe un bucket Cloud Storage à la sauvegarde et à la reprise après sinistre, a été supprimé de la sauvegarde et de la reprise après sinistre. Les futures sauvegardes sur cette cible de stockage échoueront. |
Impact: Réduction du délai d'expiration des sauvegardes pour les sauvegardes Google Cloud et la reprise après sinistre | BACKUP_REDUCE_BACKUP_EXPIRATION |
Cloud Audit Logs: Journaux des accès aux données de sauvegarde et de reprise après sinistre |
La date d'expiration d'une sauvegarde protégée par la sauvegarde et la reprise après sinistre a été réduite. |
Par conséquent: les sauvegardes Google Cloud et la reprise après sinistre réduisent la fréquence des sauvegardes | BACKUP_REDUCE_BACKUP_FREQUENCY |
Cloud Audit Logs: Journaux des accès aux données de sauvegarde et de reprise après sinistre |
Le calendrier de sauvegarde et de reprise après sinistre a été modifié pour réduire la fréquence des sauvegardes. |
Attaques par force brute SSH | BRUTE_FORCE_SSH |
<ph type="x-smartling-placeholder"></ph> journal d'autorisation | Détection d'une attaque par force brute SSH réussie sur un hôte |
Cloud IDS: THREAT_IDENTIFIER Preview | CLOUD_IDS_THREAT_ACTIVITY |
Journaux Cloud IDS | Les événements détectés par
Cloud IDS :
Cloud IDS détecte les attaques de couche 7 en analysant les paquets mis en miroir
et, lorsqu'un événement est détecté, envoie un résultat à Security Command Center. Résultat
les noms de catégorie commencent par "Cloud IDS" suivi de Cloud IDS
l'identifiant de la menace. Pour en savoir plus sur les détections Cloud IDS, consultez
Informations sur Cloud IDS Logging
|
Accès aux identifiants : membre externe ajouté au groupe privilégié |
EXTERNAL_MEMBER_ADDED_TO_PRIVILEGED_GROUP |
Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ
|
Détecte les événements où un membre externe est ajouté à un groupe Google privilégié (groupe disposant de rôles ou d'autorisations sensibles). Un résultat n'est généré que si le groupe ne contient pas déjà d'autres membres externes de la même organisation que le nouveau membre. Pour en savoir plus, consultez la section Modifications non sécurisées apportées aux groupes Google. Les résultats sont classés par niveau de gravité Élevé ou Moyen, en fonction de la sensibilité des rôles associés à la modification du groupe. Pour en savoir plus, consultez la section Rôles IAM et autorisations sensibles. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Accès aux identifiants : groupe privilégié ouvert au public |
PRIVILEGED_GROUP_OPENED_TO_PUBLIC |
Google Workspace : Audit d'administration Autorisations : DATA_READ
|
Détecte les événements où un groupe Google privilégié (un groupe doté de droits d'accès les rôles ou les autorisations) est modifié pour être accessible au grand public. Pour en savoir plus, consultez la section Modifications non sécurisées apportées aux groupes Google. Les résultats sont classés par niveau de gravité Élevé ou Moyen, en fonction de la sensibilité des rôles associés à la modification du groupe. Pour en savoir plus, consultez la section Rôles IAM et autorisations sensibles. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Accès aux identifiants : rôle sensible attribué au groupe hybride |
SENSITIVE_ROLE_TO_GROUP_WITH_EXTERNAL_MEMBER
|
Cloud Audit Logs: Journaux d'audit pour les activités d'administration IAM |
Détecte les événements où des rôles sensibles sont attribués à un groupe Google avec des autorisations membres. Pour en savoir plus, consultez la section Modifications non sécurisées apportées aux groupes Google. Les résultats sont classés par niveau de gravité Élevé ou Moyen, en fonction de la sensibilité des rôles associés à la modification du groupe. Pour en savoir plus, consultez la section Rôles IAM et autorisations sensibles. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Defense Evasion: Déploiement de charges de travail en mode "bris de glace" crééBêta | BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_CREATE |
Journaux d'audit Cloud : Journaux des activités d'administration |
Détecte le déploiement de charges de travail utilisant l'option "break-glass" afin d'ignorer les contrôles de l'autorisation binaire. |
Defense Evasion: Déploiement de charges de travail en mode "bris de glace" crééBêta | BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_UPDATE |
Journaux d'audit Cloud : Journaux des activités d'administration |
Détecte les mises à jour de charge de travail utilisant l'option "break-glass" afin d'ignorer les contrôles de l'autorisation binaire. |
Defense Evasion : Modifier VPC Service Controls | DEFENSE_EVASION_MODIFY_VPC_SERVICE_CONTROL |
Cloud Audit Logs VPC Service Controls journaux d'audit | Détecte une modification apportée à un périmètre VPC Service Controls existant qui entraînerait une réduction de la protection proposée par ce périmètre. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Découverte : vérification des objets Kubernetes sensibles | GKE_CONTROL_PLANE_CAN_GET_SENSITIVE_OBJECT |
Cloud Audit Logs : Journaux d'accès aux données GKE |
Une personne potentiellement malveillante a tenté d'identifier les objets sensibles dans GKE sur lesquels il peut effectuer des requêtes, à l'aide de la commande
|
Découverte : Auto-enquête sur le compte de service | SERVICE_ACCOUNT_SELF_INVESTIGATION |
Cloud Audit Logs: Journaux d'audit des accès aux données IAM Autorisations: DATA_READ
|
Détection des identifiants de compte de service IAM permettant d'examiner les rôles et les autorisations associés à ce même compte de service. Rôles sensibles Les résultats sont classés par niveau de gravité Élevé ou Moyen, en fonction de la sensibilité des rôles attribués. Pour en savoir plus, consultez la section Rôles IAM et autorisations sensibles. |
Evasion: accès à partir d'un proxy d'anonymisation | ANOMALOUS_ACCESS |
Journaux d'audit Cloud : Journaux des activités d'administration |
Détection des modifications de service Google Cloud provenant d'adresses IP de proxy anonymes, telles que les adresses IP Tor. |
Exfiltration : exfiltration de données BigQuery | DATA_EXFILTRATION_BIG_QUERY |
Cloud Audit Logs : Journaux d'accès aux données BigQueryAuditMetadata Autorisations : DATA_READ
|
Détecte les cas suivants :
|
Exfiltration : extraction de données BigQuery | DATA_EXFILTRATION_BIG_QUERY_EXTRACTION |
Cloud Audit Logs : Journaux d'accès aux données BigQueryAuditMetadata Autorisations : DATA_READ |
Détecte les cas suivants :
Pour les activations du niveau Premium de Security Command Center au niveau du projet, ce résultat n'est disponible que si le niveau Standard est activé dans le l'organisation parente. |
Exfiltration : données BigQuery vers Google Drive | DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE |
Cloud Audit Logs : Journaux d'accès aux données BigQueryAuditMetadata Autorisations : DATA_READ |
Détecte les éléments suivants :
|
Exfiltration : exfiltration de données Cloud SQL |
CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS |
Cloud Audit Logs :
Journaux d'accès aux données MySQL Journaux d'accès aux données PostgreSQL Journaux d'accès aux données SQL Server |
Détecte les cas suivants :
Pour les activations du niveau Premium de Security Command Center au niveau du projet, ce résultat n'est disponible que si le niveau Standard est activé dans le l'organisation parente. |
Exfiltration : restauration de la sauvegarde Cloud SQL dans l'organisation externe | CLOUDSQL_EXFIL_RESTORE_BACKUP_TO_EXTERNAL_INSTANCE |
Cloud Audit Logs :
Journaux des activités d'administration MySQL Journaux des activités d'administration PostgreSQL Journaux des activités d'administration SQL Server |
Détecte les événements où la sauvegarde d'une instance Cloud SQL est restaurée sur en dehors de l'organisation. |
Exfiltration : octroi de privilèges Cloud SQL trop élevés | CLOUDSQL_EXFIL_USER_GRANTED_ALL_PERMISSIONS |
Cloud Audit Logs :
Journaux d'accès aux données PostgreSQL Remarque : Vous devez activer l'extension pgAudit pour utiliser cette règle. |
Détecte les événements pour lesquels un utilisateur ou un rôle Cloud SQL pour PostgreSQL s'est vu attribuer tous les droits sur une base de données, ou à toutes les tables, procédures ou fonctions d'un schéma. |
Accès initial: le super-utilisateur de la base de données écrit dans les tables utilisateur | CLOUDSQL_SUPERUSER_WRITES_TO_USER_TABLES |
Cloud Audit Logs:
<ph type="x-smartling-placeholder"></ph>
Journaux d'accès aux données Cloud SQL pour PostgreSQL Journaux des accès aux données Cloud SQL pour MySQL Remarque:Vous devez activer l'extension pgAudit pour PostgreSQL ou l'audit de base de données pour MySQL afin d'utiliser cette règle. |
Détecte les événements où un super-utilisateur Cloud SQL ( |
Élévation des privilèges: attribution de privilèges excessifs AlloyDB | ALLOYDB_USER_GRANTED_ALL_PERMISSIONS |
Cloud Audit Logs:
<ph type="x-smartling-placeholder"></ph>
Journaux d'accès aux données AlloyDB pour PostgreSQL Remarque:Vous devez activer l'extension pgAudit pour utiliser cette règle. |
Détecte les événements pour lesquels un utilisateur ou un rôle AlloyDB pour PostgreSQL s'est vu accorder tous les droits sur une base de données, ou à toutes les tables, procédures ou fonctions d'un schéma. |
Élévation des privilèges: le super-utilisateur de la base de données AlloyDB écrit dans les tables utilisateur | ALLOYDB_SUPERUSER_WRITES_TO_USER_TABLES |
Cloud Audit Logs:
<ph type="x-smartling-placeholder"></ph>
Journaux d'accès aux données AlloyDB pour PostgreSQL Remarque:Vous devez activer l'extension pgAudit pour utiliser cette règle. |
Détecte les événements où un super-utilisateur AlloyDB pour PostgreSQL ( |
Accès initial : action sur un compte de service inactif | DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION |
Cloud Audit Logs: Journaux des activités d'administration |
Détecte les événements où un service dormant géré par l'utilisateur account a déclenché une action. Dans ce contexte, un compte de service considéré comme dormant s'il est inactif depuis plus de 180 jours. |
Élévation des privilèges: rôle sensible attribué à un compte de service inactif | DORMANT_SERVICE_ACCOUNT_ADDED_IN_IAM_ROLE |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les événements où un service dormant géré par l'utilisateur s'est vu attribuer un ou plusieurs rôles IAM sensibles. Dans ce contexte, un compte de service considéré comme dormant s'il est inactif depuis plus de 180 jours. Rôles sensibles Les résultats sont classés par niveau de gravité Élevé ou Moyen, en fonction de la sensibilité des rôles attribués. Pour en savoir plus, consultez la section Rôles IAM et autorisations sensibles. |
Persistance: rôle d'emprunt d'identité attribué à un compte de service inactif | DORMANT_SERVICE_ACCOUNT_IMPERSONATION_ROLE_GRANTED |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les événements où un compte principal se voit attribuer les autorisations permettant d'emprunter l'identité d'un compte de service géré par des utilisateurs dormants. Dans ce contexte, un compte de service considéré comme dormant s'il est inactif depuis plus de 180 jours. |
Accès initial: clé de compte de service inactif créée | DORMANT_SERVICE_ACCOUNT_KEY_CREATED |
Cloud Audit Logs: Journaux des activités d'administration |
Détecte les événements où une clé est créée pour un compte dormant service géré par l'utilisateur compte. Dans ce contexte, un compte de service considéré comme dormant s'il est inactif depuis plus de 180 jours. |
Accès initial: clé de compte de service divulguée utilisée | LEAKED_SA_KEY_USED |
Cloud Audit Logs:
Journaux des activités d'administration Journaux des accès aux données |
Détecte les événements où une clé de compte de service divulguée est utilisée pour l'authentification l'action. Dans ce contexte, une clé de compte de service divulguée est une clé publiée sur l'Internet public. |
Accès initial: autorisations excessives refusées | EXCESSIVE_FAILED_ATTEMPT |
Cloud Audit Logs: Journaux des activités d'administration |
Détecte les événements où un compte principal déclenche à plusieurs reprises un accès refusé des erreurs en tentant de modifier plusieurs méthodes et services. |
Défenses diminuées : authentification forte - désactivé |
ENFORCE_STRONG_AUTHENTICATION |
Google Workspace : Audit des administrateurs |
La validation en deux étapes a été désactivée pour l'organisation. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Défenses diminuées : Vérification en deux étapes - désactivé |
2SV_DISABLE |
Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ
|
Un utilisateur a désactivé la validation en deux étapes. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Accès initial : piratage - compte désactivé |
ACCOUNT_DISABLED_HIJACKED |
Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ
|
Le compte d'un utilisateur a été suspendu en raison d'une activité suspecte. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Accès initial : fuite de mot de passe - désactivé |
ACCOUNT_DISABLED_PASSWORD_LEAK |
Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ
|
Le compte d'un utilisateur est désactivé, car une fuite de mot de passe a été détectée. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Accès initial : Attaque de personnes malveillantes soutenues par un gouvernement |
GOV_ATTACK_WARNING |
Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ
|
Les pirates informatiques soutenus par un gouvernement ont peut-être tenté de compromettre le compte ou l'ordinateur d'un utilisateur. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Accès initial : tentative de compromis Log4j | Indisponible | Journaux Cloud Load Balancing: Équilibreur de charge HTTP Cloud Remarque:Vous devez activer la journalisation de l'équilibreur de charge d'application externe pour utiliser d'une règle. |
Détecte les recherches Java Naming and Directory Interface (JNDI) dans les en-têtes ou les paramètres d'URL. Ces recherches peuvent indiquer des tentatives d'exploitation Log4Shell.
Ces résultats ont une gravité faible, car ils indiquent uniquement une tentative de détection ou d'exploitation, et non une faille ou un piratage. Cette règle est toujours activée. |
Accès initial : connexion suspecte - bloqué |
SUSPICIOUS_LOGIN |
Journaux Google Workspace : Audit des connexions Autorisations : DATA_READ
|
Une connexion suspecte au compte d'un utilisateur a été détectée et bloquée. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Logiciel malveillant Log4j : domaine incorrect | LOG4J_BAD_DOMAIN |
Journaux Cloud DNS | Détection du trafic exploité par Log4j sur la base d'une connexion ou d'une recherche d'un domaine connu utilisé dans les attaques Log4j. |
Logiciel malveillant Log4j : adresse IP incorrecte | LOG4J_BAD_IP |
Journaux de flux VPC Journaux de règles de pare-feu Journaux Cloud NAT |
Détection du trafic exploité par Log4j sur la base d'une connexion à une adresse IP connue utilisée dans les attaques Log4j. |
Logiciel malveillant : domaine incorrect | MALWARE_BAD_DOMAIN |
Journaux Cloud DNS | Détection de logiciel malveillant sur la base d'une connexion à ou d'une recherche d'un domaine incorrect connu |
Logiciel malveillant : adresse IP incorrecte | MALWARE_BAD_IP |
Journaux de flux VPC Journaux de règles de pare-feu Journaux Cloud NAT |
Détection de logiciel malveillant sur la base d'une connexion à une adresse IP incorrecte connue |
Logiciel malveillant : domaine malveillant minant de la cryptomonnaie | CRYPTOMINING_POOL_DOMAIN |
Journaux Cloud DNS | Détection du minage de cryptomonnaie en fonction d'une connexion à ou d'une recherche d'un domaine de minage connu |
Logiciel malveillant : adresse IP malveillante minant de la cryptomonnaie | CRYPTOMINING_POOL_IP |
Journaux de flux VPC Journaux de règles de pare-feu Journaux Cloud NAT |
Détection du minage de cryptomonnaie en fonction d'une connexion à une adresse IP de minage connue |
DoS sortant | OUTGOING_DOS |
Journaux de flux VPC | Détection du trafic de déni de service sortant |
Persistance: clé SSH ajoutée par l'administrateur GCE | GCE_ADMIN_ADD_SSH_KEY |
Cloud Audit Logs: Journaux d'audit Compute Engine |
Détection d'une modification de la valeur de la clé SSH dans les métadonnées d'instance Compute Engine sur une instance établie (datant de plus d'une semaine). |
Persistance: script de démarrage ajouté par l'administrateur GCE | GCE_ADMIN_ADD_STARTUP_SCRIPT |
Cloud Audit Logs: Journaux d'audit Compute Engine |
Détection d'une modification de la valeur du script de démarrage dans les métadonnées d'instance Compute Engine sur une instance établie (datant de plus d'une semaine). |
Persistance : Octroi anormal d'autorisations IAM | IAM_ANOMALOUS_GRANT |
Cloud Audit Logs: Journaux d'audit pour les activités d'administration IAM |
Ce résultat inclut des sous-règles qui fournissent plus des informations spécifiques sur chaque instance de ce résultat. La liste suivante répertorie toutes les sous-règles possibles:
|
AperçuPersistance: rôle sensible attribué à un compte non géré |
UNMANAGED_ACCOUNT_ADDED_IN_IAM_ROLE |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détection d'un rôle sensible attribué à un compte non géré. |
Persistance: nouvelle méthode API |
ANOMALOUS_BEHAVIOR_NEW_API_METHOD |
Journaux d'audit Cloud : Journaux des activités d'administration |
Détection d'une utilisation anormale des services Google Cloud par les comptes de service IAM |
Persistance : Nouvelle géographie |
IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION |
Journaux d'audit Cloud : Journaux des activités d'administration |
Détection des comptes utilisateur de service et utilisateur IAM qui accèdent à Google Cloud à partir d'emplacements anormaux, en fonction de la géolocalisation des adresses IP des requêtes. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Persistance : Nouvel agent utilisateur | IAM_ANOMALOUS_BEHAVIOR_USER_AGENT |
Journaux d'audit Cloud : Journaux des activités d'administration |
Détection des comptes de service IAM accédant à Google Cloud à partir d'agents utilisateur anormaux ou suspects. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Persistance : activer/désactiver l'authentification unique |
TOGGLE_SSO_ENABLED |
Google Workspace : Audit des administrateurs |
Le paramètre "Activer SSO" (Authentification unique) a été désactivé pour le compte administrateur. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Persistance : paramètres SSO modifiés |
CHANGE_SSO_SETTINGS |
Google Workspace : Audit des administrateurs |
Les paramètres SSO du compte administrateur ont été modifiés. Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Élévation des privilèges: usurpation d'identité anormale de compte de service pour les activités d'administration | ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY |
Journaux d'audit Cloud : Journaux des activités d'administration |
Détecte les cas où un compte de service usurpé potentiellement anormal est utilisé pour une activité d'administration. |
Élévation des privilèges: délégation anormale de compte de service à plusieurs étapes pour les activités d'administration | ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY |
Journaux d'audit Cloud : Journaux des activités d'administration |
Détecte les cas où une requête déléguée en plusieurs étapes a été détectée pour une activité d'administration. |
Élévation des privilèges: délégation anormale de compte de service à plusieurs étapes pour l'accès aux données | ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS |
Cloud Audit Logs: Journaux des accès aux données |
Détecte les cas où une requête déléguée en plusieurs étapes a été détectée pour une activité d'accès aux données. |
Élévation des privilèges: usurpation d'identité de compte de service anormal pour les activités d'administration | ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY |
Journaux d'audit Cloud : Journaux des activités d'administration |
Détecte les cas où un appelant/usurpation d'identité potentiellement anormal dans une chaîne de délégation est utilisé pour une activité d'administration. |
Élévation des privilèges: usurpation d'identité de compte de service anormal pour l'accès aux données | ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS |
Cloud Audit Logs: Journaux des accès aux données |
Détecte les cas où un appelant/usurpation d'identité potentiellement anormal dans une chaîne de délégation est utilisé pour une activité d'accès aux données. |
Élévation des privilèges : modifications apportées à des objets Kubernetes RBAC sensibles | GKE_CONTROL_PLANE_EDIT_SENSITIVE_RBAC_OBJECT |
Cloud Audit Logs: Journaux des activités d'administration GKE |
Pour élever un privilège, une personne potentiellement malveillante a tenté de modifier un objet RBAC (contrôle des accès basé sur les rôles) ClusterRole , RoleBinding ou ClusterRoleBinding du rôle sensible cluster-admin à l'aide d'une requête PUT ou PATCH .
|
Élévation des privilèges : création d'une requête de signature de certificat Kubernetes pour le certificat principal | GKE_CONTROL_PLANE_CSR_FOR_MASTER_CERT |
Cloud Audit Logs: Journaux des activités d'administration GKE |
Une personne potentiellement malveillante a créé une requête de signature de certificat (CSR) maître Kubernetes, qui lui permet de disposer de l'accès cluster-admin . |
Élévation des privilèges : création de liaisons Kubernetes sensibles | GKE_CONTROL_PLANE_CREATE_SENSITIVE_BINDING |
Cloud Audit Logs: Journaux d'audit pour les activités d'administration IAM |
Pour élever un privilège, une personne potentiellement malveillante a tenté de créer un objet RoleBinding ou ClusterRoleBinding pour le rôle cluster-admin .
|
Élévation des privilèges : obtention d'une requête de signature de certificat Kubernetes avec des identifiants d'amorçage compromis | GKE_CONTROL_PLANE_GET_CSR_WITH_COMPROMISED_BOOTSTRAP_CREDENTIALS |
Cloud Audit Logs : Journaux d'accès aux données GKE |
Une personne potentiellement malveillante a émis une requête de signature de certificat (CSR) à l'aide de la commande kubectl , en utilisant des identifiants d'amorçage compromis. |
Élévation des privilèges : exécution d'un conteneur Kubernetes privilégié | GKE_CONTROL_PLANE_LAUNCH_PRIVILEGED_CONTAINER |
Cloud Audit Logs: Journaux des activités d'administration GKE |
Une personne potentiellement malveillante a créé un pod contenant des conteneurs privilégiés ou dotés de capacités d'élévation des droits. Le champ |
Persistance: clé de compte de service créée | SERVICE_ACCOUNT_KEY_CREATION |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte la création d'une clé de compte de service. Les clés de compte de service sont des identifiants de longue durée qui augmentent le risque d'accès non autorisé aux ressources Google Cloud. |
Élévation des privilèges: ajout d'un script d'arrêt global | GLOBAL_SHUTDOWN_SCRIPT_ADDED |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où un script d'arrêt global est ajouté à un projet. |
Persistance: script de démarrage global ajouté | GLOBAL_STARTUP_SCRIPT_ADDED |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où un script de démarrage global est ajouté à un projet. |
Contournement de défense: ajout du rôle de créateur de jetons de compte de service au niveau de l'organisation | ORG_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où le rôle IAM Créateur de jetons du compte de service est attribué au niveau de l'organisation. |
Éviction de défense: ajout du rôle de créateur de jetons de compte de service au niveau du projet | PROJECT_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où le rôle IAM Créateur de jetons du compte de service est attribué au niveau du projet. |
Déplacement latéral: exécution d'un correctif de système d'exploitation depuis un compte de service | OS_PATCH_EXECUTION_FROM_SERVICE_ACCOUNT |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où un compte de service utilise la fonctionnalité de correctif de Compute Engine pour mettre à jour le système d'exploitation de toute instance Compute Engine en cours d'exécution. |
Déplacement latéral: disque de démarrage modifié associé à l'instance Preview | MODIFY_BOOT_DISK_ATTACH_TO_INSTANCE |
Cloud Audit Logs: Journaux d'audit Compute Engine |
Détecte les moments où un disque de démarrage est dissocié d'une instance Compute Engine et installé sur une autre instance, ce qui pourrait indiquer une tentative malveillante de compromettre le système à l'aide d'un disque de démarrage modifié. |
Accès aux identifiants : accès aux secrets dans l'espace de noms Kubernetes | SECRETS_ACCESSED_IN_KUBERNETES_NAMESPACE |
Cloud Audit Logs : Journaux d'accès aux données GKE |
Détecte l'accès à des secrets ou des jetons de compte de service par un compte de service dans l'espace de noms Kubernetes actuel. |
Développement de ressources: activité de distribution Offensive Security | OFFENSIVE_SECURITY_DISTRO_ACTIVITY |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les manipulations de ressources Google Cloud réussies à partir de tests d'intrusion ou de distributions de sécurité choquantes. |
Élévation des privilèges: le nouveau compte de service est propriétaire ou éditeur | SERVICE_ACCOUNT_EDITOR_OWNER |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où un compte de service est créé avec le rôle Éditeur ou Propriétaire pour un projet. |
Découverte: outil de collecte d'informations utilisé | INFORMATION_GATHERING_TOOL_USED |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte l'utilisation de ScoutSuite, un outil d'audit de la sécurité du cloud connu pour être utilisé par les acteurs malveillants. |
Élévation des privilèges: génération de jetons suspects | SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où l'autorisation iam.serviceAccounts.implicitDelegation est utilisée de manière abusive pour générer des jetons d'accès à partir d'un compte de service plus privilégié. |
Élévation des privilèges: génération de jetons suspects | SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où un compte de service utilise la méthode serviceAccounts.signJwt pour générer un jeton d'accès pour un autre compte de service. |
Élévation des privilèges: génération de jetons suspects | SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte l'utilisation de l'autorisation IAM iam.serviceAccounts.getOpenIdToken entre projets.
Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Élévation des privilèges: génération de jetons suspects | SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte l'utilisation de l'autorisation IAM iam.serviceAccounts.getAccessToken entre projets.
Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Élévation des privilèges: utilisation d'autorisations multiprojets suspectes | SUSPICIOUS_CROSS_PROJECT_PERMISSION_DATAFUSION |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte l'utilisation de l'autorisation IAM datafusion.instances.create entre projets.
Ce résultat n'est pas disponible pour les activations au niveau du projet. |
Commande et contrôle: tunnelisation DNS | DNS_TUNNELING_IODINE_HANDSHAKE |
Journaux Cloud DNS | Détecte le handshake de l'outil de tunnelisation DNS Iodine. |
Éviction de défense: tentative de masquage de la route VPC | VPC_ROUTE_MASQUERADE |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte la création manuelle de routes VPC se faisant passer pour des routes Google Cloud par défaut, ce qui autorise le trafic de sortie vers des adresses IP externes. |
Impact: facturation désactivée | BILLING_DISABLED_SINGLE_PROJECT |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où la facturation a été désactivée pour un projet. |
Impact: facturation désactivée | BILLING_DISABLED_MULTIPLE_PROJECTS |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où la facturation a été désactivée pour plusieurs projets d'une organisation sur une courte période. |
Impact: blocage à priorité élevée du pare-feu VPC | VPC_FIREWALL_HIGH_PRIORITY_BLOCK |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où une règle de pare-feu VPC bloquant tout le trafic est ajoutée au niveau de priorité 0. |
Impact: suppression groupée des règles du pare-feu VPC | VPC_FIREWALL_MASS_RULE_DELETION |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte la suppression en masse de règles de pare-feu VPC par des comptes autres que des comptes de service. |
Impact: API de service désactivée | SERVICE_API_DISABLED |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où une API de service Google Cloud est désactivée dans un environnement de production. |
Impact: Autoscaling du groupe d'instances géré défini sur "Maximum" | MIG_AUTOSCALING_SET_TO_MAX |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où un groupe d'instances géré est configuré pour un autoscaling maximal. |
découverte: appel d'API de compte de service non autorisé | UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL |
Cloud Audit Logs: Journaux d'audit des activités d'administration IAM |
Détecte les cas où un compte de service effectue un appel d'API inter-projets non autorisé. |
Contournement des défenses: accès administrateur au cluster accordé à des sessions anonymes | ANONYMOUS_SESSIONS_GRANTED_CLUSTER_ADMIN |
Cloud Audit Logs: Journaux des activités d'administration GKE |
Détecte la création d'un objet ClusterRoleBinding de contrôle des accès basé sur les rôles (RBAC) qui ajoute le comportement root-cluster-admin-binding aux utilisateurs anonymes.
|
Accès initial : ressource GKE anonyme créée à partir d'Internet Bêta | GKE_RESOURCE_CREATED_ANONYMOUSLY_FROM_INTERNET |
Cloud Audit Logs: Journaux des activités d'administration GKE |
Détecte les événements de création de ressources provenant d'utilisateurs Internet anonymes. |
Accès initial : ressource GKE modifiée anonymement à partir d'Internet Bêta | GKE_RESOURCE_MODIFIED_ANONYMOUSLY_FROM_INTERNET |
Cloud Audit Logs: Journaux des activités d'administration GKE |
Détecte les événements de manipulation de ressources provenant d'utilisateurs Internet anonymes. |
Modules personnalisés pour Event Threat Detection
En plus des règles de détection intégrées, Event Threat Detection fournit des modules que vous pouvez utiliser pour créer des règles de détection personnalisées. Pour plus d'informations, consultez la page Présentation modules personnalisés pour Event Threat Detection.
Pour créer des règles de détection pour lesquelles aucun modèle de module personnalisé n'est disponible, vous pouvez exporter les données de journaux BigQuery, puis exécutez des requêtes des requêtes SQL récurrentes qui capturent vos modèles de menaces.
Modifications non sécurisées apportées aux groupes Google
Cette section explique comment Event Threat Detection détecte les modifications non sécurisées apportées aux groupes Google à l'aide de journaux Google Workspace, de Cloud Audit Logs et de stratégies IAM. La détection des modifications apportées à Google Groupes n'est possible que lorsque vous activez Security Command Center au niveau de l'organisation.
Les clients Google Cloud peuvent utiliser des groupes Google pour gérer les rôles et les autorisations des membres de leur organisation, ou appliquer des règles d'accès à des groupes d'utilisateurs. Au lieu d'attribuer des rôles directement aux membres, les administrateurs peuvent attribuer des rôles et des autorisations à des groupes Google, puis ajouter des membres à des groupes spécifiques. Les membres du groupe héritent de l'ensemble des rôles et des autorisations de ce groupe, ce qui leur permet d'accéder à des ressources et à des services spécifiques.
Bien que les groupes Google constituent un moyen pratique de gérer le contrôle des accès à grande échelle, ils peuvent présenter un risque si des utilisateurs externes à votre organisation ou à votre domaine sont ajoutés à des groupes privilégiés, c'est-à-dire des groupes disposant de rôles ou d'autorisations sensibles. Les rôles sensibles contrôlent l'accès aux paramètres de sécurité et de réseau, aux journaux et aux informations personnelles, et ne sont pas recommandés pour les membres de groupe externes.
Dans les grandes organisations, les administrateurs peuvent ne pas être informés lorsque des membres externes sont ajoutés à des groupes privilégiés. Les journaux d'audit Cloud enregistrent les attributions de rôles aux groupes, mais ces événements de journaux ne contiennent pas d'informations sur les membres des groupes, ce qui peut dissimuler l'impact potentiel de certaines modifications de groupes.
Si vous partagez vos journaux Google Workspace avec Google Cloud, Event Threat Detection surveille vos flux de journalisation pour détecter les membres ajoutés aux groupes Google de votre organisation. Les journaux étant situés au niveau de l'organisation, Event Threat Detection ne peut analyser les journaux Google Workspace que lorsque vous activez Security Command Center au niveau de l'organisation. Event Threat Detection ne peut pas les analyser des journaux lorsque vous activez Security Command Center au niveau du projet.
Event Threat Detection identifie les membres de groupe externes et, à l'aide des journaux d'audit Cloud, examine les rôles IAM de chaque groupe concerné afin de vérifier s'ils disposent de rôles sensibles. Ces informations permettent de détecter les modifications non sécurisées suivantes apportées aux groupes Google privilégiés :
- Membres de groupe externes ajoutés aux groupes privilégiés
- Rôles ou autorisations sensibles accordés aux groupes comportant des membres externes
- Groupes privilégiés modifiés pour permettre à tous leurs utilisateurs d'y accéder
Event Threat Detection écrit les résultats dans Security Command Center. Les résultats contiennent les adresses e-mail des nouveaux membres externes, les membres de groupe internes qui envoient les événements, les noms de groupes et les rôles sensibles associés aux groupes. Vous pouvez utiliser ces informations pour supprimer des membres externes des groupes ou révoquer les rôles sensibles accordés aux groupes.
Pour en savoir plus sur les résultats d'Event Threat Detection, consultez la section Règles d'Event Threat Detection.
Rôles et autorisations IAM sensibles
Cette section explique comment Event Threat Detection définit les rôles IAM sensibles. Des détections comme l'attribution anormale d'autorisations IAM et les modifications de groupes Google non sécurisés génèrent résultats uniquement si les changements impliquent des rôles de sensibilité élevée ou moyenne. La la sensibilité des rôles a une incidence sur le niveau de gravité attribué aux résultats.
- Les rôles à sensibilité élevée contrôlent les services critiques dans les organisations, y compris la facturation, les paramètres de pare-feu et la journalisation. Les résultats correspondant à ces rôles sont classés dans le niveau de gravité élevé.
- Les rôles à sensibilité moyenne disposent d'autorisations de modification permettant aux comptes principaux d'apporter des modifications aux ressources Google Cloud, et d'autorisations d'affichage et d'exécution sur les services de stockage de données contenant souvent des données sensibles. Le niveau de gravité attribué aux résultats dépend de la ressource :
- Si des rôles à sensibilité moyenne sont attribués au niveau de l'organisation, les résultats sont classés dans le niveau de gravité élevé.
- Si les rôles à sensibilité moyenne sont attribués à des niveaux inférieurs dans la hiérarchie des ressources (dossiers, projets et buckets, entre autres), les résultats sont classés dans le niveau de gravité moyen.
L'attribution de ces rôles sensibles est considérée comme dangereuse si le bénéficiaire est un membre externe ou une identité anormale, comme un compte principal qui a été longtemps inactif. L'attribution de rôles sensibles à des membres externes représente une menace potentielle, car ils peuvent être utilisés de manière abusive pour compromettre un compte et exfiltration de données.
Les catégories de résultats qui utilisent ces rôles sensibles incluent les suivantes:
- Persistance: autorisation anormale d'autorisations IAM
<ph type="x-smartling-placeholder">
- </ph>
- Sous-règle:
external_service_account_added_to_policy
- Sous-règle:
external_member_added_to_policy
- Sous-règle:
- Accès aux identifiants : rôle sensible attribué au groupe hybride
- Élévation des privilèges: rôle sensible attribué à un compte de service inactif
Les catégories de résultats qui utilisent un sous-ensemble de rôles sensibles incluent les suivantes:
- Persistance: autorisation anormale d'autorisations IAM
<ph type="x-smartling-placeholder">
- </ph>
- Sous-règle:
service_account_granted_sensitive_role_to_member
- Sous-règle:
La sous-règle service_account_granted_sensitive_role_to_member
cible à la fois
externes et internes en général et n'utilise donc qu'un sous-ensemble
les rôles sensibles, comme expliqué dans la section Règles Event Threat Detection.
Catégorie | Rôle | Description |
---|---|---|
Les rôles de base incluent des milliers d'autorisations pour tous les services Google Cloud. | roles/owner |
Rôles de base |
roles/editor |
||
Les rôles de sécurité contrôlent l'accès aux paramètres de sécurité. | roles/cloudkms.* |
Tous les rôles Cloud Key Management Service |
roles/cloudsecurityscanner.* |
Tous les rôles Web Security Scanner | |
roles/dlp.* |
Tous les rôles de protection des données sensibles | |
roles/iam.* |
Tous les rôles IAM | |
roles/secretmanager.* |
Tous les rôles Secret Manager | |
roles/securitycenter.* |
Tous les rôles Security Command Center | |
Les rôles de journalisation contrôlent l'accès aux journaux d'une organisation. | roles/errorreporting.* |
Tous les rôles Error Reporting |
roles/logging.* |
Tous les rôles Cloud Logging | |
roles/stackdriver.* |
Tous les rôles Cloud Monitoring | |
Les rôles d'informations personnelles contrôlent l'accès aux ressources contenant des informations personnelles, y compris des coordonnées bancaires et des coordonnées. | roles/billing.* |
Tous les rôles Cloud Billing |
roles/healthcare.* |
Tous les rôles de l'API Cloud Healthcare | |
roles/essentialcontacts.* |
Tous les rôles Essential Contacts | |
Les rôles de mise en réseau contrôlent l'accès aux paramètres réseau d'une organisation. | roles/dns.* |
Tous les rôles Cloud DNS |
roles/domains.* |
Tous les rôles Cloud Domains | |
roles/networkconnectivity.* |
Tous les rôles Network Connectivity Center | |
roles/networkmanagement.* |
Tous les rôles Network Connectivity Center | |
roles/privateca.* |
Tous les rôles Certificate Authority Service | |
Les rôles de service contrôlent l'accès aux ressources de service dans Google Cloud. | roles/cloudasset.* |
Tous les rôles de l'inventaire des éléments cloud |
roles/servicedirectory.* |
Tous les rôles de l'annuaire des services | |
roles/servicemanagement.* |
Tous les rôles Service Management | |
roles/servicenetworking.* |
Tous les rôles Service Networking | |
roles/serviceusage.* |
Tous les rôles Service Usage | |
Les rôles Compute Engine contrôlent l'accès aux machines virtuelles Compute Engine, qui exécutent des tâches de longue durée et sont associées à des règles de pare-feu. |
|
Tous les rôles Administrateur et Éditeur de Compute Engine |
Catégorie | Rôle | Description |
---|---|---|
Rôles de modification : rôles IAM qui incluent des autorisations permettant d'apporter des modifications aux ressources Google Cloud. |
Par exemple :
|
Le nom des rôles se termine généralement par des titres, tels que Administrateur, Propriétaire, Éditeur ou Rédacteur.
Développez le nœud de la dernière ligne du tableau pour afficher tous les rôles à sensibilité moyenne. |
Rôles de stockage des données : rôles IAM qui incluent des autorisations permettant d'afficher et d'exécuter des services de stockage de données |
Par exemple :
|
Développez le nœud de la dernière ligne du tableau pour afficher tous les rôles à sensibilité moyenne. |
Tous les rôles à sensibilité moyenne
Autorisations d'accès
Access Context Manager
Actions
AI Platform
API Gateway
App Engine
AutoML
BigQuery
Autorisation binaire
Bigtable
Cloud Build
Cloud Deployment Manager
Cloud Endpoints
Cloud Functions
Cloud IoT
Cloud Life Sciences
Cloud Monitoring
Cloud Run
Cloud Scheduler
Cloud Source Repositories
Spanner
Cloud Storage
Cloud SQL
Cloud Tasks
Cloud TPU
Cloud Trace
Compute Engine
Artifact Analysis
Data Catalog
Dataflow
Dataproc
Dataproc Metastore
Datastore
Eventarc
Filestore
Firebase
Game Servers
Google Cloud VMware Engine
Google Kubernetes Engine
Google Kubernetes Engine Hub
Google Workspace
Identity-Aware Proxy
Service géré pour Microsoft Active Directory
Memorystore pour Redis
API On-Demand Scanning
Surveillance de configuration des opérations
Service de règles d'administration
Autres rôles
Proximity Beacon
Pub/Sub
Pub/Sub Lite
reCAPTCHA
Recommandations
Outil de recommandation
Resource Manager
Paramètres de ressources
Accès au VPC sans serveur
Gestion des clients du service
Service de transfert de stockage
Vertex AI
Notebooks Vertex AI Workbench gérés par l'utilisateur
Workflows |
Types de journaux et conditions d'activation
Cette section répertorie les journaux utilisés par Event Threat Detection, ainsi que avec les menaces qu'Event Threat Detection recherche dans chaque journal, le cas échéant, vous devez le faire pour activer chaque journal.
Vous devez activer une connexion pour Event Threat Detection uniquement si toutes les affirmations suivantes sont vraies:
- Vous utilisez le produit ou le service qui écrit dans le journal.
- Vous devez protéger le produit ou le service contre les menaces qui Event Threat Detection détecte dans le journal.
- Il s'agit d'un journal d'audit des accès aux données ou d'un autre journal désactivé par défaut.
Certaines menaces peuvent être détectées dans plusieurs journaux. Si Event Threat Detection peut détecter une menace dans un journal déjà activé, vous ne devez pas besoin d'activer un autre journal pour détecter cette même menace.
Si aucun journal n'est répertorié dans cette section, Event Threat Detection ne le scanner, même s'il est allumé. Pour en savoir plus, consultez Analyses de journaux potentiellement redondantes :
Comme décrit dans le tableau suivant, certains types de journaux sont n'est disponible qu'au niveau de l'organisation. Si vous activez Security Command Center au niveau du projet, Event Threat Detection n'analyse pas ces journaux ne produit aucun résultat.
<ph type="x-smartling-placeholder">Analyses de journaux potentiellement redondantes
Event Threat Detection peut détecter les logiciels malveillants sur le réseau en analysant l'un des journaux suivants:
- Journalisation Cloud DNS
- Journalisation Cloud NAT
- Journalisation des règles de pare-feu
- Journaux de flux VPC
Si vous utilisez déjà la journalisation Cloud DNS, Event Threat Detection peut détecter les logiciels malveillants à l'aide de la résolution du domaine. Pour la plupart des utilisateurs, les journaux Cloud DNS sont suffisants pour que le réseau pour détecter les logiciels malveillants.
Si vous avez besoin d'un niveau de visibilité supérieur à la résolution du domaine, vous pouvez activer les journaux de flux VPC, mais ceux-ci peuvent entraîner des coûts. Pour gérer ces coûts, nous vous recommandons d'augmenter l'intervalle d'agrégation à 15 minutes et en réduisant le taux d'échantillonnage à entre 5% et 10%, mais il existe un compromis entre le rappel (échantillon plus élevé) et la gestion des coûts. (taux d'échantillonnage plus faible).
Si vous utilisez déjà la journalisation des règles de pare-feu ou Cloud NAT, ces journaux sont utiles à la place les journaux de flux VPC.
Vous n'avez pas besoin d'activer plusieurs journaux Cloud NAT. les journaux des règles de pare-feu ou journaux de flux VPC.
Journaux à activer
Cette section présente Cloud Logging et Google Workspace que vous pouvez activer ou configurer pour augmenter le nombre des menaces qu'Event Threat Detection peut détecter.
Certaines menaces, comme celles liées à une usurpation d'identité anormale ou délégation d'un compte de service, sont disponibles dans la plupart les journaux d'audit. Pour ces types de menaces, vous déterminez les journaux en fonction des produits et services que vous utilisez.
Le tableau suivant présente les journaux spécifiques à activer pour les menaces qui ne peut être détecté que dans certains types de journaux spécifiques.
Type de journal | Menaces détectées | Configuration obligatoire |
---|---|---|
Journalisation Cloud DNS |
Log4j Malware: Bad Domain Malware: bad domain Malware: Cryptomining Bad Domain |
Activer la journalisation Cloud DNS |
Journalisation Cloud NAT |
Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP |
Activer Cloud NAT journalisation |
Journalisation des règles de pare-feu |
Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP |
Activer Journalisation des règles de pare-feu. |
Journaux d'audit des accès aux données de Google Kubernetes Engine (GKE) |
Discovery: Can get sensitive Kubernetes object check Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials |
Activer les journaux d'audit des accès aux données Logging pour GKE |
Journaux d'audit des administrateurs Google Workspace |
Credential Access: Privileged Group Opened To Public Impair Defenses: Strong Authentication Disabled Impair Defenses: Two Step Verification Disabled Persistence: SSO Enablement Toggle Persistence: SSO Settings Changed |
Partager Journaux d'audit de la console d'administration Google Workspace Cloud Logging Impossible d'analyser ce type de journal dans les activations au niveau du projet. |
Journaux d'audit de connexion à Google Workspace |
Credential Access: External Member Added To Privileged Group Impair Defenses: Two Step Verification Disabled Initial Access: Account Disabled Hijacked Initial Access: Disabled Password Leak Initial Access: Government Based Attack Initial Access: Suspicious Login Blocked |
Partager Journaux d'audit des connexions Google Workspace avec Cloud Logging Impossible d'analyser ce type de journal dans les activations au niveau du projet. |
Journaux du service de backend de l'équilibreur de charge d'application externe |
Initial Access: Log4j Compromise Attempt |
Activer Journalisation d'un équilibreur de charge d'application externe |
Journaux d'audit pour l'accès aux données MySQL dans Cloud SQL | Exfiltration: Cloud SQL Data Exfiltration |
Activer Journalisation des journaux d'audit des accès aux données pour Cloud SQL pour MySQL |
Journaux d'audit pour l'accès aux données PostgreSQL dans Cloud SQL |
Exfiltration: Cloud SQL Data Exfiltration Exfiltration: Cloud SQL Over-Privileged Grant |
|
Journaux d'audit des accès aux données AlloyDB pour PostgreSQL |
Privilege Escalation: AlloyDB Database Superuser Writes to User Tables Privilege Escalation: AlloyDB Over-Privileged Grant |
|
Journaux d'audit des accès aux données IAM |
Discovery: Service Account Self-Investigation |
Activer Journaux d'audit des accès aux données Logging pour Resource Manager |
Accès aux données SQL Server journaux d'audit | Exfiltration: Cloud SQL Data Exfiltration |
Activer Journalisation des journaux d'audit des accès aux données pour Cloud SQL pour SQL Server |
Journaux d'audit génériques des accès aux données |
Initial Access: Leaked Service Account Key Used Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access Privilege Escalation: Anomalous Service Account Impersonator for Data Access |
Activer Logging pour les journaux d'audit des accès aux données. |
authlogs/authlog sur des machines virtuelles | Brute force SSH |
Installez la Agent Ops ou l'ancienne Agent Logging sur vos hôtes de VM |
Journaux de flux VPC |
Log4j Malware: Bad IP Malware: bad IP Malware: Cryptomining Bad IP Outgoing DoS |
Activez les journaux de flux VPC. |
Journaux d'audit des sauvegardes et de la reprise après sinistre |
Data destruction: Google Cloud Backup and DR expire all images Inhibit system recovery: Google Cloud Backup and DR delete policy Inhibit system recovery: Google Cloud Backup and DR delete template Inhibit system recovery: Google Cloud Backup and DR delete profile Inhibit system recovery: Google Cloud Backup and DR delete storage pool Inhibit system recovery: deleted Google Cloud Backup and DR host Data destruction: Google Cloud Backup and DR expire image Data destruction: Google Cloud Backup and DR remove appliance Inhibit system recovery: Google Cloud Backup and DR remove plan Impact: Google Cloud Backup and DR reduce backup expiration Impact: Google Cloud Backup and DR reduce backup frequency |
Activer les journaux d'audit pour la sauvegarde et la reprise après sinistre |
Journaux toujours activés
Le tableau suivant répertorie les journaux Cloud Logging dont vous n'avez pas besoin à activer ou à configurer. Ces journaux sont toujours activés et analysent Event Threat Detection automatiquement.
Type de journal | Menaces détectées | Configuration obligatoire |
---|---|---|
Journaux d'accès aux données BigQueryAuditMetadata |
exfiltration: exfiltration de données BigQuery exfiltration: extraction de données BigQuery exfiltration: données BigQuery vers Google Drive |
Aucun |
Journaux d'audit des activités d'administration de Google Kubernetes Engine (GKE) |
Élévation des privilèges: modifications apportées à des objets Kubernetes RBAC sensibles Élévation des privilèges: création de liaisons Kubernetes sensibles Élévation des privilèges: lancement du conteneur Kubernetes privilégié Élévation des privilèges: créer une requête de signature de certificat Kubernetes pour le certificat principal |
Aucun |
Journaux d'audit des activités d'administration IAM |
Accès aux identifiants: rôle sensible attribué au groupe hybride Élévation des privilèges: rôle sensible attribué à un compte de service inactif Persistance: rôle d'emprunt d'identité attribué à un compte de service inactif Persistance: autorisation anormale d'autorisations IAM AperçuPersistance: rôle sensible attribué à un compte non géré |
Aucun |
Journaux des activités d'administration MySQL | Exfiltration : restauration de la sauvegarde Cloud SQL dans l'organisation externe | Aucun |
Journaux des activités d'administration PostgreSQL | Exfiltration : restauration de la sauvegarde Cloud SQL dans l'organisation externe | Aucun |
Journaux des activités d'administration SQL Server | Exfiltration : restauration de la sauvegarde Cloud SQL dans l'organisation externe | Aucun |
Journaux d'audit génériques pour les activités d'administration |
Accès initial: action de compte de service inactif > Accès initial: clé de compte de service inactif créée Accès initial: autorisations excessives refusées Accès initial: clé de compte de service divulguée utilisée Persistance: clé SSH ajoutée par l'administrateur Compute Engine Persistance: script de démarrage ajouté par l'administrateur Compute Engine Persistance: nouvelle méthode API Persistance: nouvelle zone géographique Persistance: nouveau user-agent Élévation des privilèges: usurpation d'identité anormale de compte de service pour les activités d'administration Élévation des privilèges: délégation anormale de compte de service à plusieurs étapes pour les activités d'administration Élévation des privilèges: usurpation d'identité de compte de service anormal pour les activités d'administration Déplacement latéral: disque de démarrage modifié associé à l'instance Preview . |
Aucun |
Journaux d'audit de VPC Service Controls | Éviction de défense: modification de VPC Service Controls Preview | Aucun |
Étape suivante
Découvrez comment utiliser Event Threat Detection.
Découvrez comment examiner et développer des plans d'intervention sur les menaces.