Event Threat Detection 概览

什么是 Event Threat Detection？

Event Threat Detection 是 Security Command Center 高级层级的内置服务，可持续监控您的组织或项目，并以近乎实时的方式识别系统内的威胁。Event Threat Detection 会定期更新检测程序，以识别新出现的云规模的威胁。

Event Threat Detection 的工作原理

Event Threat Detection 会监控您的组织或项目的 Cloud Logging 流。如果您在组织级层激活 Security Command Center 高级层级，则 Event Threat Detection 会在项目创建后使用日志，并且 Event Threat Detection 可以监控 Google Workspace 日志。Cloud Logging 包含会创建、读取或修改资源配置或元数据的 API 调用以及其他操作的日志条目。Google Workspace 日志会跟踪您网域中的用户登录情况，并提供在 Google Workspace 管理控制台中执行的操作的记录。

日志条目包含 Event Threat Detection 用于快速检测威胁的状态和事件信息。Event Threat Detection 会应用检测逻辑和专有威胁情报（包括 Tripwire 指示器匹配、时段分析、高级分析、机器学习和异常值检测），以近乎实时的方式识别威胁。

当 Event Threat Detection 检测到威胁时，它会将发现结果写入 Security Command Center。如果您在组织级层激活 Security Command Center 高级层级，Security Command Center 可将发现结果写入 Cloud Logging 项目。 从 Cloud Logging 和 Google Workspace 日志记录中，您可以使用 Pub/Sub 将发现结果导出到其他系统，并使用 Cloud Functions 对其进行处理。

如果您在组织级层激活 Security Command Center 高级层级，还可以使用 Chronicle 来调查一些发现结果。Chronicle 是一项 Google Cloud 服务，可让您以统一的时间调查威胁并透视相关实体。如需了解如何将发现结果发送到 Chronicle，请参阅调查 Chronicle 中的发现结果。

您查看和修改发现结果和日志的能力取决于您被授予的 Identity and Access Management (IAM) 角色。如需详细了解 Security Command Center IAM 角色，请参阅访问权限控制。

Event Threat Detection 规则

规则定义了 Event Threat Detection 检测到的威胁类型，以及让检测器工作所必须启用的日志类型。管理员活动审核日志始终会写入；您无法配置或停用它们。

Event Threat Detection 包含以下默认规则：

显示名称 API 名称 日志源类型 说明
主动扫描：Log4j 易受 RCE 攻击 无法提供服务 Cloud DNS 日志 通过识别由受支持 Log4j 漏洞扫描工具启动的经过去混淆处理的网域的 DNS 查询，检测活跃的 Log4j 漏洞。
禁止系统恢复：删除了 Google Cloud 备份和灾难恢复主机 BACKUP_HOSTS_DELETE_HOST Cloud Audit Logs：
备份和灾难恢复服务数据访问日志		 从备份和灾难恢复中删除了一个主机。与已删除的主机关联的应用可能无法受到保护。
数据销毁：Google Cloud 备份和灾难恢复映像 BACKUP_EXPIRE_IMAGE Cloud Audit Logs：
备份和灾难恢复数据访问日志		 用户请求从备份和灾难恢复中删除备份图片。删除备份不会阻止未来备份。
禁止系统恢复：Google Cloud 备份和灾难恢复方案 BACKUP_REMOVE_PLAN Cloud Audit Logs：
备份和灾难恢复数据访问日志		 从备份和灾难恢复中删除了具有多个应用的备份方案。删除备份方案可能会阻止未来备份。
数据销毁：Google Cloud 备份和灾难恢复会让所有映像过期 BACKUP_EXPIRE_IMAGES_ALL Cloud Audit Logs：
备份和灾难恢复数据访问日志		 用户请求从备份和灾难恢复中删除受保护应用的所有备份映像。删除备份不会阻止未来备份。
禁止系统恢复：Google Cloud 备份和灾难恢复模板 BACKUP_TEMPLATES_DELETE_TEMPLATE Cloud Audit Logs：
备份和灾难恢复数据访问日志		 用于为多个应用设置备份的预定义备份模板已被删除。未来设置备份的能力可能会受到影响。
禁止系统恢复：Google Cloud 备份和灾难恢复删除政策 BACKUP_TEMPLATES_DELETE_POLICY Cloud Audit Logs：
备份和灾难恢复数据访问日志		 备份和灾难恢复政策定义了备份的存储方式和存储位置。将来使用该政策的备份可能会失败。
禁止系统恢复：Google Cloud 备份和灾难恢复删除配置文件 BACKUP_PROFILES_DELETE_PROFILE Cloud Audit Logs：
备份和灾难恢复数据访问日志		 备份和灾难恢复配置文件（用于定义应该使用哪些存储池来存储备份）已被删除。将来使用该配置文件的备份可能会失败。
数据销毁：Google Cloud 备份和灾难恢复移除设备 BACKUP_APPLIANCES_REMOVE_APPLIANCE Cloud Audit Logs：
备份和灾难恢复数据访问日志		 从备份和灾难恢复中删除备份设备。与已删除的备份设备关联的应用可能无法保护。
禁止系统恢复：Google Cloud 备份和灾难恢复存储池 BACKUP_STORAGE_POOLS_DELETE Cloud Audit Logs：
备份和灾难恢复数据访问日志		 已从备份和灾难恢复中移除存储池，该池将 Cloud Storage 存储桶与备份和灾难恢复相关联。此存储目标的未来备份将失败。
影响：Google Cloud 备份和灾难恢复缩短了备份到期时间 BACKUP_REDUCE_BACKUP_EXPIRATION Cloud Audit Logs：
备份和灾难恢复数据访问日志		 受备份和灾难恢复保护的备份的到期日期已缩短。
影响：Google Cloud 备份和灾难恢复降低了备份频率 BACKUP_REDUCE_BACKUP_FREQUENCY Cloud Audit Logs：
备份和灾难恢复数据访问日志		 备份和灾难恢复备份时间表已修改，以降低备份频率。
SSH 暴力破解 BRUTE_FORCE_SSH authlog 检测主机上的 SSH 暴力破解能力。
Cloud IDS：THREAT_IDENTIFIER（预览版） CLOUD_IDS_THREAT_ACTIVITY Cloud IDS 日志 Cloud IDS 检测到的事件。Cloud IDS 通过分析镜像数据包来检测第 7 层攻击，并在检测到事件时将发现结果发送到 Security Command Center。发现结果类别名称以“Cloud IDS”开头，后跟 Cloud IDS 威胁标识符。如需详细了解 Cloud IDS 检测，请参阅 Cloud IDS Logging 信息。
凭据访问：添加到特权群组的外部成员 EXTERNAL_MEMBER_ADDED_TO_PRIVILEGED_GROUP Google Workspace 日志：
登录审核
权限：
DATA_READ

检测外部成员添加到特权 Google 群组（授予了敏感角色或权限的群组）的事件。仅当组尚未包含与新成员相同的组织中的其他外部成员时，才会生成发现结果。如需了解详情，请参阅不安全的 Google 群组更改。

发现结果的分类为高或中，具体取决于与组更改相关的角色的敏感性。如需了解详情，请参阅敏感 IAM 角色和权限。

此发现结果不适用于项目级激活。
凭据访问：向公众开放的特权群组 PRIVILEGED_GROUP_OPENED_TO_PUBLIC Google Workspace：
管理员审核
权限：
DATA_READ

检测特权 Google 群组（授予了敏感角色或权限的群组）变为可供公众访问的事件。如需了解详情，请参阅不安全的 Google 群组更改。

发现结果的分类为高或中，具体取决于与组更改相关的角色的敏感性。如需了解详情，请参阅敏感 IAM 角色和权限。

此发现结果不适用于项目级激活。
凭据访问：授予混合群组的敏感角色 SENSITIVE_ROLE_TO_GROUP_WITH_EXTERNAL_MEMBER Cloud Audit Logs：
IAM 管理员活动审核日志

检测向具有外部成员的 Google 群组授予敏感角色的事件。如需了解详情，请参阅不安全的 Google 群组更改。

发现结果的分类为高或中，具体取决于与组更改相关的角色的敏感性。如需了解详情，请参阅敏感 IAM 角色和权限。

此发现结果不适用于项目级激活。
防护规避：已创建工作负载部署 Breakglass预览版 BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_CREATE Cloud Audit Logs：
管理员活动日志		 使用 break-glass 标志替换 Binary Authorization 控制措施，以检测所部署的工作负载的部署情况。
防护规避：Breakglass 工作负载部署已更新预览版 BINARY_AUTHORIZATION_BREAKGLASS_WORKLOAD_UPDATE Cloud Audit Logs：
管理员活动日志		 使用 Breakglass 标志替换 Binary Authorization 控制措施，以检测工作负载何时更新。
防护规避：修改 VPC Service Controls DEFENSE_EVASION_MODIFY_VPC_SERVICE_CONTROL Cloud Audit Logs VPC Service Controls 审核日志

检测到现有 VPC Service Controls 边界的更改会导致该边界提供的保护减少。

此发现结果不适用于项目级激活。

发现：可以获取敏感的 Kubernetes 对象检查 GKE_CONTROL_PLANE_CAN_GET_SENSITIVE_OBJECT Cloud Audit Logs：
GKE 数据访问日志

潜在恶意操作者尝试使用 kubectl auth can-i get 命令确定可以查询 GKE 中的哪些敏感对象。具体而言，该规则会检测恶意操作者是否检查了以下对象的 API 访问权限：
发现：服务账号自行调查 SERVICE_ACCOUNT_SELF_INVESTIGATION Cloud Audit Logs：
IAM 数据访问审核日志
权限：
DATA_READ

检测用于调查与同一服务账号关联的角色和权限的 IAM 服务账号凭据。

敏感角色

发现结果的严重程度分为高或中，具体取决于授予的角色的敏感度。如需了解详情，请参阅敏感 IAM 角色和权限。
规避：通过匿名代理访问 ANOMALOUS_ACCESS Cloud Audit Logs：
管理员活动日志		 检测源自匿名代理 IP 地址（例如 Tor IP 地址）的 Google Cloud 服务修改。
数据渗漏：BigQuery 数据渗漏 DATA_EXFILTRATION_BIG_QUERY Cloud Audit Logs：BigQueryAuditMetadata 数据访问日志
权限：
DATA_READ		 检测以下场景：

  • 检测受保护组织所拥有并保存在组织外部的资源，包括复制或转移操作。

    这种情况由子规则 exfil_to_external_table 和严重级别 HIGH 表示。

  • 尝试访问受 VPC Service Controls 保护的 BigQuery 资源。

    这种情况由子规则 vpc_perimeter_violation 和严重级别 LOW 来表示。
渗漏：BigQuery 数据提取 DATA_EXFILTRATION_BIG_QUERY_EXTRACTION Cloud Audit Logs：BigQueryAuditMetadata 数据访问日志
权限：
DATA_READ		 检测以下场景：

  • 受保护的组织所拥有的 BigQuery 资源通过提取操作保存到组织外部的 Cloud Storage 存储桶中。
  • 受保护的组织所拥有的 BigQuery 资源通过提取操作保存到该组织拥有的可公开访问的 Cloud Storage 存储桶中。

对于 Security Command Center 高级层级的项目级激活，此发现结果仅在父级组织中启用了标准层级时才可用。
渗漏：BigQuery 数据进入 Google 云端硬盘 DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE Cloud Audit Logs：BigQueryAuditMetadata 数据访问日志
权限：
DATA_READ		 检测以下情况：

  • 系统通过提取操作将受保护组织拥有的 BigQuery 资源保存到 Google 云端硬盘文件夹。
渗漏：Cloud SQL 数据渗漏
 CLOUDSQL_EXFIL_EXPORT_TO_EXTERNAL_GCS
CLOUDSQL_EXFIL_EXPORT_TO_PUBLIC_GCS		 Cloud Audit Logs： MySQL 数据访问日志
PostgreSQL 数据访问日志
SQL Server 数据访问日志 		检测以下场景：

  • 活动实例数据导出到组织外部的 Cloud Storage 存储桶。
  • 活动实例数据导出到组织拥有且可公开访问的 Cloud Storage 存储桶。

对于 Security Command Center 高级层级的项目级激活，此发现结果仅在父级组织中启用了标准层级时才可用。
渗漏：Cloud SQL 将备份恢复到外部组织 CLOUDSQL_EXFIL_RESTORE_BACKUP_TO_EXTERNAL_INSTANCE Cloud Audit Logs： MySQL 管理员活动日志
PostgreSQL 管理员活动日志
SQL Server 管理员活动日志

检测 Cloud SQL 实例备份恢复到组织外部的实例的事件。
渗漏：Cloud SQL 过度授予特权 CLOUDSQL_EXFIL_USER_GRANTED_ALL_PERMISSIONS Cloud Audit Logs： PostgreSQL 数据访问日志
注意：您必须启用 pgAudit 扩展程序才能使用此规则。

检测 Cloud SQL for PostgreSQL 用户或角色被授予对数据库或架构中所有表、过程或函数的所有权限。
初始访问：数据库超级用户写入用户表 CLOUDSQL_SUPERUSER_WRITES_TO_USER_TABLES Cloud Audit Logs:Cloud SQL for PostgreSQL 数据访问日志
Cloud SQL for MySQL 数据访问日志
注意：您必须为 PostgreSQL 启用 pgAudit 扩展程序或为 MySQL 启用数据库审核才能使用此规则。

检测 Cloud SQL 超级用户（对 PostgreSQL 服务器来说是 postgres，对 MySQL 用户来说是 root）写入非系统表的事件。
预览版权限升级：AlloyDB 权限过高授予 ALLOYDB_USER_GRANTED_ALL_PERMISSIONS Cloud Audit Logs： AlloyDB for PostgreSQL 数据访问日志
注意：您必须启用 pgAudit 扩展程序才能使用此规则。

检测 AlloyDB for PostgreSQL 用户或角色被授予数据库或架构中所有表、过程或函数的所有权限的事件。
预览版提权：AlloyDB 数据库超级用户写入用户表 ALLOYDB_SUPERUSER_WRITES_TO_USER_TABLES Cloud Audit Logs： AlloyDB for PostgreSQL 数据访问日志
注意：您必须启用 pgAudit 扩展程序才能使用此规则。

检测 AlloyDB for PostgreSQL 超级用户 (postgres) 写入非系统表的事件。
初始访问：休眠服务账号操作 DORMANT_SERVICE_ACCOUNT_USED_IN_ACTION Cloud Audit Logs： 管理员活动日志

检测处于休眠状态用户管理的服务账号触发了操作的事件。在此上下文中，如果服务账号处于非活跃状态超过 180 天，则会被视为休眠。
提升权限：休眠服务账号被授予敏感角色 DORMANT_SERVICE_ACCOUNT_ADDED_IN_IAM_ROLE Cloud Audit Logs：IAM 管理员活动审核日志

检测用户管理的休眠服务账号被授予一个或多个敏感 IAM 角色的事件。 在此上下文中，如果服务账号处于非活跃状态超过 180 天，则会被视为休眠。

敏感角色

发现结果的严重程度分为高或中，具体取决于授予的角色的敏感度。如需了解详情，请参阅敏感 IAM 角色和权限。

持久性：已授予休眠服务账号的模拟角色 DORMANT_SERVICE_ACCOUNT_IMPERSONATION_ROLE_GRANTED Cloud Audit Logs：IAM 管理员活动审核日志

检测主账号被授予模拟用户管理的休眠服务账号的权限的事件。在此上下文中，如果服务账号处于非活跃状态超过 180 天，则会被视为休眠。
初始访问：已创建休眠服务账号密钥 DORMANT_SERVICE_ACCOUNT_KEY_CREATED Cloud Audit Logs： 管理员活动日志

检测为用户管理的休眠服务账号创建密钥的事件。在此上下文中，如果服务账号处于非活跃状态超过 180 天，则会被视为休眠。
初始访问权限：使用的服务账号密钥已泄露 LEAKED_SA_KEY_USED Cloud Audit Logs：管理员活动日志
数据访问日志

检测使用泄露的服务账号密钥对操作进行身份验证的事件。在此情况下，泄露的服务账号密钥是发布到公共互联网上的密钥。
初始访问：过多的权限遭拒操作 EXCESSIVE_FAILED_ATTEMPT Cloud Audit Logs： 管理员活动日志

检测到主账号尝试在多个方法和服务中进行更改时反复触发权限遭拒错误的事件。
防御受影响：强身份验证被停用 ENFORCE_STRONG_AUTHENTICATION Google Workspace：
管理员审核 		已为组织停用两步验证。

此发现结果不适用于项目级激活。

防御受影响：两步验证被停用 2SV_DISABLE Google Workspace 日志：
登录审核
权限：
DATA_READ 		用户停用了两步验证。

此发现结果不适用于项目级激活。

初始访问权限：账号因遭到盗用而被停用 ACCOUNT_DISABLED_HIJACKED Google Workspace 日志：
登录审核
权限：
DATA_READ 		用户的帐号因可疑活动而被暂停。

此发现结果不适用于项目级激活。

初始访问权限：因密码泄露而被停用 ACCOUNT_DISABLED_PASSWORD_LEAK Google Workspace 日志：
登录审核
权限：
DATA_READ 		由于检测到密码泄露，用户的账号已被停用。

此发现结果不适用于项目级激活。

初始访问权限：政府支持的攻击 GOV_ATTACK_WARNING Google Workspace 日志：
登录审核
权限：
DATA_READ 		受政府支持的攻击者可能曾试图入侵用户帐号或计算机。

此发现结果不适用于项目级激活。

初始访问权限：Log4j 入侵尝试 无法提供服务 Cloud Load Balancing 日志：
Cloud HTTP 负载均衡器
注意：您必须启用外部应用负载均衡器日志记录才能使用此规则。 		检测标头或网址参数中的 Java 命名和目录接口 (JNDI) lookups。这些查找可能表示有些攻击在尝试利用 Log4Shell 漏洞。这些发现结果的严重程度较低，因为它们仅表示检测或漏洞利用尝试，而非漏洞或危害。
此规则始终处于启用状态。
初始访问权限：可疑登录被阻止 SUSPICIOUS_LOGIN Google Workspace 日志：
登录审核
权限：
DATA_READ 		检测到并阻止了用户账号的可疑登录行为。

此发现结果不适用于项目级激活。

Log4j 恶意软件：网域错误 LOG4J_BAD_DOMAIN Cloud DNS 日志 根据与 Log4j 攻击中使用的已知网域的连接或查询来检测 Log4j 漏洞流量。
Log4j 恶意软件：IP 错误 LOG4J_BAD_IP VPC 流日志
防火墙规则日志
Cloud NAT 日志		 根据与 Log4j 攻击中使用的已知 IP 地址的连接来检测 Log4j 漏洞流量。
恶意软件错误网域 MALWARE_BAD_DOMAIN Cloud DNS 日志 根据与已知恶意网域的连接或查询内容的恶意软件检测恶意软件。
恶意软件错误 IP MALWARE_BAD_IP VPC 流日志
防火墙规则日志
Cloud NAT 日志		 根据与已知不良 IP 地址的连接检测恶意软件。
恶意软件：挖矿网域错误 CRYPTOMINING_POOL_DOMAIN Cloud DNS 日志 根据与已知挖矿网域的连接或查询挖掘加密内容。
恶意软件：挖矿 IP 错误 CRYPTOMINING_POOL_IP VPC 流日志
防火墙规则日志
Cloud NAT 日志		 根据与已知挖矿 IP 地址的连接检测加密。
传出的 DoS OUTGOING_DOS VPC 流日志 检测拒绝服务攻击流量传出事件。
持久性：GCE 管理员添加了 SSH 密钥 GCE_ADMIN_ADD_SSH_KEY Cloud Audit Logs：
Compute Engine 审核日志		 检测对已建立的实例（超过 1 周）上的 Compute Engine 实例元数据 SSH 密钥值的修改。
持久性：GCE 管理员添加了启动脚本 GCE_ADMIN_ADD_STARTUP_SCRIPT Cloud Audit Logs：
Compute Engine 审核日志		 检测对已建立的实例（早于 1 周）上的 Compute Engine 实例元数据启动脚本值的修改。
持久性：IAM 异常授权 IAM_ANOMALOUS_GRANT Cloud Audit Logs：
IAM 管理员活动审核日志

此发现结果包含子规则，用于提供有关此发现结果每个实例的更具体的信息。

以下列表显示了所有可能的子规则：

  • external_service_account_added_to_policy、external_member_added_to_policy：检测向非组织成员的 IAM 用户和服务账号授予的权限，或者如果仅在项目级层激活 Security Command Center，则检测向非项目成员的 IAM 用户和服务账号授予的权限。注意：如果在任何层级在组织级层激活 Security Command Center，则此检测器使用组织的现有 IAM 政策作为上下文。如果仅在项目级层激活 Security Command Center，则检测器仅使用项目的 IAM 政策作为上下文。如果发生向外部成员发出的敏感 IAM 授权，并且存在三个与此类似的现有 IAM 政策，则此检测器会生成发现结果。

    敏感角色

    发现结果的严重程度分为高或中，具体取决于授予的角色的敏感度。如需了解详情，请参阅敏感 IAM 角色和权限。

  • external_member_invited_to_policy：检测何时通过 InsertProjectOwnershipInvite API 邀请外部成员成为项目所有者。
  • custom_role_given_sensitive_permissions：检测何时为自定义角色添加 setIAMPolicy 权限。
  • service_account_granted_sensitive_role_to_member：检测何时通过服务帐号向成员授予特权角色。此子规则由一部分敏感角色触发，这些角色仅包含基本 IAM 角色和某些数据存储角色。如需了解详情，请参阅敏感 IAM 角色和权限。
  • policy_modified_by_default_compute_service_account：检测何时使用默认 Compute Engine 服务帐号修改项目 IAM 设置
预览版持久性：非受管账号授予敏感角色
 UNMANAGED_ACCOUNT_ADDED_IN_IAM_ROLE Cloud Audit Logs：
IAM 管理员活动审核日志		 检测向不受管理的帐号授予的敏感角色。
持久性：新的 API 方法
 ANOMALOUS_BEHAVIOR_NEW_API_METHOD Cloud Audit Logs：
管理员活动日志		 检测 IAM 服务账号对 Google Cloud 服务的异常使用。
持久性：新地理位置
 IAM_ANOMALOUS_BEHAVIOR_IP_GEOLOCATION Cloud Audit Logs：
管理员活动日志		 根据发出请求的 IP 地址的地理位置，检测到 IAM 用户和服务账号从异常位置访问 Google Cloud。

此发现结果不适用于项目级激活。

持久性：新用户代理 IAM_ANOMALOUS_BEHAVIOR_USER_AGENT Cloud Audit Logs：
管理员活动日志		 检测到 IAM 服务账号从异常或可疑用户代理访问 Google Cloud。

此发现结果不适用于项目级激活。

持久性：单点登录启用切换 TOGGLE_SSO_ENABLED Google Workspace：
管理员审核 		管理员帐号的“启用 SSO（单点登录）”设置已停用。

此发现结果不适用于项目级激活。

持久性：单点登录设置发生了更改 CHANGE_SSO_SETTINGS Google Workspace：
管理员审核 		管理员账号的 SSO 设置已更改。

此发现结果不适用于项目级激活。

提升权限：针对管理员活动的服务账号异常模拟 ANOMALOUS_SA_DELEGATION_IMPERSONATION_OF_SA_ADMIN_ACTIVITY Cloud Audit Logs：
管理员活动日志		 检测潜在的异常模拟服务账号何时用于管理活动。
提升权限：针对管理员活动的异常多步服务账号委托 ANOMALOUS_SA_DELEGATION_MULTISTEP_ADMIN_ACTIVITY Cloud Audit Logs：
管理员活动日志		 检测何时发现针对管理活动的异常多步委托请求。
提升权限：针对数据访问的异常多步服务账号委托 ANOMALOUS_SA_DELEGATION_MULTISTEP_DATA_ACCESS Cloud Audit Logs：
数据访问日志		 检测何时发现针对数据访问活动的异常多步委托请求。
提升权限：针对管理员活动的异常服务账号模拟者 ANOMALOUS_SA_DELEGATION_IMPERSONATOR_ADMIN_ACTIVITY Cloud Audit Logs：
管理员活动日志		 检测委托链中潜在的异常调用者/模拟者何时用于管理活动。
提升权限：针对数据访问的异常服务账号模拟者 ANOMALOUS_SA_DELEGATION_IMPERSONATOR_DATA_ACCESS Cloud Audit Logs：
数据访问日志		 检测委托链中潜在的异常调用者/模拟者何时用于数据访问活动。
提升权限：对敏感 Kubernetes RBAC 对象的更改 GKE_CONTROL_PLANE_EDIT_SENSITIVE_RBAC_OBJECT Cloud Audit Logs：
GKE 管理员活动日志 		为了提升特权，潜在恶意操作者尝试使用 PUT 或 PATCH 请求修改敏感 cluster-admin 角色的 ClusterRole 或 ClusterRoleBinding 基于角色的访问权限控制 (RBAC) 对象。
提升权限：为主证书创建 Kubernetes CSR GKE_CONTROL_PLANE_CSR_FOR_MASTER_CERT Cloud Audit Logs：
GKE 管理员活动日志 		潜在恶意操作者创建了 Kubernetes 主实例证书签名请求 (CSR)，用于向其授予 cluster-admin 访问权限。
提升权限：创建敏感的 Kubernetes 绑定 GKE_CONTROL_PLANE_CREATE_SENSITIVE_BINDING Cloud Audit Logs：
IAM 管理员活动审核日志		 为了提升特权，潜在恶意操作者尝试为 cluster-admin 角色创建新的 RoleBinding 或 ClusterRoleBinding 对象。
提升权限：使用被破解的引导凭据获取 Kubernetes CSR GKE_CONTROL_PLANE_GET_CSR_WITH_COMPROMISED_BOOTSTRAP_CREDENTIALS Cloud Audit Logs：
GKE 数据访问日志 		潜在恶意操作者使用 kubectl 命令和被破解的引导凭据查询了证书签名请求 (CSR)。
提升权限：启动特权 Kubernetes 容器 GKE_CONTROL_PLANE_LAUNCH_PRIVILEGED_CONTAINER Cloud Audit Logs：
GKE 管理员活动日志

潜在恶意操作者创建了包含特权容器或具有提升特权功能的容器的 Pod。

特权容器的 privileged 字段设置为 true。具有提权能力的容器的 allowPrivilegeEscalation 字段设置为 true。如需了解详情，请参阅 Kubernetes 文档中的 SecurityContext v1 core API 参考。
持久性：已创建服务账号密钥 SERVICE_ACCOUNT_KEY_CREATION Cloud Audit Logs：
IAM 管理员活动审核日志		 检测服务帐号密钥的创建过程。服务账号密钥是长期凭据，会增加未经授权访问 Google Cloud 资源的风险。
特权升级：添加了全局关闭脚本 GLOBAL_SHUTDOWN_SCRIPT_ADDED Cloud Audit Logs：
IAM 管理员活动审核日志		 检测何时将全局关闭脚本添加到项目。
持久性：已添加全局启动脚本 GLOBAL_STARTUP_SCRIPT_ADDED Cloud Audit Logs：
IAM 管理员活动审核日志		 检测何时将全局启动脚本添加到项目中。
防护规避：添加了组织级服务账号令牌创建者角色 ORG_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED Cloud Audit Logs：
IAM 管理员活动审核日志		 检测何时在组织级层授予 Service Account Token Creator IAM 角色。
防护规避：添加了项目级服务账号令牌创建者角色 PROJECT_LEVEL_SERVICE_ACCOUNT_TOKEN_CREATOR_ROLE_ADDED Cloud Audit Logs：
IAM 管理员活动审核日志		 检测何时在项目级授予 Service Account Token Creator IAM 角色。
横向移动：从服务账号执行操作系统补丁 OS_PATCH_EXECUTION_FROM_SERVICE_ACCOUNT Cloud Audit Logs：
IAM 管理员活动审核日志		 检测服务帐号何时使用 Compute Engine 补丁功能来更新当前正在运行的任何 Compute Engine 实例的操作系统。
横向移动：已修改的启动磁盘挂接到实例预览 MODIFY_BOOT_DISK_ATTACH_TO_INSTANCE Cloud Audit Logs：
Compute Engine 审核日志		 检测启动磁盘何时与 Compute Engine 实例分离并附加到另一个 Compute Engine 实例，这可能表示有人恶意尝试使用修改后的启动磁盘入侵系统。
凭据访问：在 Kubernetes 命名空间中访问 Secret SECRETS_ACCESSED_IN_KUBERNETES_NAMESPACE Cloud Audit Logs：
GKE 数据访问日志		 检测当前 Kubernetes 命名空间中的服务账号何时访问 Secret 或服务账号令牌。
资源开发：攻击性安全发行版活动 OFFENSIVE_SECURITY_DISTRO_ACTIVITY Cloud Audit Logs：
IAM 管理员活动审核日志 		从已知的渗透测试或攻击性安全发行版中检测成功的 Google Cloud 资源操纵。
提升权限：新服务账号为 Owner 或 Editor SERVICE_ACCOUNT_EDITOR_OWNER Cloud Audit Logs：
IAM 管理员活动审核日志 		检测何时为项目创建了具有 Editor 或 Owner 角色的新服务帐号。
发现：使用的信息收集工具 INFORMATION_GATHERING_TOOL_USED Cloud Audit Logs：
IAM 管理员活动审核日志 		检测到 ScoutSuite 是否正在使用 ScoutSuite，这是一种已知威胁实施者使用的云安全审核工具。
特权升级：生成可疑令牌 SUSPICIOUS_TOKEN_GENERATION_IMPLICIT_DELEGATION Cloud Audit Logs：
IAM 管理员活动审核日志 		检测何时会滥用 iam.serviceAccounts.implicitDelegation 权限从具有更高权限的服务帐号生成访问令牌。
特权升级：生成可疑令牌 SUSPICIOUS_TOKEN_GENERATION_SIGN_JWT Cloud Audit Logs：
IAM 管理员活动审核日志 		检测服务帐号何时使用 serviceAccounts.signJwt 方法为其他服务账号生成访问令牌。
特权升级：生成可疑令牌 SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_OPENID Cloud Audit Logs：
IAM 管理员活动审核日志 		检测 iam.serviceAccounts.getOpenIdToken IAM 权限的跨项目使用情况。

此发现结果不适用于项目级激活。
特权升级：生成可疑令牌 SUSPICIOUS_TOKEN_GENERATION_CROSS_PROJECT_ACCESS_TOKEN Cloud Audit Logs：
IAM 管理员活动审核日志 		检测 iam.serviceAccounts.getAccessToken IAM 权限的跨项目使用情况。

此发现结果不适用于项目级激活。
特权升级：可疑的跨项目权限使用 SUSPICIOUS_CROSS_PROJECT_PERMISSION_DATAFUSION Cloud Audit Logs：
IAM 管理员活动审核日志 		检测 datafusion.instances.create IAM 权限的跨项目使用情况。

此发现结果不适用于项目级激活。
命令和控制：DNS 隧道 DNS_TUNNELING_IODINE_HANDSHAKE Cloud DNS 日志 检测 DNS 隧道工具 Iodine 的握手。
防御规避：VPC 路由伪装尝试 VPC_ROUTE_MASQUERADE Cloud Audit Logs：
IAM 管理员活动审核日志 		检测到伪装为 Google Cloud 默认路由、允许流向外部 IP 地址的出站流量的 VPC 路由的手动创建操作。
影响：停用了结算功能 BILLING_DISABLED_SINGLE_PROJECT Cloud Audit Logs：
IAM 管理员活动审核日志 		检测项目结算功能何时被停用。
影响：停用了结算功能 BILLING_DISABLED_MULTIPLE_PROJECTS Cloud Audit Logs：
IAM 管理员活动审核日志 		检测短时间内是否为组织中的多个项目停用了结算功能。
影响：VPC 防火墙高优先级屏蔽 VPC_FIREWALL_HIGH_PRIORITY_BLOCK Cloud Audit Logs：
IAM 管理员活动审核日志 		检测何时以优先级 0 添加了阻止所有流量的 VPC 防火墙规则。
影响：VPC 防火墙质量规则删除 VPC_FIREWALL_MASS_RULE_DELETION Cloud Audit Logs：
IAM 管理员活动审核日志 		检测到非服务账号大量删除 VPC 防火墙规则的情况。
影响：服务 API 已停用 SERVICE_API_DISABLED Cloud Audit Logs：
IAM 管理员活动审核日志 		检测 Google Cloud 服务 API 何时在生产环境中停用。
影响：代管式实例组自动扩缩设为了上限 MIG_AUTOSCALING_SET_TO_MAX Cloud Audit Logs：
IAM 管理员活动审核日志 		检测何时将代管式实例组配置为最大自动扩缩。
发现：未经授权的服务账号 API 调用 UNAUTHORIZED_SERVICE_ACCOUNT_API_CALL Cloud Audit Logs：
IAM 管理员活动审核日志 		检测服务帐号何时进行未经授权的跨项目 API 调用。
防御规避：匿名会话被授予集群管理员访问权限 ANONYMOUS_SESSIONS_GRANTED_CLUSTER_ADMIN Cloud Audit Logs：
GKE 管理员活动日志		 检测基于角色的访问权限控制 (RBAC) ClusterRoleBinding 对象创建的操作，并将 root-cluster-admin-binding 行为添加到匿名用户。
初始访问：从互联网匿名创建 GKE 资源预览版 GKE_RESOURCE_CREATED_ANONYMOUSLY_FROM_INTERNET Cloud Audit Logs：
GKE 管理员活动日志		 检测来自有效匿名互联网用户的资源创建事件。
初始访问：从互联网匿名修改 GKE 资源预览版 GKE_RESOURCE_MODIFIED_ANONYMOUSLY_FROM_INTERNET Cloud Audit Logs：
GKE 管理员活动日志		 检测来自有效匿名互联网用户的资源操纵事件。

Event Threat Detection 的自定义模块

除了内置检测规则之外，Event Threat Detection 还提供模块模板，可用于创建自定义检测规则。如需了解详情，请参阅 Event Threat Detection 的自定义模块概览。

如需创建没有可用自定义模块模板的检测规则，您可以将日志数据导出到 BigQuery，然后运行唯一或重复的 SQL 查询来捕获威胁模型。

不安全的 Google 群组更改

本部分介绍 Event Threat Detection 如何使用 Google Workspace 日志、Cloud Audit Logs 和 IAM 政策来检测不安全的 Google 群组更改。仅当您在组织级层激活 Security Command Center 时，才支持检测 Google 群组更改。

Google Cloud 客户可以使用 Google 群组管理其组织成员的角色和权限，或对一系列用户应用访问权限政策。管理员可以直接向成员授予角色和权限，然后将成员添加到特定群组，而不是直接向成员授予角色。群组成员会继承群组的所有角色和权限，使成员可以访问特定资源和服务。

虽然 Google 群组是大规模管理访问权限控制的便捷方式，但如果组织或网域外部的外部用户被添加到特权群组（即群组）中，则可能会带来风险授予敏感角色或权限。敏感角色用于控制对安全和网络设置、日志以及个人身份信息 (PII) 的访问权限，不建议外部群组成员使用。

在大型组织中，管理员可能不知道外部成员添加到特权群组的时间。Cloud Audit Logs 会记录向群组授予的角色，但这些日志事件不包含群组成员的相关信息，这可能会掩盖部分群组更改的潜在影响。

如果您与 Google Cloud 共享 Google Workspace 日志，则 Event Threat Detection 会监控您的日志记录流，以查找添加到组织 Google 群组的新成员。由于日志处于组织级层，因此只有当您在组织级层激活 Security Command Center 时，Event Threat Detection 才能扫描 Google Workspace 日志。如果您在项目级层激活 Security Command Center，Event Threat Detection 则无法扫描这些日志。

Event Threat Detection 可识别外部群组成员，并通过 Cloud Audit Logs 审核每个受影响群组的 IAM 角色，检查这些群组是否被授予了敏感角色。这些信息用于检测特权 Google 群组的以下不安全更改：

  • 已加入特权群组的外部群组成员
  • 授予群组外部成员的敏感角色或权限
  • 更改为允许公众加入的特权群组

Event Threat Detection 会将发现结果写入 Security Command Center。发现结果包含新添加的外部成员的电子邮件地址、内部群组（用于启动事件、群组名称）以及与群组关联的敏感角色。您可以使用这些信息从群组中移除外部成员或撤消授予群组的敏感角色。

如需详细了解 Event Threat Detection 的发现结果，请参阅 Event Threat Detection 规则。

敏感 IAM 角色和权限

本部分介绍 Event Threat Detection 如何定义敏感的 IAM 角色。仅当更改涉及高或中等敏感度角色时，IAM 异常授权和不安全 Google 群组更改等检测才会生成发现结果。角色的敏感度会影响分配给发现结果的严重级别。

  • 高敏感度角色控制组织中的关键服务，包括结算、防火墙设置和日志记录。与这些角色匹配的发现结果会被归类为高严重程度。
  • 中敏感角色具有修改权限，可让主账号更改 Google Cloud 资源；以及查看通常对敏感数据拥有的数据存储服务的权限并执行这些权限。分配给发现结果的严重级别取决于资源：
    • 如果在组织级层授予了中敏感度角色，则发现结果将归类为高严重性。
    • 如果在资源层次结构中的较低级层授予了中敏感角色（文件夹、项目和存储桶等），则发现结果将归类为中严重性。

如果被授予者是外部成员或异常身份（例如长时间处于非活跃状态的主账号），则授予这些敏感角色可能会有危险。向外部成员授予敏感角色会构成潜在的威胁，因为它们可能会被滥用，从而导致账号泄露和数据渗漏。

查找使用这些敏感角色的类别包括：

  • 持久性：IAM 异常授权
    • 子规则：external_service_account_added_to_policy
    • 子规则：external_member_added_to_policy
  • 凭据访问：授予混合群组的敏感角色
  • 提升权限：休眠服务账号被授予敏感角色

查找使用部分敏感角色的类别包括：

  • 持久性：IAM 异常授权
    • 子规则：service_account_granted_sensitive_role_to_member

如 Event Threat Detection 规则中所述，service_account_granted_sensitive_role_to_member 子规则通常同时针对外部和内部成员，因此仅使用一部分敏感角色。

表 1. 高敏感度角色
类别 角色 说明
基本角色：包含针对所有 Google Cloud 服务的数千项权限。 roles/owner 基本角色
roles/editor
安全角色：控制对安全设置的访问权限 roles/cloudkms.* 所有 Cloud Key Management Service 角色
roles/cloudsecurityscanner.* 所有 Web Security Scanner 角色
roles/dlp.* 所有敏感数据保护角色
roles/iam.* 所有 IAM 角色
roles/secretmanager.* 所有 Secret Manager 角色
roles/securitycenter.* 所有 Security Command Center 角色
Logging 角色：控制对组织日志的访问权限 roles/errorreporting.* 所有 Error Reporting 角色
roles/logging.* 所有 Cloud Logging 角色
roles/stackdriver.* 所有 Cloud Monitoring 角色
个人信息角色：控制对个人身份信息（包括银行和联系信息）资源的访问权限 roles/billing.* 所有 Cloud Billing 角色
roles/healthcare.* 所有 Cloud Healthcare API 角色
roles/essentialcontacts.* 所有重要联系人角色
网络角色：控制对组织网络设置的访问权限 roles/dns.* 所有 Cloud DNS 角色
roles/domains.* 所有 Cloud Domains 角色
roles/networkconnectivity.* 所有 Network Connectivity Center 角色
roles/networkmanagement.* 所有 Network Connectivity Center 角色
roles/privateca.* 所有 Certificate Authority Service 角色
服务角色：控制对 Google Cloud 中服务资源的访问权限 roles/cloudasset.* 所有 Cloud Asset Inventory 角色
roles/servicedirectory.* 所有 Service Directory 角色
roles/servicemanagement.* 所有 Service Management 角色
roles/servicenetworking.* 所有 Service Networking 角色
roles/serviceusage.* 所有 Service Usage 角色
Compute Engine 角色：控制对 Compute Engine 虚拟机的访问，这些虚拟机承担长时间运行的作业并与防火墙规则相关联。

roles/compute.admin

roles/compute.instanceAdmin

roles/compute.instanceAdmin.v1

roles/compute.loadBalancerAdmin

roles/compute.networkAdmin

roles/compute.orgFirewallPolicyAdmin

roles/compute.orgFirewallPolicyUser

roles/compute.orgSecurityPolicyAdmin

roles/compute.orgSecurityPolicyUser

roles/compute.orgSecurityResourceAdmin

roles/compute.osAdminLogin

roles/compute.publicIpAdmin

roles/compute.securityAdmin

roles/compute.storageAdmin

roles/compute.xpnAdmin

 所有 Compute EngineAdmin 和 Editor 角色
表 2. 中等敏感度角色
类别 角色 说明
修改角色：包含更改 Google Cloud 资源权限的 IAM 角色

示例：

roles/storage.objectAdmin

roles/file.editor

roles/source.writer

roles/container.developer

 角色名称通常以标题为 Admin、Owner、Editor 或 Writer 结尾。

展开表最后一行中的节点，以查看所有中敏感度角色

数据存储角色 ：IAM 角色，包含用于查看和执行数据存储服务的权限

示例：

roles/cloudsql.viewer

roles/cloudsql.client

roles/bigquery.dataViewer

roles/bigquery.user

roles/spanner.databaseReader

roles/spanner.databaseUser

 展开表最后一行中的节点，以查看所有中敏感度角色
所有中等敏感度角色

Access Approval
roles/accessapproval.approver
roles/accessapproval.configEditor

Access Context Manager
roles/accesscontextmanager.gcpAccessAdmin
roles/accesscontextmanager.policyAdmin
roles/accesscontextmanager.policyEditor

操作
roles/actions.Admin

AI Platform
roles/ml.admin
roles/ml.developer
roles/ml.jobOwner
roles/ml.modelOwner
roles/ml.modelUser

API 网关
roles/apigateway.admin

App Engine
roles/appengine.appAdmin
roles/appengine.appCreator
roles/appengine.serviceAdmin

AutoML
roles/automl.admin
roles/automl.editor

BigQuery
roles/bigquery.admin
roles/bigquery.dataEditor
roles/bigquery.dataOwner
roles/bigquery.dataViewer
roles/bigquery.resourceAdmin
roles/bigquery.resourceEditor
roles/bigquery.resourceViewer
roles/bigquery.user

Binary Authorization
roles/binaryauthorization.attestorsAdmin
roles/binaryauthorization.attestorsEditor
roles/binaryauthorization.policyAdmin
roles/binaryauthorization.policyEditor

Bigtable
roles/bigtable.admin
roles/bigtable.reader
roles/bigtable.user

Cloud Build
roles/cloudbuild.builds.builder
roles/cloudbuild.builds.editor

Cloud Deployment Manager
roles/deploymentmanager.editor
roles/deploymentmanager.typeEditor

Cloud Endpoints
roles/endpoints.portalAdminBeta 版

Cloud Functions
roles/cloudfunctions.admin
roles/cloudfunctions.developer
roles/cloudfunctions.invoker

Cloud IoT
roles/cloudiot.admin
roles/cloudiot.deviceController
roles/cloudiot.editor
roles/cloudiot.provisioner

Cloud Life Sciences
roles/genomics.admin
roles/genomics.admin
roles/lifesciences.admin
roles/lifesciences.editor

Cloud Monitoring
roles/monitoring.admin
roles/monitoring.alertPolicyEditor
roles/monitoring.dashboardEditor
roles/monitoring.editor
roles/monitoring.metricWriter
roles/monitoring.notificationChannelEditor
roles/monitoring.servicesEditor
roles/monitoring.uptimeCheckConfigEditor

Cloud Run
roles/run.admin
roles/run.developer

Cloud Scheduler
roles/cloudscheduler.admin

Cloud Source Repositories
roles/source.admin
roles/source.writer

Spanner
roles/spanner.admin
roles/spanner.backupAdmin
roles/spanner.backupWriter
roles/spanner.databaseAdmin
roles/spanner.restoreAdmin
roles/spanner.databaseReader
roles/spanner.databaseUser

Cloud Storage
roles/storage.admin
roles/storage.hmacKeyAdmin
roles/storage.objectAdmin
roles/storage.objectCreator
roles/storage.objectViewer
roles/storage.legacyBucketOwner
roles/storage.legacyBucketWriter
roles/storage.legacyBucketReader
roles/storage.legacyObjectOwner
roles/storage.legacyObjectReader

Cloud SQL
roles/cloudsql.admin
roles/cloudsql.editor
roles/cloudsql.client
roles/cloudsql.instanceUser
roles/cloudsql.viewer

Cloud Tasks
roles/cloudtasks.admin
roles/cloudtasks.enqueuer
roles/cloudtasks.queueAdmin
roles/cloudtasks.taskDeleter

Cloud TPU
tpu.admin

Cloud Trace
roles/cloudtrace.admin
roles/cloudtrace.agent

Compute Engine
roles/compute.imageUser
roles/compute.osLoginExternalUser
roles/osconfig.guestPolicyAdmin
roles/osconfig.guestPolicyEditor
roles/osconfig.osPolicyAssignmentAdmin
roles/osconfig.osPolicyAssignmentEditor
roles/osconfig.patchDeploymentAdmin

Artifact Analysis
roles/containeranalysis.admin
roles/containeranalysis.notes.attacher
roles/containeranalysis.notes.editor
roles/containeranalysis.occurrences.editor

Data Catalog
roles/datacatalog.admin
roles/datacatalog.categoryAdmin
roles/datacatalog.entryGroupCreator
roles/datacatalog.entryGroupOwner
roles/datacatalog.entryOwner

Dataflow
roles/dataflow.admin
roles/dataflow.developer

Dataproc
roles/dataproc.admin
roles/dataproc.editor

Dataproc Metastore
roles/metastore.admin
roles/metastore.editor

Datastore
roles/datastore.importExportAdmin
roles/datastore.indexAdmin
roles/datastore.owner
roles/datastore.user

Eventarc
roles/eventarc.admin
roles/eventarc.developer
roles/eventarc.eventReceiver

Filestore
roles/file.editor

Firebase
roles/firebase.admin
roles/firebase.analyticsAdmin
roles/firebase.developAdmin
roles/firebase.growthAdmin
roles/firebase.qualityAdmin
roles/firebaseabt.admin
roles/firebaseappcheck.admin
roles/firebaseappdistro.admin
roles/firebaseauth.admin
roles/firebasecrashlytics.admin
roles/firebasedatabase.admin
roles/firebasedynamiclinks.admin
roles/firebasehosting.admin
roles/firebaseinappmessaging.admin
roles/firebaseml.admin {2 /
{2 /
{2 /






roles/firebasenotifications.adminroles/firebaseperformance.adminroles/firebasepredictions.adminroles/firebaserules.adminroles/firebasestorage.adminroles/cloudconfig.adminroles/cloudtestservice.testAdmin

Game Servers
roles/gameservices.admin

Google Cloud VMware Engine
vmwareengine.vmwareengineAdmin

Google Kubernetes Engine
roles/container.admin
roles/container.clusterAdmin
roles/container.developer

Google Kubernetes Engine Hub
roles/gkehub.admin
roles/gkehub.gatewayAdmin
roles/gkehub.connect

Google Workspace
roles/gsuiteaddons.developer

Identity-Aware Proxy
roles/iap.admin
roles/iap.settingsAdmin

Managed Service for Microsoft Active Directory
roles/managedidentities.admin
roles/managedidentities.domainAdmin
roles/managedidentities.viewer

Memorystore for Redis
roles/redis.admin
roles/redis.editor

On-Demand Scanning API
roles/ondemandscanning.admin

Ops Config Monitoring
roles/opsconfigmonitoring.resourceMetadata.writer

组织政策服务
roles/axt.admin
roles/orgpolicy.policyAdmin

其他角色
roles/autoscaling.metricsWriter
roles/autoscaling.sitesAdmin
roles/autoscaling.stateWriter
roles/chroniclesm.admin
roles/dataprocessing.admin
roles/earlyaccesscenter.admin
roles/firebasecrash.symbolMappingsAdmin
roles/identityplatform.admin
roles/identitytoolkit.admin
roles/oauthconfig.editor
roles/retail.admin
roles/retail.editor
roles/runtimeconfig.admin

邻近区域信标
roles/proximitybeacon.attachmentEditor
roles/proximitybeacon.beaconEditor

Pub/Sub
roles/pubsub.admin
roles/pubsub.editor

Pub/Sub Lite
roles/pubsublite.admin
roles/pubsublite.editor
roles/pubsublite.publisher

reCAPTCHA Enterprise
roles/recaptchaenterprise.admin
roles/recaptchaenterprise.agent

建议
roles/automlrecommendations.admin
roles/automlrecommendations.editor

Recommender
roles/recommender.billingAccountCudAdmin
roles/recommender.cloudAssetInsightsAdmin
roles/recommender.cloudsqlAdmin
roles/recommender.computeAdmin
roles/recommender.firewallAdmin
roles/recommender.iamAdmin
roles/recommender.productSuggestionAdmin
roles/recommender.projectCudAdmin

Resource Manager
roles/resourcemanager.folderAdmin
roles/resourcemanager.folderCreator
roles/resourcemanager.folderEditor
roles/resourcemanager.folderIamAdmin
roles/resourcemanager.folderMover
roles/resourcemanager.lienModifier
roles/resourcemanager.organizationAdmin
roles/resourcemanager.projectCreator
roles/resourcemanager.projectDeleter
roles/resourcemanager.projectIamAdmin
roles/resourcemanager.projectMover
roles/resourcemanager.tagAdmin

资源设置
roles/resourcesettings.admin

无服务器 VPC 访问通道
roles/vpcaccess.admin

服务使用者管理
roles/serviceconsumermanagement.tenancyUnitsAdmin

Storage Transfer Service
roles/storagetransfer.admin
roles/storagetransfer.user

Vertex AI
roles/aiplatform.admin
roles/aiplatform.featurestoreAdmin
roles/aiplatform.migrator
roles/aiplatform.user

Vertex AI Workbench 用户管理的笔记本
roles/notebooks.admin
roles/notebooks.legacyAdmin

Workflows
roles/workflows.admin
roles/workflows.editor

日志类型和激活要求

本部分列出 Event Threat Detection 使用的日志、Event Threat Detection 在每个日志中查找的威胁，以及要启用每个日志所需执行的操作（如有需要）。

只有在满足以下所有条件时，您才需要为 Event Threat Detection 启用日志：

  • 您正在使用会写入日志的产品或服务。
  • 您需要保护产品或服务免受 Event Threat Detection 在日志中检测到的威胁。
  • 该日志为数据访问审核日志或其他日志，默认处于关闭状态。

有一些威胁可能会在多个日志中检测到。如果 Event Threat Detection 可以在已启用的日志中检测到某一威胁，则没有必要为了检测同一威胁而启用其他日志。

如果日志未在本部分中列出，则 Event Threat Detection 不会扫描该日志，即使该日志已启用也是如此。如需了解详情，请参阅潜在的冗余日志扫描。

如下表所述，某些日志类型仅在组织级层提供。如果您在项目级层激活 Security Command Center，则 Event Threat Detection 不会扫描这些日志，也不会生成任何发现结果。

潜在的冗余日志扫描

Event Threat Detection 可以通过扫描以下任一日志来对恶意软件进行网络检测：

  • Cloud DNS 日志记录
  • Cloud NAT 日志记录
  • 防火墙规则日志记录
  • VPC 流日志

如果您已在使用 Cloud DNS 日志记录，Event Threat Detection 可以通过网域解析来检测恶意软件。对于大多数用户而言，Cloud DNS 日志足以帮助其对恶意软件进行网络检测。

如果除了网域解析以外，您还需要了解其他更深层次的信息，则可以启用 VPC 流日志，但该日志可能会产生费用。为了对这些费用进行合理管理，我们建议将汇总间隔增加到 15 分钟，并将采样率降低到 5% 到 10% 之间，但您需要在召回率（较高采样率）和费用管理（较低采样率）之间有一定的权衡。

如果您已在使用防火墙规则日志记录或 Cloud NAT 日志记录，则可以使用这些日志来替代 VPC 流日志。

您只需在 Cloud NAT 日志记录、防火墙规则日志记录和 VPC 流日志中启用一项即可。

需要启用的日志

本部分列出了您可以启用或配置的 Cloud Logging 和 Google Workspace 日志，以增加 Event Threat Detection 可以检测的威胁数量。

某些威胁（例如由服务账号的异常模拟或委托构成的威胁）可以在大多数审核日志中找到。对于这些类型的威胁，您需要根据所使用的产品和服务确定需要打开的日志。

下表显示了需要针对只能在特定特定日志类型中检测到的威胁开启的特定日志。

Privilege Escalation: AlloyDB Over-Privileged Grant
日志类型 检测到的威胁 需要配置
Cloud DNS 日志记录 Log4j Malware: Bad Domain
Malware: bad domain
Malware: Cryptomining Bad Domain		 启用 Cloud DNS 日志记录功能
Cloud NAT 日志记录 Log4j Malware: Bad IP
Malware: bad IP
Malware: Cryptomining Bad IP		 启用 Cloud NAT 日志记录
防火墙规则日志记录 Log4j Malware: Bad IP
Malware: bad IP
Malware: Cryptomining Bad IP		 启用防火墙规则日志记录。
Google Kubernetes Engine (GKE) 数据访问审核日志 Discovery: Can get sensitive Kubernetes object check
Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials		 激活适用于 GKE 的 Logging 数据访问审核日志
Google Workspace 管理员审核日志 Credential Access: Privileged Group Opened To Public
Impair Defenses: Strong Authentication Disabled
Impair Defenses: Two Step Verification Disabled
Persistence: SSO Enablement Toggle
Persistence: SSO Settings Changed		 与 Cloud Logging 共享 Google Workspace 管理员审核日志

在项目级激活中无法扫描此日志类型。

Google Workspace 登录审核日志 Credential Access: External Member Added To Privileged Group
Impair Defenses: Two Step Verification Disabled
Initial Access: Account Disabled Hijacked
Initial Access: Disabled Password Leak
Initial Access: Government Based Attack
Initial Access: Suspicious Login Blocked		 与 Cloud Logging 共享 Google Workspace 登录审核日志

在项目级激活中无法扫描此日志类型。

外部应用负载均衡器后端服务日志 Initial Access: Log4j Compromise Attempt 启用外部应用负载均衡器日志记录
Cloud SQL MySQL 数据访问审核日志 Exfiltration: Cloud SQL Data Exfiltration 激活适用于 Cloud SQL for MySQL 的 Logging 数据访问审核日志
Cloud SQL PostgreSQL 数据访问审核日志 Exfiltration: Cloud SQL Data Exfiltration
Exfiltration: Cloud SQL Over-Privileged Grant
AlloyDB for PostgreSQL 数据访问审核日志 Privilege Escalation: AlloyDB Database Superuser Writes to User Tables
IAM 数据访问审核日志 Discovery: Service Account Self-Investigation 激活适用于 Resource Manager 的 Logging 数据访问审核日志
SQL Server 数据访问审核日志 Exfiltration: Cloud SQL Data Exfiltration 激活适用于 Cloud SQL for SQL Server 的 Logging 数据访问审核日志
通用数据访问审核日志 Initial Access: Leaked Service Account Key Used
Privilege Escalation: Anomalous Multistep Service Account Delegation for Data Access
Privilege Escalation: Anomalous Service Account Impersonator for Data Access
 激活 Logging 数据访问审核日志。
虚拟机上的 authlogs/authlog Brute force SSH 在虚拟机主机上安装 Ops Agent 或旧版 Logging 代理
VPC 流日志 Log4j Malware: Bad IP
Malware: bad IP
Malware: Cryptomining Bad IP
Outgoing DoS		 启用 VPC 流日志。
备份和灾难恢复审核日志记录 Data destruction: Google Cloud Backup and DR expire all images
Inhibit system recovery: Google Cloud Backup and DR delete policy
Inhibit system recovery: Google Cloud Backup and DR delete template
Inhibit system recovery: Google Cloud Backup and DR delete profile
Inhibit system recovery: Google Cloud Backup and DR delete storage pool
Inhibit system recovery: deleted Google Cloud Backup and DR host
Data destruction: Google Cloud Backup and DR expire image
Data destruction: Google Cloud Backup and DR remove appliance
Inhibit system recovery: Google Cloud Backup and DR remove plan
Impact: Google Cloud Backup and DR reduce backup expiration
Impact: Google Cloud Backup and DR reduce backup frequency
 启用备份和灾难恢复审核日志记录

始终启用的日志

下表列出了无需您开启或配置的 Cloud Logging 日志。这些日志始终处于启用状态，并且 Event Threat Detection 会自动扫描这些日志。

日志类型 检测到的威胁 需要配置
BigQueryAuditMetadata 数据访问日志 渗漏：BigQuery 数据渗漏
渗漏：BigQuery 数据提取
渗漏：BigQuery 数据进入 Google 云端硬盘		 无
Google Kubernetes Engine (GKE) 管理员活动审核日志 提升权限：更改敏感的 Kubernetes RBAC 对象
提升权限：创建敏感的 Kubernetes 绑定
提升权限：启动特权 Kubernetes 容器
提升权限：为主证书创建 Kubernetes CSR 		无
IAM 管理员活动审核日志 凭据访问权限：已向混合群组授予敏感角色
特权升级：已授予敏感角色的休眠服务账号
持久性：为休眠服务账号授予的模拟角色
持久性：IAM 异常授予
预览版持久性：非受管账号授予的敏感角色
 无
MySQL 管理员活动日志 渗漏：Cloud SQL 将备份恢复到外部组织 无
PostgreSQL 管理员活动日志 渗漏：Cloud SQL 将备份恢复到外部组织 无
SQL Server 管理员活动日志 渗漏：Cloud SQL 将备份恢复到外部组织 无
常规管理员活动审核日志 初始访问权限：休眠服务账号操作>
权限升级 - 账号升级活动
初始访问权限：休眠服务账号密钥
初始访问权限：权限遭拒的操作过多
初始访问：使用的服务账号密钥泄露
持久性：Compute Engine 管理员添加了 SSH 密钥
持久性：Compute Engine 管理员添加了启动脚本实例的权限
持久性：新 API 代理 新权限
权限
持久性：新的 API 代理 新权限



 无
VPC Service Controls 审核日志 防护规避：修改 VPC Service Control 预览版 无

后续步骤