이 페이지에서는 민감한 작업 서비스에 대한 개요를 제공합니다. 이 서비스는 악의적인 행위자가 수행할 경우 비즈니스 손상을 일으킬 수 있는 작업이 Google Cloud 조직, 폴더, 프로젝트에서 수행될 때 이를 감지하는 Security Command Center 기본 제공 서비스입니다.
대부분의 경우 민감한 작업 서비스에서 감지되는 작업은 합법적인 목적으로 합법적인 사용자가 수행하기 때문에 위협이 되지 않습니다. 그러나 민감한 작업 서비스가 최종적으로 합법성을 결정할 수는 없으므로 위협이 되지 않는다고 판단하기 전까지 발견 항목에 대한 조사가 필요할 수 있습니다.
민감한 작업 서비스의 작동 방법
민감한 작업 서비스는 조직의 모든 관리자 활동 감사 로그에서 민감한 작업을 자동으로 모니터링합니다. 관리자 활동 감사 로그는 항상 켜져 있으므로 이를 사용 설정하거나 특별히 구성할 필요가 없습니다.
민감한 작업 서비스에서 Google 계정으로 수행되는 민감한 작업이 감지되면 민감한 작업 서비스가 Google Cloud 콘솔에서 Security Command Center에 발견 항목을 기록하고 Google Cloud 플랫폼 로그에 로그 항목을 기록합니다.
민감한 작업을 감지하려면 민감한 작업 서비스가 조직의 관리자 활동 감사 로그를 분석할 수 있어야 합니다.
로그 암호화를 위해 조직에서 고객 관리 암호화 키(CMEK)를 사용하여 로그를 암호화할 경우 민감한 작업 서비스가 로그를 읽을 수 없고, 따라서 민감한 작업이 발생할 때 이를 알릴 수 없습니다.
관리자 활동 감사 로그의 로그 버킷 위치를 global 위치가 아닌 위치로 구성한 경우 민감한 작업을 감지할 수 없습니다. 예를 들어 특정 프로젝트, 폴더, 조직에 있는 _Required 로그 버킷에 대해 스토리지 위치를 지정한 경우 해당 프로젝트, 폴더, 또는 조직의 로그는 민감한 작업이 있는지 검사할 수 없습니다.
민감한 작업 서비스 발견 항목
다음 표에서는 민감한 작업 서비스가 생성할 수 있는 발견 항목 범주를 보여줍니다. 각 발견 항목의 표시 이름은 감지된 작업을 사용할 수 있는 MITRE ATT&CK 전술로 시작합니다.
표시 이름
API 이름
설명
Defense Evasion: Organization Policy Changed
change_organization_policy
10일을 초과하는 조직 수준의 조직 정책이 조직에서 생성, 업데이트, 삭제되었습니다.
프로젝트 수준의 활성화에는 이 발견 항목을 사용할 수 없습니다.
Defense Evasion: Remove Billing Admin
remove_billing_admin
10일을 초과하는 조직 수준의 결제 관리자 IAM 역할이 조직에서 삭제되었습니다.
Impact: GPU Instance Created
gpu_instance_created
GPU 인스턴스가 생성되었지만, 최근 주 구성원 만들기로 동일한 프로젝트에서 GPU 인스턴스가 생성되지 않았습니다.
Impact: Many Instances Created
many_instances_created
동일한 주 구성원에 의해 프로젝트에서 많은 인스턴스가 하루에 생성되었습니다.
Impact: Many Instances Deleted
many_instances_deleted
동일한 주 구성원에 의해 프로젝트에서 많은 인스턴스가 하루에 삭제되었습니다.
Persistence: Add Sensitive Role
add_sensitive_role
10일을 초과하는 민감한 또는 권한이 높은 조직 수준의 IAM 역할이 조직에서 부여되었습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2024-12-21(UTC)"],[],[],null,["| Standard, Premium, and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis page provides an overview of Sensitive Actions Service, a built-in service of\nSecurity Command Center that detects when actions are taken in your Google Cloud\norganization, folders, and projects that could be damaging to your business if\nthey are taken by a malicious actor.\n\nIn most cases, the actions that are detected by Sensitive Actions Service\ndo not represent threats, because they are taken by legitimate users\nfor legitimate purposes. However, the Sensitive Actions Service cannot\nconclusively determine legitimacy, so you might need to investigate the\nfindings before you can be sure that they don't represent a threat.\n\nHow Sensitive Actions Service works\n\nSensitive Actions Service automatically monitors all of your organization's\n[Admin Activity audit logs](/logging/docs/audit#admin-activity)\nfor sensitive actions. Admin Activity audit logs are always on, so you do\nnot need to enable or otherwise configure them.\n\nWhen Sensitive Actions Service detects a sensitive action that is taken by a\n[Google account](/iam/docs/overview#google_account),\nSensitive Actions Service\nwrites a finding to Security Command Center in the Google Cloud console\nand a log entry to the [Google Cloud platform\nlogs](/logging/docs/api/platform-logs#sensitive_actions_service).\n\nSensitive Actions Service findings are classified as *observations* and can be\nviewed by finding class or finding source on the **Findings** tab in the\n[Security Command Center console](https://console.cloud.google.com/security/command-center/findings).\n\nRestrictions\n\nThe following sections describe restrictions that apply to Sensitive Actions Service.\n\nAccount support\n\nSensitive Actions Service detection is limited to actions taken by user\naccounts.\n\nEncryption and data residency restrictions\n\nTo detect sensitive actions, Sensitive Actions Service must be able to analyze\nyour organization's [Admin Activity audit logs](/logging/docs/audit#admin-activity).\n\nIf your organization encrypts your logs by using customer-managed encryption\nkeys (CMEK) to encrypt your logs, Sensitive Actions Service cannot read your logs\nand, consequently, cannot alert you when sensitive actions occur.\n\nSensitive actions cannot be detected if you have configured the location of the\nlog bucket for your your Admin Activity Audit Logs to be in a location other\nthan the `global` location. For example, if you have [specified a storage\nlocation](/logging/docs/default-settings#specify-region) for the `_Required`\nlogs bucket in a certain project, folder, or organization, logs from that\nproject, folder, or organization cannot be scanned for sensitive actions.\n\nSensitive Actions Service findings\n\nThe following table shows the finding categories that Sensitive Actions Service\ncan produce. The display name for each finding starts with the [MITRE\nATT\\&CK tactic](https://attack.mitre.org)\nthat the detected action could be used for.\n\n| Display name | API name | Description |\n|------------------------------------------------|------------------------------|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|\n| `Defense Evasion: Organization Policy Changed` | `change_organization_policy` | An organization-level organization policy was created, updated, or deleted, in an organization that is more than 10 days old. This finding isn't available for project-level activations. |\n| `Defense Evasion: Remove Billing Admin` | `remove_billing_admin` | An organization-level billing administrator IAM role was removed, in an organization that is more than 10 days old. |\n| `Impact: GPU Instance Created` | `gpu_instance_created` | A GPU instance was created, where the creating principal has not created a GPU instance in the same project recently. |\n| `Impact: Many Instances Created` | `many_instances_created` | Many instances were created in a project by the same principal in one day. |\n| `Impact: Many Instances Deleted` | `many_instances_deleted` | Many instances were deleted in a project by the same principal in one day. |\n| `Persistence: Add Sensitive Role` | `add_sensitive_role` | A sensitive or highly-privileged organization-level IAM role was granted in an organization that is more than 10 days old. This finding isn't available for project-level activations. |\n| `Persistence: Project SSH Key Added` | `add_ssh_key` | A project-level SSH key was created in a project, for a project that is more than 10 days old. |\n\nWhat's next\n\n- Learn about [using Sensitive Actions Service](/security-command-center/docs/how-to-use-sensitive-actions).\n- Learn how to [investigate and develop response plans](/security-command-center/docs/how-to-investigate-threats) for threats."]]
