本页面概述了敏感操作服务，该服务是 Security Command Center 的内置服务，可检测何时在您的 Google Cloud 组织、文件夹和项目中执行了可能会损害您的业务的操作（如果这些操作是由恶意操作者执行的）。
在大多数情况下，Sensitive Actions Service 检测到的操作不代表威胁，因为这些操作是由合法用户出于合法目的而执行的。但是，Sensitive Actions Service 无法最终确定合法性，因此您可能需要调查发现结果，然后才能确定它们不代表威胁。
Sensitive Actions Service 工作原理
Sensitive Actions Service 会自动监控组织的所有管理员活动审核日志中是否存在敏感操作。管理员活动审核日志始终处于启用状态，因此您无需启用或以其他方式进行配置。
敏感操作服务检测到由 Google 账号执行的敏感操作时，会将发现结果写入 Google Cloud 控制台中的 Security Command Center 并将一项日志条目写入 Google Cloud Platform 日志。
敏感操作服务发现结果归类为观察，并且可以在 Security Command Center 控制台的发现结果标签页上通过查找类别或来源进行查看。
限制
以下部分介绍了敏感操作服务所适用的限制。
账号支持
敏感操作服务检测仅针对用户账号执行的操作进行。
加密和数据驻留限制
为了检测敏感操作，敏感操作服务必须能够分析 贵组织的管理员活动审核日志。
如果贵组织使用客户管理的加密方式来加密您的日志 密钥 (CMEK) 来加密日志，Sensitive Actions Service 将无法读取您的日志 因此无法在发生敏感操作时提醒您。
如果您将管理员活动审核日志的日志分桶位置配置为 global 位置以外的位置，则无法检测敏感操作。例如，如果您已为某个项目、文件夹或组织中的 _Required 日志存储桶指定了存储位置，则系统无法扫描该项目、文件夹或组织中的日志以查找敏感操作。
“Sensitive Actions Service”发现结果
下表显示了敏感操作服务提供的发现结果类别 可以生成的内容。每个发现结果的显示名称都以检测的操作可用于的 MITRE ATT&CK 策略开头。
| 显示名称 | API 名称 | 说明 |
|---|---|---|
Defense Evasion: Organization Policy Changed |
change_organization_policy |
组织级层的组织政策是在超过 10 天前的组织中创建、更新或删除的。 此发现结果不适用于项目级激活。 |
Defense Evasion: Remove Billing Admin |
remove_billing_admin |
移除了超过 10 天前的组织中的组织级层结算管理员 IAM 角色。 |
Impact: GPU Instance Created |
gpu_instance_created |
创建了一个 GPU 实例，但创建主账号尚未创建 最近在同一个项目中创建了一个 GPU 实例。 |
Impact: Many Instances Created |
many_instances_created |
同一项目负责人在一天内在项目中创建了多个实例。 |
Impact: Many Instances Deleted |
many_instances_deleted |
同一项目负责人在一天内删除了多个实例。 |
Persistence: Add Sensitive Role |
add_sensitive_role |
已在超过 10 天前的组织中授予敏感或高度特权的组织级层 IAM 角色。 此发现结果不适用于项目级激活。 |
Persistence: Project SSH Key Added |
add_ssh_key |
项目级 SSH 密钥已在超过 10 天前的项目中创建。 |