账号的凭证已泄露

本文档介绍了 Security Command Center 中的一种威胁发现结果类型。当威胁检测器在您的云资源中检测到潜在威胁时，会生成威胁发现结果。如需查看可用威胁发现结果的完整列表，请参阅威胁发现结果索引。

概览

当 Google Cloud 服务账号凭据意外在网上泄露或被破解时生成此发现结果。

此发现结果的来源是异常值检测。

如何应答

如需响应此发现结果，请执行以下操作：

第 1 步：查看发现结果详情

  1. 按照查看发现结果详情中所述，打开 account_has_leaked_credentials 发现结果。系统会打开发现结果详细信息面板，以显示摘要标签页。

  2. 在摘要标签页上，查看以下部分中的信息：

  • 检测到的内容
  • 受影响的资源

  1. 点击来源属性标签页并注意以下字段：

    • Compromised_account：可能被盗用的服务账号
    • Project_identifier：包含可能已泄露的账号凭据的项目
    • URL：指向 GitHub 代码库的链接

  2. 如需查看发现结果的完整 JSON，请点击 JSON 标签页。

第 2 步：查看项目和服务账号权限

  1. 在 Google Cloud 控制台中，前往 IAM 页面。

    转到 IAM

  2. 如有必要，选择 Project_identifier 中列出的项目。

  3. 在显示的页面上的过滤条件框中，输入 Compromised_account 中列出的账号名称并检查已分配的权限。

  4. 在 Google Cloud 控制台中，前往服务账号页面。

    转到“服务账号”

  5. 在显示的页面上的过滤条件框中，输入被盗用的服务账号的名称，并检查该服务账号的密钥和密钥创建日期。

第 3 步：检查日志

  1. 在 Google Cloud 控制台中，前往 Logs Explorer。

    前往 Logs Explorer

  2. 在 Google Cloud 控制台工具栏中，选择您的项目。

  3. 在加载的页面上，使用以下过滤条件检查新的或更新后的 IAM 资源中的活动日志：

    • proto_payload.method_name="google.iam.admin.v1.CreateServiceAccount"
    • protoPayload.methodName="SetIamPolicy"
    • resource.type="gce_instance" AND log_name="projects/Project_identifier/logs/cloudaudit.googleapis.com%2Factivity"
    • protoPayload.methodName="InsertProjectOwnershipInvite"
    • protoPayload.authenticationInfo.principalEmail="Compromised_account"

第 4 步：研究攻击和响应方法

  1. 查看此发现结果类型的 MITRE ATT&CK 框架条目：有效账号：云账号。
  2. 点击 relatedFindingURI 中的链接查看相关发现结果。相关发现结果属于同一实例和网络上的同一发现结果类型。
  3. 如需制定响应方案，请将您的调查结果与 MITRE 研究相结合。

第 5 步：实现响应

以下响应方案可能适合此发现结果，但也可能会影响运营。 请仔细评估您在研究中收集的信息，以确定解析发现结果的最佳方法。

  • 与凭据被泄露的项目的所有者联系。
  • 考虑删除被盗用的服务账号，然后轮替和删除被破解的项目的所有服务账号访问密钥。删除后，使用该服务账号进行身份验证的资源会失去访问权限。在继续操作之前，您的安全团队应确定所有受影响的资源并与资源所有者合作，以确保业务连续性。
  • 与您的安全团队合作，确定不熟悉的资源，包括 Compute Engine 实例、快照、服务账号和 IAM 用户。删除未使用已获授权的账号创建的资源。
  • 响应来自 Google Cloud 支持团队的通知。
  • 如需限制谁可以创建服务账号，请使用组织政策服务。
  • 如需识别并修正过于宽松的角色，请使用 IAM Recommender。
  • 打开 URL 链接并删除已泄露的凭据。获取有关已被破解的账号的更多信息，然后联系所有者。

后续步骤