Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai
rilevatori di minacce quando rilevano
una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.
Panoramica
In un'organizzazione, una cartella o un progetto è stata rilevata un'attività di amministrazione anomala per i servizi AI da parte di un attore potenzialmente dannoso. L'attività anomala può essere
una delle seguenti:
Nuova attività di un principal in un'organizzazione, una cartella o un progetto
Attività non visualizzata da tempo, eseguita da un principal in un'organizzazione, una cartella o un progetto
Nei dettagli del problema, nella scheda Riepilogo, prendi nota dei valori dei seguenti campi:
Nella sezione Che cosa è stato rilevato:
Email entità: l'account che ha effettuato la chiamata
Nome metodo: il metodo chiamato
Risorse AI: le risorse AI potenzialmente interessate, come le risorse Vertex AI e il modello di AI.
In Risorsa interessata:
Nome visualizzato risorsa: il nome della risorsa interessata, che può
essere uguale al nome dell'organizzazione, della cartella o del progetto
Percorso risorsa: la posizione nella gerarchia delle risorse in cui si è svolta l'attività
Passaggio 2: ricerca di metodi di attacco e risposta
Esamina le voci del framework MITRE ATT&CK per questo tipo di risultato: Persistenza.
Verifica se l'azione era giustificata nell'organizzazione, nella cartella o nel progetto e se è stata eseguita dal proprietario legittimo dell'account. L'organizzazione, la cartella o il progetto vengono visualizzati nel campo Percorso risorsa e l'account viene visualizzato nella riga Email principale.
Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-05 UTC."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nAnomalous admin activity for AI services by a potentially malicious actor was\ndetected in an organization, folder, or project. Anomalous activity can be\neither of the following:\n\n- New activity by a principal in an organization, folder, or project\n- Activity that has not been seen in a while, performed by a principal in an organization, folder, or project\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nStep 1: Review finding details\n\n1. Open the `Persistence: New AI API Method` finding as directed in [Reviewing findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n2. In the finding details, on the **Summary** tab, note the values of the following fields:\n\n - Under **What was detected** :\n - **Principal email**: the account that made the call\n - **Method name**: the method that was called\n - AI resources: the potentially impacted AI resources, such as the Vertex AI resources and the AI model.\n - Under **Affected resource** :\n - **Resource display name**: the name of the affected resource, which can be the same as the name of the organization, folder, or project\n - **Resource path**: the location in the resource hierarchy where the activity took place\n\nStep 2: Research attack and response methods\n\n1. Review MITRE ATT\\&CK framework entries for this finding type: **Persistence**.\n2. Investigate whether the action was warranted in the organization, folder, or project and whether the action was taken by the legitimate owner of the account. The organization, folder, or project is displayed on the **Resource path** field and the account is displayed in the **Principal email** row.\n3. To develop a response plan, combine your investigation results with MITRE research.\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
