Élévation des privilèges: octroi de droits AlloyDB excessifs

Ce document décrit un type de résultat de menace dans Security Command Center. Les résultats de menace sont générés par les détecteurs de menaces lorsqu'ils détectent une menace potentielle dans vos ressources cloud. Pour obtenir la liste complète des résultats de menace disponibles, consultez l'index des résultats de menace.

Présentation

Tous les droits associés à une base de données AlloyDB pour PostgreSQL (ou toutes les fonctions ou procédures d'une base de données) ont été accordés à un ou plusieurs utilisateurs de la base de données.

Comment répondre

Pour répondre à ce résultat, procédez comme suit :

Étape 1 : Examiner les détails du résultat

  1. Ouvrez le résultat Privilege Escalation: AlloyDB Over-Privileged Grant, comme indiqué dans Examiner les résultats.

  2. Dans l'onglet Résumé du panneau "Détails du résultat", examinez les informations des sections suivantes :

    • Ce qui a été détecté, en particulier les champs suivants :
      • Nom à afficher de la base de données : nom de la base de données dans l'instance AlloyDB pour PostgreSQL concernée.
      • Nom d'utilisateur de la base de données : utilisateur PostgreSQL ayant accordé des droits en excès.
      • Requête de base de données : requête PostgreSQL exécutée ayant accordé les droits d'accès.
      • Bénéficiaires des droits pour la base de données : bénéficiaires des droits étrangers.
    • Ressource concernée, en particulier les champs suivants :
      • Nom complet de la ressource : nom de ressource de l'instance AlloyDB pour PostgreSQL concernée.
      • Nom complet du parent : nom de ressource de l'instance AlloyDB pour PostgreSQL.
      • Nom complet du projet : projet Google Cloud contenant l'instance AlloyDB pour PostgreSQL.
    • Liens associés, en particulier les champs suivants :
      • URI Cloud Logging : lien vers les entrées de journalisation.
      • Méthode MITRE ATT&CK : lien vers la documentation MITRE ATT&CK.

  3. Pour afficher le code JSON complet du résultat, cliquez sur l'onglet JSON.

Étape 2 : Vérifier les droits associés à la base de données

  1. Connectez-vous à l'instance AlloyDB pour PostgreSQL.
  2. Regroupez et affichez les droits d'accès pour les éléments suivants :
    • Bases de données. Utilisez la métacommande \l ou \list et vérifiez les droits attribués à la base de données répertoriée dans Nom à afficher de la base de données (voir Étape 1).
    • Fonctions ou procédures. Utilisez la métacommande \df et vérifiez les privilèges attribués aux fonctions ou procédures dans la base de données spécifiée dans Nom à afficher de la base de données (voir Étape 1).

Étape 3 : Vérifier les journaux

  1. Dans la console Google Cloud , accédez à l'explorateur de journaux en cliquant sur le lien URI Cloud Logging (à l'étape 1). La page Explorateur de journaux inclut tous les journaux liés à l'instance Cloud SQL concernée.
  2. Dans l'explorateur de journaux, vérifiez les journaux pgaudit PostgreSQL, qui enregistrent les requêtes exécutées dans la base de données, à l'aide des filtres suivants :
    • protoPayload.request.database="var class="edit">database"

Étape 4 : Rechercher des méthodes d'attaque et de réponse

  1. Examinez l'entrée du framework MITRE ATT&CK pour ce type de résultat : Exfiltration over Web Service (Exfiltration via service Web).
  2. Pour déterminer si d'autres mesures correctives sont nécessaires, combinez vos résultats d'enquête avec la recherche MITRE.

Étape 5 : Mettre en œuvre votre réponse

Le plan de réponse suivant peut être adapté à ce résultat, mais peut également avoir une incidence sur les opérations. Évaluez soigneusement les informations que vous collectez dans votre enquête pour déterminer la meilleure façon de solutionner les menaces détectées.

  • Contactez le propriétaire de l'instance disposant d'autorisations excessives.
  • Envisagez de révoquer toutes les autorisations pour les bénéficiaires listés dans Bénéficiaires de la base de données jusqu'à ce que l'enquête soit terminée.
  • Pour limiter l'accès à la base de données (à partir de Nom à afficher de la base de données de l'Étape 1), révoquez les autorisations inutiles accordées par les bénéficiaires (à partir de Bénéficiaires de la base de données de l'Étape 1).

Étapes suivantes