Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai
rilevatori di minacce quando rilevano
una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.
Panoramica
È stata rilevata un'attività amministrativa anomala da parte di un soggetto potenzialmente dannoso in un'organizzazione, una cartella o un progetto. L'attività anomala può essere una delle seguenti:
Nuova attività di un principal in un'organizzazione, una cartella o un progetto
Attività che non viene visualizzata da un po' di tempo da un principal in un'organizzazione, una cartella o un progetto
Nei dettagli del problema, nella scheda Riepilogo, prendi nota dei valori dei seguenti campi:
Nella sezione Che cosa è stato rilevato:
Email entità: l'account che ha effettuato la chiamata
Nome del servizio: il nome dell'API del servizio Google Cloud utilizzato nell'azione
Nome metodo: il metodo chiamato
In Risorsa interessata:
Nome visualizzato risorsa: il nome della risorsa interessata, che potrebbe corrispondere al nome dell'organizzazione, della cartella o del progetto
Percorso risorsa: la posizione nella gerarchia delle risorse in cui si è svolta l'attività
Passaggio 2: ricerca di metodi di attacco e risposta
Esamina le voci del framework MITRE ATT&CK per questo tipo di risultato: Persistenza.
Verifica se l'azione era giustificata nell'organizzazione, nella cartella o nel progetto e se è stata eseguita dal proprietario legittimo dell'account. L'organizzazione, la cartella o il progetto vengono visualizzati nella riga Percorso risorsa e l'account viene visualizzato nella riga Email principale.
Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-09 UTC."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nAnomalous admin activity by a potentially malicious actor was detected in an\norganization, folder, or project. Anomalous activity can be either of the following:\n\n- New activity by a principal in an organization, folder, or project\n- Activity that has not been seen in a while by a principal in an organization, folder, or project\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nStep 1: Review finding details\n\n1. Open the `Persistence: New API Method` finding as directed in [Reviewing findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n2. In the finding details, on the **Summary** tab, note the values of the following fields:\n\n - Under **What was detected** :\n - **Principal email**: the account that made the call\n - **Service name**: the API name of the Google Cloud service used in the action\n - **Method name**: the method that was called\n - Under **Affected resource** :\n - **Resource display name**: the name of the affected resource, which could be the same as the name of the organization, folder, or project\n - **Resource path**: the location in the resource hierarchy where the activity took place\n\nStep 2: Research attack and response methods\n\n1. Review MITRE ATT\\&CK framework entries for this finding type: **Persistence**.\n2. Investigate whether the action was warranted in the organization, folder, or project and whether the action was taken by the legitimate owner of the account. The organization, folder, or project is displayed on the **Resource path** row and the account is displayed on the **Principal email** row.\n3. To develop a response plan, combine your investigation results with MITRE research.\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
