Impacto: host de backup e DR do Google Cloud excluído
Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Este documento descreve um tipo de descoberta de ameaça no Security Command Center. As descobertas de ameaças são geradas por
detectores de ameaças quando eles detectam
uma ameaça potencial nos seus recursos da nuvem. Para uma lista completa das descobertas de ameaças disponíveis, consulte o índice de descobertas de ameaças.
Visão geral
A detecção de ameaças a eventos examina registros de auditoria para detectar a exclusão de hosts que
executam aplicativos protegidos pelo serviço de backup e DR. Depois que um host é excluído,
não é possível fazer backup dos aplicativos associados a ele.
Como responder
Para responder a essa descoberta, faça o seguinte:
Etapa 1: verificar os detalhes da descoberta
Abra a descoberta Impact: Deleted Google Cloud Backup and DR host, conforme instruído em Como verificar descobertas. O painel de detalhes da descoberta é aberto na guia Resumo.
Na guia Resumo, confira as informações nas seguintes seções:
O que foi detectado, especialmente os seguintes campos:
Nome do aplicativo: o nome de um banco de dados ou VM conectado ao backup e DR
Nome do host: o nome de um host conectado ao backup e DR
Assunto principal: um usuário que executou uma ação com sucesso
Recurso afetado
Nome de exibição do recurso: o projeto do qual o host foi excluído.
Links relacionados, principalmente os seguintes campos:
Método MITRE ATTACK: link para a documentação do MITRE ATT&CK
URI do Logging: link para abrir a Análise de registros
Etapa 2: pesquisar métodos de ataque e resposta
Entre em contato com o proprietário da conta de serviço no campo E-mail principal.
Confirme se o proprietário legítimo realizou a ação.
Etapa 3: implementar a resposta
O plano de resposta a seguir pode ser apropriado para essa descoberta, mas também pode afetar as operações.
Avalie cuidadosamente as informações coletadas na investigação para determinar a melhor maneira de
resolver as descobertas.
No projeto em que a ação foi realizada, acesse o console de gerenciamento.
Confirme se o host excluído não está mais na lista de hosts de backup e DR.
Selecione a opção Adicionar host para adicionar novamente o host excluído.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-09-05 UTC."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nEvent Threat Detection examines audit logs to detect the deletion of hosts that are\nrunning applications protected by the Backup and DR Service. After a host is deleted,\napplications that are associated with the host cannot be backed up.\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nStep 1: Review finding details\n\n1. Open the `Impact: Deleted Google Cloud Backup and DR host` finding, as detailed in [Reviewing findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings). The details panel for the finding opens to the **Summary** tab.\n2. On the **Summary** tab, review the information in the following sections:\n - **What was detected** , especially the following fields:\n - **Application name**: the name of a database or VM connected to Backup and DR\n - **Host name**: the name of a host connected to Backup and DR\n - **Principal subject**: a user that has successfully executed an action\n - **Affected resource**\n - **Resource display name**: the project in which the host was deleted\n - **Related links** , especially the following fields:\n - **MITRE ATTACK method**: link to the MITRE ATT\\&CK documentation\n - **Logging URI** : link to open the **Logs Explorer**\n\nStep 2: Research attack and response methods\n\nContact the owner of the service account in the **Principal email** field.\nConfirm whether the legitimate owner conducted the action.\n\nStep 3: Implement your response\n\n\nThe following response plan might be appropriate for this finding, but might also impact operations.\nCarefully evaluate the information you gather in your investigation to determine the best way to\nresolve findings.\n\n1. In the project where the action was taken, navigate to the management console.\n2. Confirm that the deleted host is no longer in the list of Backup and DR hosts.\n3. Select the **Add Host** option to re-add the deleted host.\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
