En este documento, se describe un tipo de resultado de amenazas en Security Command Center. Los detectores de amenazas generan resultados de amenazas cuando detectan una amenaza potencial en tus recursos de Cloud. Para obtener una lista completa de los resultados de amenazas disponibles, consulta el Índice de resultados de amenazas.
Descripción general
El acceso anómalo a partir de un proxy anónimo se detecta mediante el análisis de los Registros de auditoría de Cloud para las modificaciones del servicio Google Cloud que se originaron en una dirección IP asociada con la red Tor.
Cómo responder
Para responder a este hallazgo, haz lo siguiente:
Paso 1: Revisa los detalles del hallazgo
- Abre un hallazgo de
Evasion: Access from Anonymizing Proxy, como se indica en Revisa los hallazgos. Se abrirá el panel de detalles del hallazgo, en el que se mostrará la pestaña Resumen. En la pestaña Resumen del panel de detalles del hallazgo, revisa los valores que se indican en las siguientes secciones:
- Qué se detectó, especialmente los siguientes campos:
- Correo electrónico principal: La cuenta que realizó los cambios (una cuenta potencialmente comprometida).
- IP: Es la dirección IP del proxy desde la que se realizan los cambios.
- Recurso afectado
- Vínculos relacionados, en especial los siguientes campos:
- URI de Cloud Logging: Es el vínculo a las entradas de Logging.
- Método MITRE ATT&CK: Vínculo a la documentación de MITRE ATT&CK.
- Resultados relacionados: Vínculos a los resultados relacionados
- Qué se detectó, especialmente los siguientes campos:
De manera opcional, haz clic en la pestaña JSON para ver campos de resultados adicionales.
Paso 2: Investiga los métodos de ataque y respuesta
- Revisa la entrada de framework de MITRE ATT&CK de este tipo de resultado: Proxy: Multi-hop Proxy.
- Comunícate con el propietario de la cuenta en el campo
principalEmail. Confirma si el propietario legítimo realizó la acción. - Para desarrollar un plan de respuesta, combina los resultados de la investigación con la investigación del MITRE.
¿Qué sigue?
- Obtén más información para trabajar con los hallazgos de amenazas en Security Command Center.
- Consulta el Índice de resultados de amenazas.
- Obtén información para revisar un hallazgo a través de la consola de Google Cloud .
- Obtén más información sobre los servicios que generan hallazgos de amenazas.