回避: 匿名化プロキシからのアクセス

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

匿名プロキシからの異常なアクセスは、Cloud Audit Logs で Tor ネットワークに関連付けられた IP アドレスから発生した Google Cloud サービスの変更を調査することで検出されます。

顧客への対処方法

この検出結果に対応する手順は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、Evasion: Access from Anonymizing Proxy の検出結果を開きます。検出結果の詳細パネルが開き、[概要] タブが表示されます。

  2. 検出結果の詳細パネルの [概要] タブで、次のセクションに表示されている値を確認します。

    • 検出された内容（特に次のフィールド）:
      • プリンシパルのメール: 変更を行ったアカウント（不正使用の疑いがあるアカウント）
      • IP: 変更を行ったプロキシの IP アドレス。
    • 影響を受けているリソース
    • 関連リンク（特に次のフィールド）:
      • Cloud Logging URI: Logging エントリへのリンク。
      • MITRE ATT&CK 方式: MITRE ATT&CK ドキュメントへのリンク。
      • 関連する検出結果: 関連する検出結果へのリンク。

  3. 必要に応じて、[JSON] タブをクリックして、追加の検出結果フィールドを表示します。

ステップ 2: 攻撃とレスポンスの手法を調査する

  1. この検出結果タイプに対応する MITRE ATT＆CK フレームワークのエントリ（プロキシ: マルチホップ プロキシ）を確認します。
  2. [principalEmail] フィールドにあるアカウントのオーナーに問い合わせてください。正当なオーナーによって行われた操作かどうか確認してください。
  3. 対応計画を策定するには、独自の調査結果と MITRE の調査を組み合わせる必要があります。

次のステップ