数据渗漏：BigQuery 数据渗漏

本文档介绍了 Security Command Center 中的一种威胁发现结果类型。当威胁检测器在您的云资源中检测到潜在威胁时，会生成威胁发现结果。如需查看可用威胁发现结果的完整列表，请参阅威胁发现结果索引。

概览

Exfiltration: BigQuery Data Exfiltration 返回的发现结果包含两条可能的子规则之一。每条子规则的严重级别各不相同：

  • 子规则 exfil_to_external_table，严重程度 = HIGH：
    • 资源保存在您的组织或项目外部。
  • 子规则 vpc_perimeter_violation，严重程度 = LOW：
    • VPC Service Controls 阻止了复制操作或尝试访问 BigQuery 资源。

如何应答

如需响应此发现结果，请执行以下操作：

第 1 步：查看发现结果详情

  1. 按照查看发现结果中所述，打开 Exfiltration: BigQuery Data Exfiltration 发现结果。

  2. 在发现结果详细信息面板的摘要标签页上，查看以下部分中列出的值：

    • 检测到的内容：
      • 严重程度：对于子规则 exfil_to_external_table，严重程度为 HIGH；对于子规则 vpc_perimeter_violation，严重程度为 LOW。
      • 主账号电子邮件地址：用于渗漏数据的账号。
      • 渗漏来源：有关从其中渗漏数据的表的详细信息。
      • 渗漏目标：有关在其中存储渗漏数据的表的详细信息。
    • 受影响的资源：
      • 资源全名：从其中渗漏数据的项目、文件夹或组织的完整资源名称。
    • 相关链接：
      • Cloud Logging URI：指向 Logging 条目的链接。
      • MITRE ATT&CK 方法：指向 MITRE ATT&CK 文档的链接。
      • 相关发现结果：指向任何相关发现结果的链接。

  3. 点击来源属性标签页，查看显示的字段，尤其是：

    • detectionCategory：
      • subRuleName：exfil_to_external_table 或 vpc_perimeter_violation。
    • evidence：
      • sourceLogId：
        • projectId：包含来源 BigQuery 数据集的 Google Cloud 项目。
    • properties
      • dataExfiltrationAttempt
        • jobLink：指向渗漏数据的 BigQuery 作业的链接。
        • query：在 BigQuery 数据集上运行的 SQL 查询。

  4. 您可以选择点击 JSON 标签页，查看发现结果的完整 JSON 属性列表。

第 2 步：查看权限和设置

  1. 在 Google Cloud 控制台中，前往 IAM 页面。

    转到 IAM

  2. 如有必要，请选择发现结果 JSON 中 projectId 字段中列出的项目。

  3. 在显示的页面上的过滤条件框中，输入主账号电子邮件地址中列出的电子邮件地址，并检查为该账号分配了哪些权限。

第 3 步：检查日志

  1. 在发现结果详细信息面板的“摘要”标签页上，点击 Cloud Logging URI 链接以打开 Logs Explorer。

  2. 使用以下过滤条件查找与 BigQuery 作业相关的管理员活动日志：

    • protoPayload.methodName="Jobservice.insert"
    • protoPayload.methodName="google.cloud.bigquery.v2.JobService.InsertJob"

第 4 步：研究攻击和响应方法

  1. 查看此发现结果类型的 MITRE ATT&CK 框架条目：Web 服务渗漏：渗漏到 Cloud Storage。
  2. 点击发现结果详情摘要标签页中相关发现结果行上的相关发现结果的链接，以查看相关发现结果。 相关发现结果属于同一实例和网络上的同一发现结果类型。
  3. 如需制定响应方案，请将您的调查结果与 MITRE 研究相结合。

第 5 步：实现响应

以下响应方案可能适合此发现结果，但也可能会影响运营。 请仔细评估您在研究中收集的信息，以确定解析发现结果的最佳方法。

后续步骤