このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。
概要
既知の匿名化 IP アドレスからデータベース インスタンスへのログインが成功しました。これらの匿名化アドレスは Tor ノードです。これは、攻撃者がインスタンスへの初期アクセスを獲得したことを示している可能性があります。
対処方法
この検出結果に対応する手順は次のとおりです。
ステップ 1: 検出結果の詳細を確認する
- 検出結果の確認の説明に従って、
Initial Access: CloudDB Successful login from Anonymizing Proxy IPの検出結果を開きます。 検出結果の詳細パネルの [概要] タブで、次のセクションの情報を確認します。
- 検出された内容（特に次のフィールド）:
- 匿名化 IP アドレスであるインジケーターの IP アドレス。
- データベース表示名: 影響を受けた Cloud SQL PostgreSQL、MySQL、または AlloyDB インスタンスのデータベース名。
- データベース ユーザー名: ユーザー。
- プロジェクトのフルネーム: Cloud SQL インスタンスを含む Google Cloud プロジェクト。
ステップ 2: 攻撃とレスポンスの手法を調査する
- この検出結果タイプに対応する MITRE ATT&CK フレームワーク エントリ（Initial Access）を確認します。
- 追加の修復手順が必要かどうかを判断するために、調査結果を MITRE の調査と組み合わせます。
ステップ 3: レスポンスを実装する
次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。
データベースへの接続が許可されているユーザーを確認します。
- PostgreSQL の場合は、ユーザーを作成して管理するをご覧ください。
- MySQL の場合は、組み込みの認証を使用してユーザーを管理するをご覧ください。
ユーザーのパスワードを変更することを検討してください。
- PostgreSQL の場合は、デフォルト ユーザーのパスワードを設定するをご覧ください。
MySQL の場合は、デフォルト ユーザーのパスワードを設定するをご覧ください。
Cloud SQL インスタンスに接続するクライアントの認証情報を更新します。
次のステップ
- Security Command Center で脅威の検出結果を操作する方法を学習する。
- 脅威の検出結果のインデックスを参照する。
- Google Cloud コンソールで検出結果を確認する方法を学習する。
- 脅威の検出結果を生成するサービスについて学習する。