Exfiltration: Wiederherstellung von Cloud SQL-Sicherung in externer Organisation

In diesem Dokument wird ein Typ von Bedrohungsergebnissen in Security Command Center beschrieben. Bedrohungsergebnisse werden von Bedrohungsdetektoren generiert, wenn sie eine potenzielle Bedrohung in Ihren Cloud-Ressourcen erkennen. Eine vollständige Liste der verfügbaren Bedrohungsergebnisse finden Sie im Index der Bedrohungsergebnisse.

Übersicht

Die Daten-Exfiltration aus einer Cloud SQL-Sicherung wird durch Prüfen der Audit-Logs erkannt, wobei festgestellt wird, ob Daten aus der Sicherung in einer Cloud SQL-Instanz außerhalb der Organisation oder des Projekts wiederhergestellt wurden. Alle Cloud SQL-Instanz- und Sicherungstypen werden unterstützt.

So reagieren Sie

Gehen Sie folgendermaßen vor, um auf dieses Ergebnis zu reagieren:

Schritt 1: Ergebnisdetails prüfen

  1. Öffnen Sie ein Exfiltration: Cloud SQL Restore Backup to External Organization-Ergebnis, wie unter Ergebnisse prüfen beschrieben.

  2. Sehen Sie sich im Bereich „Ergebnisdetails“ auf dem Tab Zusammenfassung die Informationen in den folgenden Abschnitten an:

    • Was wurde erkannt?, insbesondere die folgenden Felder:
      • Haupt-E-Mail-Adresse: Das Konto, das zum Exfiltrieren der Daten verwendet wird.
      • Exfiltrationsquellen: Details zur Cloud SQL-Instanz, aus der die Sicherung erstellt wurde.
      • Exfiltrationsziele: Details zur Cloud SQL-Instanz, auf der die Sicherungsdaten wiederhergestellt wurden.
    • Betroffene Ressource, insbesondere die folgenden Felder:
      • Vollständiger Ressourcenname: Der Ressourcenname der wiederhergestellten Sicherung.
      • Vollständiger Projektname: Das Google Cloud Projekt, das die Cloud SQL-Instanz enthält, aus der die Sicherung erstellt wurde.

  3. Zugehörige Links, insbesondere die folgenden Felder:

    • Cloud Logging-URI: Link zu Logging-Einträgen.
    • MITRE-ATT&CK-Methode: Link zur MITRE-ATT&CK-Dokumentation.
    • Ähnliche Ergebnisse: Links zu ähnlichen Ergebnissen.

  4. Klicken Sie auf den Tab JSON.

  5. Achten Sie in der JSON-Datei auf die folgenden Felder.

    • resource:
      • parent_name: der Ressourcenname der Cloud SQL-Instanz, aus der die Sicherung erstellt wurde.
    • evidence:
      • sourceLogId:
        • projectId: das Google Cloud Projekt, das das BigQuery-Quelldataset enthält.
    • properties:
      • restoreToExternalInstance:
        • backupId: die ID des wiederhergestellten Sicherungslaufs

Schritt 2: Berechtigungen und Einstellungen prüfen

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Wählen Sie bei Bedarf das Projekt der Instanz aus, die im Feld projectId im JSON-Ergebnis aufgeführt ist (aus Schritt 1).

  3. Geben Sie auf der angezeigten Seite im Feld Filter die E-Mail-Adresse ein, die in E-Mail-Adresse des Hauptkontos (aus Schritt 1) aufgeführt ist, und prüfen Sie, welche Berechtigungen dem Konto zugewiesen sind.

Schritt 3: Protokolle prüfen

  1. Rufen Sie in der Google Cloud Console den Log-Explorer auf. Klicken Sie dazu auf den Link in Cloud Logging URI (aus Schritt 1). Die Seite Log-Explorer enthält alle Logs, die sich auf die relevante Cloud SQL-Instanz beziehen.

Schritt 4: Angriffs- und Reaktionsmethoden untersuchen

  1. Prüfen Sie den MITRE-ATT&CK-Framework-Eintrag für diesen Ergebnistyp: Exfiltration over Web Service: Exfiltration to Cloud Storage.
  2. Klicken Sie in der Zeile Ähnliche Ergebnisse auf den Link, um ähnliche Ergebnisse aufzurufen. (aus Schritt 1) Ähnliche Ergebnisse haben denselben Ergebnistyp auf derselben Cloud SQL-Instanz.
  3. Um einen Antwortplan zu entwickeln, kombinieren Sie Ihre Prüfungsergebnisse mit der MITRE-Studie.

Schritt 5: Antwort implementieren

Der folgende Antwortplan ist möglicherweise für dieses Ergebnis geeignet, kann sich jedoch auch auf Vorgänge auswirken. Prüfen Sie die Informationen, die Sie im Rahmen Ihrer Untersuchung erfasst haben, sorgfältig, um die beste Lösung für die Ergebnisse zu ermitteln.

  • Den Inhaber des Projekts mit exfiltrierten Daten kontaktieren
  • Ziehen Sie in Betracht, für das Hauptkonto, das in der Zeile Haupt-E-Mail-Adresse auf dem Tab Zusammenfassung der Ergebnisdetails aufgeführt ist, Berechtigungen zu widerrufen, bis die Untersuchung abgeschlossen ist.
  • Um eine weitere Daten-Exfiltration zu stoppen, fügen Sie den betroffenen Cloud SQL-Instanzen restriktive Richtlinien hinzu.
  • Beschränken Sie den Zugriff auf die Cloud SQL Admin API mithilfe von VPC Service Controls.
  • Um IAM-Rollen mit zu vielen Berechtigungen zu identifizieren und zu beheben, verwenden Sie IAM Recommender.

Nächste Schritte