提升权限：休眠服务账号被授予敏感角色

本文档介绍了 Security Command Center 中的一种威胁发现结果类型。当威胁检测器在您的云资源中检测到潜在威胁时，会生成威胁发现结果。如需查看可用威胁发现结果的完整列表，请参阅威胁发现结果索引。

概览

休眠的用户管理的服务账号被授予敏感 IAM 角色。在此上下文中，如果服务账号处于非活跃状态超过 180 天，则会被视为休眠。

如何应答

如需响应此发现结果，请执行以下操作：

第 1 步：查看发现结果详情

  1. 按照查看发现结果中所述，打开 Privilege Escalation: Dormant Service Account Granted Sensitive Role 发现结果。

  2. 在发现结果详情的摘要标签页上，记下以下字段的值。

    在检测到的内容下：

    • 主账号电子邮件地址：执行授予角色操作的用户
    • 违规访问授权主账号名称：接受敏感角色的休眠服务账号
    • 违规访问授权授予的角色：分配的敏感 IAM 角色

    在受影响的资源下：

    • 资源显示名称：向休眠服务账号授予敏感 IAM 角色的组织、文件夹或项目。

第 2 步：研究攻击和响应方法

  1. 使用服务账号工具（如活动分析器）调查休眠服务账号的活动。
  2. 与主账号电子邮件地址字段的所有者联系。确认合法所有者是否执行了此操作。

第 3 步：检查日志

  1. 在发现结果详细信息面板的摘要标签页上，点击相关链接下的 Cloud Logging URI 链接以打开 Logs Explorer。

第 4 步：实现响应

以下响应方案可能适合此发现结果，但也可能会影响运营。 请仔细评估您在研究中收集的信息，以确定解析发现结果的最佳方法。

  • 与执行操作的项目的所有者联系。
  • 如果主账号电子邮件地址被盗用，请移除其所有者的访问权限。
  • 从休眠服务账号中移除新分配的敏感 IAM 角色。
  • 考虑删除可能被盗用的服务账号，然后轮替和删除可能被破解的项目的所有服务账号访问密钥。删除后，使用该服务账号进行身份验证的资源会失去访问权限。在继续操作之前，您的安全团队应确定所有受影响的资源并与资源所有者合作，以确保业务连续性。
  • 与您的安全团队合作，确定不熟悉的资源，包括 Compute Engine 实例、快照、服务账号和 IAM 用户。删除未使用已获授权的账号创建的资源。
  • 响应来自 Cloud Customer Care 的任何通知。
  • 如需限制谁可以创建服务账号，请使用组织政策服务。
  • 如需识别并修正过于宽松的角色，请使用 IAM Recommender。

后续步骤