Akses Awal: Kunci Akun Layanan yang Tidak Aktif Dibuat

Dokumen ini menjelaskan jenis temuan ancaman di Security Command Center. Temuan ancaman dibuat oleh pendeteksi ancaman saat mendeteksi potensi ancaman di resource cloud Anda. Untuk daftar lengkap temuan ancaman yang tersedia, lihat Indeks temuan ancaman.

Ringkasan

Kunci akun layanan yang dikelola pengguna yang tidak aktif telah dibuat. Dalam konteks ini, akun layanan dianggap tidak aktif jika tidak aktif selama lebih dari 180 hari.

Event Threat Detection adalah sumber temuan ini.

Cara merespons

Untuk menanggapi temuan ini, lakukan hal berikut:

Langkah 1: Tinjau detail temuan

  1. Buka temuan Initial Access: Dormant Service Account Key Created seperti yang diarahkan dalam Meninjau temuan.

  2. Dalam detail temuan, di tab Ringkasan, catat nilai kolom berikut.

    Di bagian Yang terdeteksi:

    • Email utama: pengguna yang membuat kunci akun layanan

    Di bagian Resource yang terpengaruh:

    • Nama tampilan resource: kunci akun layanan tidak aktif yang baru dibuat
    • Nama lengkap project: project tempat akun layanan tidak aktif tersebut berada

Langkah 2: Meneliti metode serangan dan respons

  1. Gunakan alat akun layanan, seperti Activity Analyzer, untuk menyelidiki aktivitas akun layanan yang tidak aktif.
  2. Hubungi pemilik kolom Email utama. Konfirmasi apakah pemilik yang sah melakukan tindakan tersebut.

Langkah 3: Terapkan respons Anda

Rencana respons berikut mungkin sesuai untuk temuan ini, tetapi juga dapat memengaruhi operasi. Evaluasi dengan cermat informasi yang Anda kumpulkan dalam penyelidikan untuk menentukan cara terbaik dalam menyelesaikan temuan.

  • Hubungi pemilik project tempat tindakan dilakukan.
  • Hapus akses pemilik Email utama jika email tersebut disusupi.
  • Batalkan validasi kunci akun layanan yang baru dibuat di Halaman Akun Layanan.
  • Pertimbangkan untuk menghapus akun layanan yang berpotensi disusupi dan ganti serta hapus semua kunci akses akun layanan untuk project yang berpotensi disusupi. Setelah dihapus, aplikasi yang menggunakan akun layanan untuk autentikasi akan kehilangan akses. Sebelum melanjutkan, tim keamanan Anda harus mengidentifikasi semua aplikasi yang terpengaruh dan bekerja sama dengan pemilik aplikasi untuk memastikan kelangsungan bisnis.
  • Bekerja samalah dengan tim keamanan Anda untuk mengidentifikasi resource yang tidak dikenal, termasuk instance, snapshot, akun layanan, dan pengguna IAM Compute Engine. Menghapus resource yang tidak dibuat dengan akun yang diizinkan.
  • Merespons notifikasi apa pun dari Cloud Customer Care.
  • Untuk membatasi siapa yang dapat membuat akun layanan, gunakan Layanan Kebijakan Organisasi.
  • Untuk mengidentifikasi dan memperbaiki peran yang terlalu permisif, gunakan Pemberi rekomendasi IAM.

Langkah berikutnya