初始访问：已创建休眠服务账号密钥

本文档介绍了 Security Command Center 中的一种威胁发现结果类型。当威胁检测器在您的云资源中检测到潜在威胁时，会生成威胁发现结果。如需查看可用威胁发现结果的完整列表，请参阅威胁发现结果索引。

概览

创建了休眠的用户管理的服务账号密钥。在此上下文中，如果服务账号处于非活跃状态超过 180 天，则会被视为休眠。

如何应答

如需响应此发现结果，请执行以下操作：

第 1 步：查看发现结果详情

  1. 按照查看发现结果中所述，打开 Initial Access: Dormant Service Account Key Created 发现结果。

  2. 在发现结果详情的摘要标签页上，记下以下字段的值。

    在检测到的内容下：

    • 主账号电子邮件地址：创建服务账号密钥的用户

    在受影响的资源下：

    • 资源显示名：新创建的休眠服务账号密钥
    • 项目全名：休眠服务账号所在的项目

第 2 步：研究攻击和响应方法

  1. 使用服务账号工具（如活动分析器）调查休眠服务账号的活动。
  2. 与主账号电子邮件地址字段的所有者联系。确认合法所有者是否执行了此操作。

第 3 步：实现响应

以下响应方案可能适合此发现结果，但也可能会影响运营。 请仔细评估您在研究中收集的信息，以确定解析发现结果的最佳方法。

  • 与执行操作的项目的所有者联系。
  • 如果主账号电子邮件地址被盗用，请移除其所有者的访问权限。
  • 在“服务账号”页面中使新创建的服务账号密钥失效。
  • 考虑删除可能被盗用的服务账号，然后轮替和删除可能被破解的项目的所有服务账号访问密钥。删除后，使用该服务账号进行身份验证的应用会失去访问权限。在继续操作之前，您的安全团队应确定所有受影响的应用并与应用所有者合作，以确保业务连续性。
  • 与您的安全团队合作，确定不熟悉的资源，包括 Compute Engine 实例、快照、服务账号和 IAM 用户。删除未使用已获授权的账号创建的资源。
  • 响应来自 Cloud Customer Care 的任何通知。
  • 如需限制谁可以创建服务账号，请使用组织政策服务。
  • 如需识别并修正过于宽松的角色，请使用 IAM Recommender。

后续步骤