Persistencia: El administrador de GCE agregó una secuencia de comandos de inicio
Organiza tus páginas con colecciones
Guarda y categoriza el contenido según tus preferencias.
En este documento, se describe un tipo de resultado de amenazas en Security Command Center. Los detectores de amenazas generan resultados de amenazas cuando detectan una amenaza potencial en tus recursos de Cloud. Para obtener una lista completa de los resultados de amenazas disponibles, consulta el Índice de resultados de amenazas.
Descripción general
La clave de metadatos de instancia de Compute Engine startup-script o startup-script-url se cambió en una instancia que se creó hace más de siete días.
Cómo responder
El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones.
Evalúa con cuidado la información que recopilas en tu investigación para determinar la mejor manera de resolver los resultados.
Para responder a este hallazgo, haz lo siguiente:
Verifica si el cambio lo realizó de manera intencional un miembro o si un adversario lo implementó para agregar un nuevo acceso a tu organización.
Verifica los registros con los siguientes filtros:
protopayload.resource.labels.instance_id=INSTANCE_ID
protoPayload.serviceName="compute.googleapis.com"
((protoPayload.metadata.instanceMetaData.addedMetadataKey : "startup-script" OR
protoPayload.metadata.instanceMetaData.modifiedMetadataKey : "startup-script" ) OR
(protoPayload.metadata.instanceMetaData.addedMetadataKey : "startup-script-url" OR
protoPayload.metadata.instanceMetaData.modifiedMetadataKey : "startup-script-url" ))
logName="organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
Reemplaza lo siguiente:
INSTANCE_ID: el gceInstanceId que se muestra en el resultado
ORGANIZATION_ID: El ID de tu organización.
Eventos de investigación que activan este hallazgo:
[[["Fácil de comprender","easyToUnderstand","thumb-up"],["Resolvió mi problema","solvedMyProblem","thumb-up"],["Otro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Información o código de muestra incorrectos","incorrectInformationOrSampleCode","thumb-down"],["Faltan la información o los ejemplos que necesito","missingTheInformationSamplesINeed","thumb-down"],["Problema de traducción","translationIssue","thumb-down"],["Otro","otherDown","thumb-down"]],["Última actualización: 2025-09-05 (UTC)"],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nThe `startup-script` or `startup-script-url` Compute Engine instance metadata key\nwas changed on an instance that was created more than seven days ago.\n\nHow to respond\n\n\nThe following response plan might be appropriate for this finding, but might also impact operations.\nCarefully evaluate the information you gather in your investigation to determine the best way to\nresolve findings.\n\nTo respond to this finding, do the following:\n\n1. Verify whether the change was done intentionally by a member, or if it was\n implemented by an adversary to introduce new access to your organization.\n\n2. Check logs using the following filters:\n\n ```\n protopayload.resource.labels.instance_id=INSTANCE_ID\n protoPayload.serviceName=\"compute.googleapis.com\"\n ((protoPayload.metadata.instanceMetaData.addedMetadataKey : \"startup-script\" OR\n protoPayload.metadata.instanceMetaData.modifiedMetadataKey : \"startup-script\" ) OR\n (protoPayload.metadata.instanceMetaData.addedMetadataKey : \"startup-script-url\" OR\n protoPayload.metadata.instanceMetaData.modifiedMetadataKey : \"startup-script-url\" ))\n logName=\"organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity\n ```\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003eINSTANCE_ID\u003c/var\u003e: the `gceInstanceId` listed in the finding\n - \u003cvar translate=\"no\"\u003eORGANIZATION_ID\u003c/var\u003e: your organization ID\n3. Research events that trigger this finding:\n\n - **MITRE:** \u003chttps://attack.mitre.org/techniques/T1098/004/\u003e\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
