En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.
Información general
Alguien ha aprobado manualmente una solicitud de firma de certificado (CSR). Crear un certificado para la autenticación de clústeres es un método habitual que utilizan los atacantes para crear un acceso persistente a un clúster vulnerado. Los permisos asociados al certificado varían en función del asunto que incluyan, pero pueden ser de alto privilegio. Para obtener más información, consulta el mensaje de registro de esta alerta.
Event Threat Detection es la fuente de esta detección.
Cómo responder
El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.
Para responder a esta observación, sigue estos pasos:
- Revisa los registros de auditoría de Cloud Logging y las alertas adicionales de otros eventos relacionados con CSR para determinar si las acciones relacionadas con CSR son una actividad esperada por la entidad principal.
- Determina si hay otros signos de actividad maliciosa por parte de la entidad de seguridad en los registros de auditoría de Cloud Logging. Por ejemplo:
- ¿El director que aprobó la CSR era diferente del que la creó?
- ¿La CSR especificó un firmante integrado, pero al final tuvo que aprobarse manualmente porque no cumplía los criterios del firmante?
- ¿Ha probado el principal a solicitar, crear, aprobar o eliminar otras CSRs?
- Si no se esperaba una aprobación de CSR o se determina que es maliciosa, el clúster requerirá una rotación de credenciales para invalidar el certificado. Consulta las directrices para rotar las credenciales de tu clúster.
Siguientes pasos
- Consulta cómo trabajar con las detecciones de amenazas en Security Command Center.
- Consulta el índice de hallazgos de amenazas.
- Consulta cómo revisar un resultado a través de la consola Google Cloud .
- Consulta información sobre los servicios que generan detecciones de amenazas.