Persistenza: nuova geografia

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.

Panoramica

Questo risultato non è disponibile per le attivazioni a livello di progetto.

Un utente IAM o un account di servizio accede a Google Cloud da una posizione anomala, in base alla geolocalizzazione dell'indirizzo IP della richiesta.

Come rispondere

Per rispondere a questo risultato:

Passaggio 1: esamina i dettagli del risultato

  1. Apri un risultato Persistence: New Geography come indicato in Esaminare i dettagli dei risultati in precedenza in questa pagina. Il riquadro dei dettagli del risultato si apre nella scheda Riepilogo.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:

  • Che cosa è stato rilevato, in particolare i seguenti campi:
    • Email principale: l'account utente potenzialmente compromesso.
  • Risorsa interessata, in particolare i seguenti campi:
    • Nome completo del progetto: il progetto che contiene l'account utente potenzialmente compromesso.
  • Link correlati, in particolare i seguenti campi:
    • URI Cloud Logging: link alle voci di log.
    • Metodo MITRE ATT&CK: link alla documentazione MITRE ATT&CK.
    • Risultati correlati: link a eventuali risultati correlati.
  1. Nella visualizzazione dettagliata del risultato, fai clic sulla scheda JSON.

  2. Nel JSON, prendi nota dei seguenti campi sourceProperties:

    • affectedResources:
      • gcpResourceName: la risorsa interessata
    • evidence:
      • sourceLogId:
      • projectId: l'ID del progetto che contiene il problema.
    • properties:
      • anomalousLocation:
      • anomalousLocation: la posizione attuale stimata dell'utente.
      • callerIp: l'indirizzo IP esterno.
      • notSeenInLast: il periodo di tempo utilizzato per stabilire una base di riferimento per il comportamento normale.
      • typicalGeolocations: le località in cui l'utente accede di solito alle risorseGoogle Cloud .

Passaggio 2: rivedi le autorizzazioni del progetto e dell'account

  1. Nella console Google Cloud , vai alla pagina IAM.

    Vai a IAM

  2. Se necessario, seleziona il progetto elencato nel campo projectID nel JSON del risultato.

  3. Nella pagina visualizzata, nella casella Filtro, inserisci il nome dell'account elencato in Email principale e controlla i ruoli concessi.

Passaggio 3: controlla i log

  1. Nella scheda Riepilogo del riquadro dei dettagli del problema, fai clic sul link URI Cloud Logging per aprire Esplora log.
  2. Se necessario, seleziona il progetto.
  3. Nella pagina che si carica, controlla i log per l'attività delle risorse IAM nuove o aggiornate utilizzando i seguenti filtri:
    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.methodName="google.iam.admin.v1.UpdateRole"
    • protoPayload.methodName="google.iam.admin.v1.CreateRole"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

Passaggio 4: ricerca di metodi di attacco e risposta

  1. Esamina la voce del framework MITRE ATT&CK per questo tipo di risultato: Account validi: account cloud.
  2. Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.

Passaggio 5: implementa la risposta

Il seguente piano di risposta potrebbe essere appropriato per questo risultato, ma potrebbe anche influire sulle operazioni. Valuta attentamente le informazioni raccolte durante l'indagine per determinare il modo migliore per risolvere i risultati.

  • Contatta il proprietario del progetto con l'account compromesso.
  • Esamina i campi anomalousLocation, typicalGeolocations e notSeenInLast per verificare se l'accesso è anomalo e se l'account è stato compromesso.
  • Elimina le risorse del progetto create da account non autorizzati, come istanze Compute Engine, snapshot, service account e utenti IAM sconosciuti.
  • Per limitare la creazione di nuove risorse a regioni specifiche, consulta Limitazione delle località delle risorse.
  • Per identificare e correggere i ruoli eccessivamente permissivi, utilizza IAM Recommender.

Passaggi successivi