Persistencia: nuevo user-agent

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Este hallazgo no está disponible para las activaciones a nivel de proyecto.

Una cuenta de servicio de gestión de identidades y accesos está accediendo Google Cloud con software sospechoso, tal como indica un agente de usuario anómalo.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre un resultado Persistence: New User Agent siguiendo las instrucciones de la sección Consultar los detalles de un resultado de esta página. Se abre el panel de detalles del resultado en la pestaña Resumen.

  2. En la pestaña Resumen, consulte la información de las siguientes secciones:

    • Qué se detectó, especialmente los siguientes campos:
      • Correo principal: la cuenta de servicio que puede estar en peligro.
    • Recurso afectado, especialmente los siguientes campos:
      • Nombre completo del proyecto: el proyecto que contiene la cuenta de servicio que puede estar en peligro.
    • Enlaces relacionados, especialmente los siguientes campos:
      • URI de Cloud Logging: enlace a las entradas de registro.
      • Método MITRE ATT&CK: enlace a la documentación de MITRE ATT&CK.
      • Hallazgos relacionados: enlaces a los hallazgos relacionados.
    1. En la vista detallada de la detección, haga clic en la pestaña JSON.
    2. En el JSON, anota los siguientes campos.
    • projectId: el proyecto que contiene la cuenta de servicio que puede estar en peligro.
    • callerUserAgent: el user-agent anómalo.
    • anomalousSoftwareClassification: el tipo de software.
    • notSeenInLast: periodo que se usa para establecer una base de referencia del comportamiento normal.

Paso 2: Revisa los permisos del proyecto y de la cuenta

  1. En la consola, ve a la página Gestión de identidades y accesos. Google Cloud

    Ir a IAM

  2. Si es necesario, selecciona el proyecto que aparece en projectId.

  3. En la página que aparece, en el cuadro Filtro, introduzca el nombre de la cuenta que se indica en la fila Correo principal de la pestaña Resumen de los detalles de la detección y compruebe los roles concedidos.

  4. En la Google Cloud consola, ve a la página Cuentas de servicio.

    Ir a Cuentas de servicio

  5. En la página que aparece, en el cuadro Filtrar, introduzca el nombre de la cuenta que se indica en la fila Correo principal de la pestaña Resumen de los detalles de la detección.

  6. Comprueba las claves de la cuenta de servicio y las fechas de creación de las claves.

Paso 3: Consulta los registros

  1. En la pestaña Resumen del panel de detalles de la detección, haga clic en el enlace URI de Cloud Logging para abrir Explorador de registros.
  2. Si es necesario, selecciona tu proyecto.
  3. En la página que se carga, consulta los registros de actividad de los recursos de gestión de identidades y accesos nuevos o actualizados con los siguientes filtros:
    • proto_payload.method_name="google.iam.admin.v1.CreateServiceAccount"
    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.methodName="google.iam.admin.v1.UpdateRole"
    • protoPayload.methodName="google.iam.admin.v1.CreateRole"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

Paso 4: Investiga los métodos de ataque y respuesta

  1. Consulta la entrada del framework ATT&CK de MITRE para este tipo de resultado: Cuentas válidas: cuentas en la nube.
  2. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE.

Paso 5: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

  • Ponte en contacto con el propietario del proyecto cuya cuenta se ha visto comprometida.
  • Revisa los campos anomalousSoftwareClassification, callerUserAgent y behaviorPeriod para comprobar si el acceso es anómalo y si la cuenta se ha visto comprometida.
  • Elimina los recursos del proyecto creados por cuentas no autorizadas, como instancias de Compute Engine, snapshots, cuentas de servicio y usuarios de IAM desconocidos.
  • Para restringir la creación de recursos nuevos a regiones específicas, consulta Restringir ubicaciones de recursos.
  • Para identificar y corregir roles demasiado permisivos, usa Recomendador de IAM.

Siguientes pasos