Persistenza: nuovo user agent

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.

Panoramica

Questo risultato non è disponibile per le attivazioni a livello di progetto.

Un account di servizio IAM sta accedendo a Google Cloud utilizzando software sospetto, come indicato da uno user agent anomalo.

Come rispondere

Per rispondere a questo risultato:

Passaggio 1: esamina i dettagli del risultato

  1. Apri un risultato Persistence: New User Agent come indicato in Revisione dei dettagli dei risultati in precedenza in questa pagina. Il riquadro dei dettagli del risultato si apre nella scheda Riepilogo.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • Email entità: l'account di servizio potenzialmente compromesso.
    • Risorsa interessata, in particolare i seguenti campi:
      • Nome completo del progetto: il progetto che contiene il account di servizio potenzialmente compromesso.
    • Link correlati, in particolare i seguenti campi:
      • URI Cloud Logging: link alle voci di log.
      • Metodo MITRE ATT&CK: link alla documentazione MITRE ATT&CK.
      • Risultati correlati: link a eventuali risultati correlati.
    1. Nella visualizzazione dettagliata del risultato, fai clic sulla scheda JSON.
    2. Nel JSON, prendi nota dei seguenti campi.
    • projectId: il progetto che contiene il account di servizio potenzialmente compromesso.
    • callerUserAgent: l'user agent anomalo.
    • anomalousSoftwareClassification: il tipo di software.
    • notSeenInLast: il periodo di tempo utilizzato per stabilire una base di riferimento per il comportamento normale.

Passaggio 2: rivedi le autorizzazioni del progetto e dell'account

  1. Nella console Google Cloud , vai alla pagina IAM.

    Vai a IAM

  2. Se necessario, seleziona il progetto elencato in projectId.

  3. Nella pagina visualizzata, nella casella Filtro, inserisci il nome dell'account elencato nella riga Email principale della scheda Riepilogo dei dettagli del risultato e controlla i ruoli concessi.

  4. Nella console Google Cloud , vai alla pagina Service Accounts.

    Vai a Service account

  5. Nella pagina visualizzata, nella casella Filtro, inserisci il nome dell'account indicato nella riga Email principale della scheda Riepilogo dei dettagli del risultato.

  6. Controlla le chiavi del account di servizio e le date di creazione delle chiavi.

Passaggio 3: controlla i log

  1. Nella scheda Riepilogo del riquadro dei dettagli del problema, fai clic sul link URI Cloud Logging per aprire Esplora log.
  2. Se necessario, seleziona il progetto.
  3. Nella pagina che si carica, controlla i log per l'attività delle risorse IAM nuove o aggiornate utilizzando i seguenti filtri:
    • proto_payload.method_name="google.iam.admin.v1.CreateServiceAccount"
    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.methodName="google.iam.admin.v1.UpdateRole"
    • protoPayload.methodName="google.iam.admin.v1.CreateRole"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

Passaggio 4: ricerca di metodi di attacco e risposta

  1. Esamina la voce del framework MITRE ATT&CK per questo tipo di risultato: Account validi: account cloud.
  2. Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.

Passaggio 5: implementa la risposta

Il seguente piano di risposta potrebbe essere appropriato per questo risultato, ma potrebbe anche influire sulle operazioni. Valuta attentamente le informazioni raccolte durante l'indagine per determinare il modo migliore per risolvere i risultati.

  • Contatta il proprietario del progetto con l'account compromesso.
  • Esamina i campi anomalousSoftwareClassification, callerUserAgent e behaviorPeriod per verificare se l'accesso è anomalo e se l'account è stato compromesso.
  • Elimina le risorse del progetto create da account non autorizzati, come istanze Compute Engine, snapshot, service account e utenti IAM sconosciuti.
  • Per limitare la creazione di nuove risorse a regioni specifiche, consulta Limitazione delle località delle risorse.
  • Per identificare e correggere i ruoli eccessivamente permissivi, utilizza IAM Recommender.

Passaggi successivi