初始访问权限：使用的服务账号密钥已泄露

本文档介绍了 Security Command Center 中的一种威胁发现结果类型。当威胁检测器在您的云资源中检测到潜在威胁时，会生成相应的威胁发现结果。如需查看可用威胁发现结果的完整列表，请参阅威胁发现结果索引。

概览

泄露的服务账号密钥被用于对某项操作进行身份验证。在此情况下，泄露的服务账号密钥是发布到公共互联网上的密钥。例如，服务账号密钥通常错误地发布到公共 GitHub 代码库中。

如何响应

如需响应此发现结果，请执行以下操作：

第 1 步：查看发现结果详情

  1. 按照查看发现结果中所述，打开 Initial Access: Leaked Service Account Key Used 发现结果。

  2. 在发现结果详情的摘要标签页上，记下以下字段的值。

    在检测到的内容下：

    • 主账号电子邮件地址：此操作中使用的服务账号
    • 服务名称：服务账号访问的 Google Cloud 服务的 API 名称
    • 方法名称：操作的方法名称
    • 服务账号密钥名称：用于对此操作进行身份验证的泄露的服务账号密钥
    • 说明：有关检测到的内容的说明，包括公共互联网上服务账号密钥的位置

    在受影响的资源下：

    • 资源显示名称：操作中涉及的资源

第 2 步：检查日志

  1. 在 Google Cloud 控制台中，点击 Cloud Logging URI 中的链接，以前往 Logs Explorer。
  2. 在 Google Cloud 控制台工具栏中，选择您的项目或组织。

  3. 在加载的页面上，使用以下过滤条件查找相关日志：

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"
    • protoPayload.authenticationInfo.serviceAccountKeyName="SERVICE_ACCOUNT_KEY_NAME"

    将 PRINCIPAL_EMAIL 替换为您在发现结果详情的主账号电子邮件地址字段中记录的值。 将 SERVICE_ACCOUNT_KEY_NAME 替换为您在发现结果详细信息的服务账号密钥名称字段中记下的值。

第 3 步：实现响应

以下响应方案可能适合此发现结果，但也可能会影响运营。 请仔细评估您在研究中收集的信息，以确定解析发现结果的最佳方法。

  • 立即在“服务账号”页面撤消服务账号密钥。
  • 移除发布服务账号密钥的网页或 GitHub 代码库。
  • 考虑删除被盗用的服务账号。
  • 轮替和删除可能被破解的项目的所有服务账号访问密钥。删除后，使用该服务账号进行身份验证的应用会失去访问权限。在删除之前，您的安全团队应确定所有受影响的应用并与应用所有者合作，以确保业务连续性。
  • 与您的安全团队合作，确定不熟悉的资源，包括 Compute Engine 实例、快照、服务账号和 IAM 用户。删除未使用已获授权的账号创建的资源。
  • 响应来自 Cloud Customer Care 的任何通知。

后续步骤