Movimento laterale: disco di avvio modificato collegato all'istanza
Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai
rilevatori di minacce quando rilevano
una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.
Panoramica
Gli audit log vengono esaminati per rilevare movimenti sospetti dei dischi tra le risorse delle istanze di Compute Engine. Un disco di avvio potenzialmente modificato è stato
collegato a Compute Engine.
Come rispondere
Per rispondere a questo risultato:
Passaggio 1: esamina i dettagli del risultato
Apri il risultato Lateral Movement: Modify Boot Disk Attaching to Instance, come descritto in Revisione dei risultati. Il riquadro dei dettagli del risultato si apre nella scheda Riepilogo.
Nella scheda Riepilogo, prendi nota dei valori dei seguenti campi.
In Che cosa è stato rilevato:
Email entità: il account di servizio che ha eseguito l'azione
Nome servizio: il nome API del servizio Google Cloud a cui ha avuto accesso il account di servizio
Nome metodo: il metodo chiamato
Passaggio 2: ricerca di metodi di attacco e risposta
Contatta il proprietario del account di servizio nel campo Email dell'entità.
Conferma se l'azione è stata eseguita dal legittimo proprietario.
Passaggio 3: implementa la risposta
Il seguente piano di risposta potrebbe essere appropriato per questo risultato, ma potrebbe anche influire sulle operazioni.
Valuta attentamente le informazioni raccolte durante l'indagine per determinare il modo migliore per risolvere i risultati.
Contatta il proprietario del progetto in cui è stata eseguita l'azione.
Valuta la possibilità di utilizzare
Secure Boot per le tue
istanze VM di Compute Engine.
Valuta la possibilità di eliminare il service account potenzialmente compromesso e ruotare ed eliminare
tutte le chiavi di accesso delaccount di serviziot per il progetto potenzialmente compromesso. Dopo
l'eliminazione, le applicazioni che utilizzano ilaccount di serviziot per l'autenticazione perdono
l'accesso. Prima di procedere, il tuo team di sicurezza deve identificare tutte le applicazioni interessate e collaborare con i proprietari delle applicazioni per garantire la continuità operativa.
Collabora con il tuo team di sicurezza per identificare risorse sconosciute, tra cui istanze di Compute Engine, snapshot, service account e utenti IAM. Elimina le risorse non create con account autorizzati.
Rispondi a eventuali notifiche dell'assistenza Google Cloud .
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-05 UTC."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nAudit logs are examined to detect suspicious disk movements among\nCompute Engine instance resources. A potentially modified boot disk has been\nattached to your Compute Engine.\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nStep 1: Review finding details\n\n1. Open the `Lateral Movement: Modify Boot Disk Attaching to Instance` finding, as detailed in [Reviewing findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings). The details panel for the finding opens to the **Summary** tab.\n2. On the **Summary** tab, note the values of\n following fields.\n\n Under **What was detected**:\n - **Principal email**: the service account that performed the action\n - **Service name**: the API name of the Google Cloud service that was accessed by the service account\n - **Method name**: the method that was called\n\nStep 2: Research attack and response methods\n\n1. Use [service account\n tools](/policy-intelligence/docs/service-account-usage-tools), like [Activity\n Analyzer](/policy-intelligence/docs/activity-analyzer-service-account-authentication), to investigate the activity of the associated service account.\n2. Contact the owner of the service account in the **Principal email** field. Confirm whether the legitimate owner conducted the action.\n\nStep 3: Implement your response\n\n\nThe following response plan might be appropriate for this finding, but might also impact operations.\nCarefully evaluate the information you gather in your investigation to determine the best way to\nresolve findings.\n\n- Contact the owner of the project where the action was taken.\n- Consider using [Secure Boot](/compute/shielded-vm/docs/shielded-vm#secure-boot) for your Compute Engine VM instances.\n- Consider [deleting the potentially compromised service account](/iam/docs/service-accounts-delete-undelete#deleting) and rotate and delete all service account access keys for the potentially compromised project. After deletion, applications that use the service account for authentication lose access. Before proceeding, your security team should identify all impacted applications and work with application owners to ensure business continuity.\n- Work with your security team to identify unfamiliar resources, including Compute Engine instances, snapshots, service accounts, and IAM users. Delete resources not created with authorized accounts.\n- Respond to any notifications from Google Cloud Support.\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
