Eskalasi Hak Istimewa: Grup dengan Hak Istimewa Dibuka untuk Publik

Dokumen ini menjelaskan jenis temuan ancaman di Security Command Center. Temuan ancaman dibuat oleh pendeteksi ancaman saat mendeteksi potensi ancaman di resource cloud Anda. Untuk daftar lengkap temuan ancaman yang tersedia, lihat Indeks temuan ancaman.

Ringkasan

Temuan ini tidak tersedia untuk aktivasi level project.

Grup Google dengan hak istimewa (grup yang diberi peran atau izin sensitif) dapat diakses oleh masyarakat umum.

Cara merespons

Untuk menanggapi temuan ini, lakukan hal berikut:

Langkah 1: Tinjau detail temuan

  1. Buka temuan Privilege Escalation: Privileged Group Opened To Public seperti yang diarahkan dalam Meninjau temuan. Panel detail untuk temuan akan terbuka di tab Ringkasan.

  2. Di tab Summary, tinjau informasi di bagian berikut:

    • Apa yang terdeteksi, terutama kolom berikut:
      • Email utama: akun yang melakukan perubahan, yang mungkin disusupi.
    • Resource yang terpengaruh
    • Link terkait, terutama kolom berikut:
      • Cloud Logging URI: link ke entri Logging.
      • Metode MITRE ATT&CK: link ke dokumentasi MITRE ATT&CK.
      • Temuan terkait: link ke temuan terkait.
    1. Klik tab JSON.
    2. Dalam JSON, perhatikan kolom berikut.
    • groupName: Google Grup tempat perubahan dilakukan
    • sensitiveRoles: peran sensitif yang terkait dengan grup ini
    • whoCanJoin: setelan kemampuan bergabung grup

Langkah 2: Tinjau setelan akses grup

  1. Buka Konsol Admin untuk Google Grup. Anda harus menjadi Admin Google Workspace untuk login ke konsol.

    Buka Konsol Admin

  2. Di panel navigasi, klik Direktori, lalu pilih Grup.

  3. Klik nama grup yang ingin Anda tinjau.

  4. Klik Setelan Akses, lalu, di bagian Siapa yang dapat bergabung ke grup, tinjau setelan kemampuan bergabung grup.

  5. Di menu drop-down, jika perlu, ubah setelan kemampuan bergabung.

Langkah 3: Periksa log

  1. Di tab Ringkasan pada panel detail temuan, klik link URI Cloud Logging untuk membuka Logs Explorer.

  2. Jika perlu, pilih project Anda.

  3. Di halaman yang dimuat, periksa log untuk perubahan setelan Grup Google menggunakan filter berikut:

    • protoPayload.methodName="google.admin.AdminService.changeGroupSetting"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

Langkah 4: Meneliti metode serangan dan respons

  1. Tinjau entri framework MITRE ATT&CK untuk jenis temuan ini: Akun yang Valid.
  2. Untuk menentukan apakah langkah-langkah perbaikan tambahan diperlukan, gabungkan hasil penyelidikan Anda dengan riset MITRE.

Langkah berikutnya