Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai
rilevatori di minacce quando rilevano
una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.
Panoramica
Rilevamento di attacco Brute Force SSH riuscito su un host.
Vai alla scheda Risorse e fai clic su Compute Engine.
Fai clic sull'istanza VM che corrisponde al nome e alla zona in vmName. Esamina
i dettagli dell'istanza, incluse le impostazioni di rete e di accesso.
Nel riquadro di navigazione, fai clic su Rete VPC, quindi su Firewall.
Rimuovi o disabilita le regole firewall eccessivamente permissive sulla porta 22.
Passaggio 3: controlla i log
Nella console Google Cloud , vai a Esplora log facendo clic sul link in URI Cloud Logging.
Nella pagina che viene caricata, trova i log di flusso VPC correlati all'indirizzo IP
elencato nella riga Email principale della scheda
Riepilogo dei dettagli del problema utilizzando il seguente filtro:
Esamina i risultati correlati facendo clic sul link nella sezione Risultati correlati della riga Risultati correlati nella scheda Riepilogo dei dettagli del risultato.
I risultati correlati sono dello stesso tipo e della stessa istanza e rete.
Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.
Passaggio 5: implementa la risposta
Il seguente piano di risposta potrebbe essere appropriato per questo risultato, ma potrebbe anche influire sulle operazioni.
Valuta attentamente le informazioni raccolte durante l'indagine per determinare il modo migliore per risolvere i risultati.
Contatta il proprietario del progetto con il tentativo di attacco di tipo brute force riuscito.
Esamina l'istanza potenzialmente compromessa e rimuovi eventuali malware
rilevati. Per facilitare il rilevamento e la rimozione, utilizza una soluzione di rilevamento e
risposta degli endpoint.
Valuta la possibilità di disabilitare l'accesso SSH alla VM. Per
informazioni sulla disattivazione delle chiavi SSH, vedi Limita le chiavi SSH dalle
VM.
Questo passaggio potrebbe interrompere l'accesso autorizzato alla VM, quindi valuta le esigenze
della tua organizzazione prima di procedere.
Blocca gli indirizzi IP dannosi aggiornando le regole
firewall o utilizzando Google Cloud Armor. Puoi abilitare
Cloud Armor nella pagina Servizi
integrati
di Security Command Center. A seconda della quantità di informazioni, i costi di Cloud Armor possono
essere significativi. Per ulteriori informazioni, consulta la guida ai prezzi di Cloud Armor.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-05 UTC."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nDetection of successful brute force of SSH on a host.\n\n[Event Threat Detection](/security-command-center/docs/concepts-event-threat-detection-overview) is the source of\nthis finding.\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nStep 1: Review finding details\n\n1. Open a `Brute Force: SSH` finding, as directed in [Reviewing findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n2. On the **Summary** tab of the finding details panel, review the\n information in the following sections:\n\n - **What was detected, especially the following fields:**\n\n - **Caller IP**: the IP address that launched the attack.\n - **User name**: the account that logged in.\n - **Affected resource**\n\n - **Related links**, especially the following fields:\n\n - **Cloud Logging URI**: link to Logging entries.\n - **MITRE ATT\\&CK method**: link to the MITRE ATT\\&CK documentation.\n - **Related findings**: links to any related findings.\n3. Click the **JSON** tab.\n\n4. In the JSON, note the following fields.\n\n - `sourceProperties`:\n - `evidence`:\n - `sourceLogId`: the project ID and timestamp to identify the log entry\n - `projectId`: the project that contains the finding\n - `properties`:\n - `attempts`:\n - `Attempts`: the number of login attempts\n - `username`: the account that logged in\n - `vmName`: the name of the virtual machine\n - `authResult`: the SSH authentication result\n\nStep 2: Review permissions and settings\n\n1. In the Google Cloud console, go to the **Dashboard**.\n\n \u003cbr /\u003e\n\n [Go to the Dashboard](https://console.cloud.google.com/home)\n\n \u003cbr /\u003e\n\n2. Select the project that is specified in\n `projectId`.\n\n3. Navigate to the **Resources** card and click **Compute Engine**.\n\n4. Click the VM instance that matches the name and zone in `vmName`. Review\n instance details, including network and access settings.\n\n5. In the navigation pane, click **VPC Network** , then click **Firewall**.\n Remove or disable overly permissive firewall rules on port 22.\n\nStep 3: Check logs\n\n1. In the Google Cloud console, go to **Logs Explorer** by clicking the link in **Cloud Logging URI**.\n2. On the page that loads, find VPC Flow Logs related to the IP address that is listed on the **Principal email** row in the **Summary** tab of the finding details by using the following filter:\n - `logName=\"projects/`\u003cvar class=\"edit\" translate=\"no\"\u003eprojectId\u003c/var\u003e`/logs/syslog\"`\n - `labels.\"compute.googleapis.com/resource_name\"=\"`\u003cvar class=\"edit\" translate=\"no\"\u003evmName\u003c/var\u003e`\"`\n\nStep 4: Research attack and response methods\n\n1. Review the MITRE ATT\\&CK framework entry for this finding type: [Valid Accounts: Local Accounts](https://attack.mitre.org/techniques/T1078/003/).\n2. Review related findings by clicking the link on the **Related findings** on the **Related findings** row in the **Summary** tab of the finding details. Related findings are the same finding type and the same instance and network.\n3. To develop a response plan, combine your investigation results with MITRE research.\n\nStep 5: Implement your response\n\n\nThe following response plan might be appropriate for this finding, but might also impact operations.\nCarefully evaluate the information you gather in your investigation to determine the best way to\nresolve findings.\n\n- Contact the owner of the project with the successful brute force attempt.\n- Investigate the potentially compromised instance and remove any discovered malware. To assist with detection and removal, use an endpoint detection and response solution.\n- Consider disabling SSH access to the VM. For information about disabling SSH keys, see [Restrict SSH keys from\n VMs](/compute/docs/connect/restrict-ssh-keys). This step could interrupt authorized access to the VM, so consider the needs of your organization before you proceed.\n- Only use SSH authentication with [authorized\n keys](/compute/docs/instances/ssh).\n- Block the malicious IP addresses by [updating firewall\n rules](/vpc/docs/using-firewalls) or by using Google Cloud Armor. You can enable Cloud Armor on the Security Command Center [Integrated\n Services](https://console.cloud.google.com/security/command-center/config/integrated-services) page. Depending on the quantity of information, Cloud Armor costs can be significant. See the [Cloud Armor pricing guide](/armor/pricing) for more information.\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
