このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。
概要
誰かが、手動で証明書署名リクエスト（CSR）を承認しようとしたものの、この操作は失敗しました。クラスタ認証用の証明書を作成することは、攻撃者が侵害されたクラスタへの永続的なアクセスを作成する一般的な方法です。証明書に関連付けられる権限は、含まれているサブジェクトによって異なりますが、非常に高い権限が付与される可能性があります。詳細については、このアラートのログメッセージをご覧ください。
対処方法
次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。
この検出結果に対応する手順は次のとおりです。
- Cloud Logging の監査ログと、この CSR に関連するほかのイベントに関する追加のアラートを確認し、CSR が
approvedであり、発行されたかどうか、および、CSR 関連アクションがプリンシパルによって想定されたアクティビティであるかどうかを判断します。 - Cloud Logging で監査ログを参照して、プリンシパルによる悪意のあるアクティビティを示す徴候が他にないか判断します。次に例を示します。
- CSR の承認を試みたプリンシパルは、CSR を作成したプリンシパルとは異なりますか？
- プリンシパルは他の CSR のリクエスト、作成、承認、削除を試みましたか？
- CSR 承認が想定されていなかった場合、または悪意のあるものであると判断された場合、証明書を無効にするにはクラスタで認証情報のローテーションが必要になります。クラスタ認証情報のローテーションの実行に関するガイダンスを確認してください。
次のステップ
- Security Command Center で脅威の検出結果を操作する方法を学習する。
- 脅威の検出結果のインデックスを参照する。
- Google Cloud コンソールで検出結果を確認する方法を学習する。
- 脅威の検出結果を生成するサービスについて学習する。