IAM 비정상적인 권한 부여 감지기를 의도적으로 트리거하고 발견 항목을 확인하여 Event Threat Detection이 작동하는지 확인합니다.
Event Threat Detection은 조직의 Cloud Logging 및 Google Workspace 로깅 스트림을 모니터링하고 위협을 거의 실시간으로 감지하는 기본 제공 서비스입니다. 자세한 내용은 Event Threat Detection 개요를 참조하세요.
시작하기 전에
Event Threat Detection 발견 항목을 보려면 Security Command Center 서비스 설정에서 서비스를 사용 설정해야 합니다.
이 가이드를 완료하려면 프로젝트 IAM 관리자 역할과 같은 resourcemanager.projects.setIamPolicy 권한이 있는 Identity and Access Management(IAM) 역할이 있어야 합니다.
Event Threat Detection 테스트
Event Threat Detection을 테스트하려면 테스트 사용자를 만들고 권한을 부여한 다음 Google Cloud 콘솔과 Cloud Logging에서 발견 항목을 확인합니다.
1단계: 테스트 사용자 만들기
감지기를 트리거하려면 gmail.com 이메일 주소가 있는 테스트 사용자가 필요합니다.
gmail.com 계정을 만든 다음 테스트를 수행할 프로젝트에 대한 액세스 권한을 부여할 수 있습니다. 이 gmail.com 계정에 테스트를 수행하는 프로젝트의 IAM 권한이 없는지 확인합니다.
2단계: IAM 비정상적인 권한 부여 감지기 트리거
프로젝트 소유자 역할에 gmail.com 이메일 주소를 지정해서 IAM 비정상적인 권한 부여 감지기를 트리거합니다.
빠른 필터 패널의 카테고리 섹션에서 지속성: IAM 비정상적인 권한 부여를 선택합니다. 필요한 경우 더보기를 클릭하여 찾습니다. 발견 항목 쿼리 결과 패널이 업데이트되어 선택한 발견 항목 카테고리만 표시됩니다.
발견 항목 쿼리 결과 패널에서 목록을 정렬하려면 이벤트 시간 열 제목을 클릭하여 최근 발견 항목이 먼저 표시되도록 합니다.
발견 항목 쿼리 결과 패널에서 카테고리 열의 지속성: IAM 비정상적인 권한 부여를 클릭하여 발견 항목의 세부정보를 표시합니다.
발견 항목의 세부정보 패널이 열리고 요약 탭이 표시됩니다.
주 구성원 이메일 행에서 값을 확인합니다. 소유권을 부여한 테스트 gmail.com 이메일 주소여야 합니다.
테스트 gmail.com 계정과 일치하는 발견 항목이 표시되지 않는 경우 Event Threat Detection 설정을 확인합니다.
4단계: Cloud Logging에서 발견 항목 보기
Cloud Logging에 로깅 발견 항목을 사용 설정한 경우 Cloud Logging에서 발견 항목을 확인할 수 있습니다. 조직 수준에서 Security Command Center 프리미엄 등급을 활성화한 경우에만 Cloud Logging에서 발견 항목 로깅을 볼 수 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-05(UTC)"],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nVerify that Event Threat Detection is working by intentionally triggering the\nIAM Anomalous Grant detector and checking for findings.\n\nEvent Threat Detection is a built-in service that monitors your organization's\nCloud Logging and Google Workspace logging streams and detects threats in\nnear-real time. To learn more, read\n[Event Threat Detection overview](/security-command-center/docs/concepts-event-threat-detection-overview).\n\nBefore you begin\n\nTo view Event Threat Detection findings, the service must be enabled in\nSecurity Command Center\n[Services](/security-command-center/docs/how-to-configure-security-command-center#enable-service)\nsettings.\n\nTo complete this guide, you must have an Identity and Access Management (IAM) role\nwith the `resourcemanager.projects.setIamPolicy` permission, like the Project\nIAM Admin role.\n\nTesting Event Threat Detection\n\nTo test Event Threat Detection, you create a test user, grant permissions, and then\nview the finding in the Google Cloud console and in Cloud Logging.\n\nStep 1: Creating a test user\n\nTo trigger the detector, you need a test user with a gmail.com email address.\nYou can create a gmail.com account and then grant it access to the project where\nyou want to perform the test. Make sure that this gmail.com account doesn't already\nhave any IAM permissions in the project where you are performing the test.\n\nStep 2: Triggering the IAM Anomalous Grant detector\n\nTrigger the IAM Anomalous Grant detector by inviting the gmail.com email address\nto the Project Owner role.\n| **Note:** Currently, this finding is only triggered for Security Command Center users with a gmail.com email address.\n\n1. Go to the [IAM \\& Admin](https://console.cloud.google.com/iam-admin/iam) page in the Google Cloud console. \n [Go to the IAM \\& Admin page](https://console.cloud.google.com/iam-admin/iam)\n2. On the **IAM \\& Admin** page, click **Add**.\n3. In the **Add principals** window, under **New principals**, enter the test user's gmail.com address.\n4. Under **Select a role** , select **Project \\\u003e Owner**.\n5. Click **Save**.\n\nNext, you verify that the IAM Anomalous Grant detector has written a finding.\n\nStep 3: Viewing the finding in Security Command Center\n\nTo view the Event Threat Detection finding in Security Command Center:\n\n1. Go to the Security Command Center **Findings** page in the Google Cloud console.\n\n [Go to Findings](https://console.cloud.google.com/security/command-center/findings)\n2. In the **Category** section of the **Quick filters** panel, select\n **Persistence: IAM anomalous grant** . If necessary, click **View more**\n to find it. The **Findings query results** panel updates to show only\n the selected finding category.\n\n3. To sort the list in the **Findings query results** panel, click the\n **Event time** column header so that the most recent finding displays first.\n\n4. In the **Findings query results** panel, display the details of the finding\n by clicking **Persistence: IAM Anomalous Grant** in the **Category** column.\n The details panel for the finding opens and displays the **Summary** tab.\n\n5. Check the value on the **Principal email** row. It should be the test\n gmail.com email address that you granted ownership to.\n\nIf a finding doesn't appear that matches your test gmail.com account, verify\nyour Event Threat Detection settings.\n\nStep 4: Viewing the finding in Cloud Logging\n\nIf you enabled logging findings to Cloud Logging, you can view the\nfinding there. Viewing logging findings in Cloud Logging is only\navailable if you activate Security Command Center Premium tier at the\norganization level.\n| **Prerequisite:** Before you can view Event Threat Detection findings in Logging, [configure log export](/security-command-center/docs/export-cloud-logging).\n\n1. Go to **Logs Explorer** in the Google Cloud console.\n\n [Go to Logs Explorer](https://console.cloud.google.com/logs/query)\n2. Select the Google Cloud project where you are storing your\n Event Threat Detection logs.\n\n3. Use the **Query** pane to build your query in one of the following ways:\n\n - In the **All resources** list, do the following:\n 1. Select **Threat Detector** to display a list of all the detectors.\n 2. Under **DETECTOR_NAME** , select **iam_anomalous_grant**.\n 3. Click **Apply** . The **Query results** table is updated with the logs you selected.\n - Enter the following query in the query editor and click\n **Run query**:\n\n \u003cbr /\u003e\n\n ```bash\n resource.type=\"threat_detector\"\n ```\n\n \u003cbr /\u003e\n\n The **Query results** table is updated with the logs you selected.\n4. To view a log, click a table row, and then click **Expand nested fields**.\n\nIf you don't see a finding for the IAM Anomalous Grant rule, verify your\nEvent Threat Detection settings.\n\nClean up\n\nWhen you're finished testing, remove the test user from the project.\n\n1. Go to the [IAM \\& Admin](https://console.cloud.google.com/iam-admin/iam) page in the Google Cloud console. \n [Go to the IAM \\& Admin page](https://console.cloud.google.com/iam-admin/iam)\n2. Next to the test user's gmail.com address, click **Edit**.\n3. On the **Edit permissions** panel that appears, click **Delete** for all roles granted to the test user.\n4. Click **Save**.\n\nWhat's next\n\n- Learn more about [using Event Threat Detection](/security-command-center/docs/how-to-use-event-threat-detection).\n- Read a high-level overview of [Event Threat Detection concepts](/security-command-center/docs/concepts-event-threat-detection-overview).\n- Learn how to [investigate and develop response plans](/security-command-center/docs/how-to-investigate-threats) for threats."]]
