La cuenta tiene credenciales filtradas

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Esta alerta se genera cuando las Google Cloud credenciales de una cuenta de servicio se filtran por error online o se ven comprometidas.

Detección de anomalías es la fuente de este resultado.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre un resultado de account_has_leaked_credentials, tal como se indica en Consultar los detalles de los resultados. Se abrirá el panel de detalles de la detección en la pestaña Resumen.

  2. En la pestaña Resumen, consulte la información de las siguientes secciones:

  • Qué se detectó
  • Recurso afectado

  1. Haga clic en la pestaña Propiedades de origen y anote los siguientes campos:

    • Compromised_account: la cuenta de servicio que puede estar en peligro
    • Project_identifier: el proyecto que contiene las credenciales de cuenta que pueden haberse filtrado
    • URL: el enlace al repositorio de GitHub

  2. Para ver el JSON completo de la detección, haga clic en la pestaña JSON.

Paso 2: Revisa los permisos del proyecto y de la cuenta de servicio

  1. En la consola, ve a la página Gestión de identidades y accesos. Google Cloud

    Ir a IAM

  2. Si es necesario, selecciona el proyecto que aparece en Project_identifier.

  3. En la página que aparece, en el cuadro Filtrar, introduce el nombre de la cuenta que figura en Compromised_account y comprueba los permisos asignados.

  4. En la Google Cloud consola, ve a la página Cuentas de servicio.

    Ir a Cuentas de servicio

  5. En la página que aparece, en el cuadro Filtro, introduce el nombre de la cuenta de servicio vulnerada y comprueba las claves de la cuenta de servicio y las fechas de creación de las claves.

Paso 3: Consulta los registros

  1. En la Google Cloud consola, ve a Explorador de registros.

    Ir a Explorador de registros

  2. En la barra de herramientas de la Google Cloud consola, selecciona tu proyecto.

  3. En la página que se carga, comprueba los registros de actividad de los recursos de gestión de identidades y accesos nuevos o actualizados con los siguientes filtros:

    • proto_payload.method_name="google.iam.admin.v1.CreateServiceAccount"
    • protoPayload.methodName="SetIamPolicy"
    • resource.type="gce_instance" AND log_name="projects/Project_identifier/logs/cloudaudit.googleapis.com%2Factivity"
    • protoPayload.methodName="InsertProjectOwnershipInvite"
    • protoPayload.authenticationInfo.principalEmail="Compromised_account"

Paso 4: Investiga los métodos de ataque y respuesta

  1. Consulta la entrada del framework ATT&CK de MITRE para este tipo de resultado: Cuentas válidas: cuentas en la nube.
  2. Para ver los hallazgos relacionados, haga clic en el enlace de relatedFindingURI. Los resultados relacionados son del mismo tipo y de la misma instancia y red.
  3. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE.

Paso 5: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

  • Ponte en contacto con el propietario del proyecto cuyas credenciales se han filtrado.
  • Te recomendamos que elimines la cuenta de servicio vulnerada y que rotes y elimines todas las claves de acceso de la cuenta de servicio del proyecto vulnerado. Después de la eliminación, los recursos que usen la cuenta de servicio para la autenticación perderán el acceso. Antes de continuar, tu equipo de seguridad debe identificar todos los recursos afectados y colaborar con los propietarios de los recursos para garantizar la continuidad del negocio.
  • Colabora con tu equipo de seguridad para identificar recursos desconocidos, como instancias de Compute Engine, snapshots, cuentas de servicio y usuarios de gestión de identidades y accesos. Elimina los recursos que no se hayan creado con cuentas autorizadas.
  • Responder a las notificaciones del equipo de Asistencia de Google Cloud .
  • Para limitar quién puede crear cuentas de servicio, usa el servicio de políticas de la organización.
  • Para identificar y corregir roles demasiado permisivos, usa Recomendador de IAM.
  • Abre el enlace de URL y elimina las credenciales filtradas. Recaba más información sobre la cuenta vulnerada y ponte en contacto con el propietario.

Siguientes pasos