Escalada de privilegios: suplantación de cuenta de servicio anómala para acceder a datos de IA

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Anomalous Service Account Impersonator se detecta cuando los registros de auditoría de actividad de administrador de un servicio de IA muestran que se ha producido una anomalía en una solicitud de suplantación de identidad de una cuenta de servicio.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre la Privilege Escalation: Anomalous Service Account Impersonator for AI Data Access detección, tal como se indica en Revisar las detecciones.

  2. En los detalles de la detección, en la pestaña Resumen, anota los valores de los siguientes campos.

    En Qué se detectó:

    • Correo principal: la cuenta de servicio final de la solicitud de suplantación de identidad que se ha usado para acceder a Google Cloud
    • Nombre del método: el método al que se ha llamado
    • Información de delegación de cuenta de servicio: detalles de las cuentas de servicio de la cadena de delegación. La entidad de seguridad de la parte inferior de la lista es la que llama a la solicitud de suplantación de identidad.
    • Recursos de IA: los recursos de IA que pueden verse afectados, como los recursos de Vertex AI y el modelo de IA.

Paso 2: Investiga los métodos de ataque y respuesta

  1. Ponte en contacto con el propietario de la cuenta de servicio que aparece en el campo Correo principal. Confirma si el propietario legítimo ha llevado a cabo la acción.
  2. Investiga las entidades de seguridad de la cadena de delegación para verificar si la solicitud es anómala y si alguna cuenta se ha visto comprometida.
  3. Ponte en contacto con el propietario de la cuenta de servicio que llama en la lista Información de delegación de cuenta de servicio. Confirma si el propietario legítimo ha llevado a cabo la acción.

Paso 3: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

  • Ponte en contacto con el propietario del proyecto en el que se ha realizado la acción.
  • Te recomendamos que elimines la cuenta de servicio que pueda estar en peligro y que rotes y elimines todas las claves de acceso de la cuenta de servicio del proyecto que pueda estar en peligro. Después de eliminarla, los recursos que usen la cuenta de servicio para la autenticación perderán el acceso. Antes de continuar, tu equipo de seguridad debe identificar todos los recursos afectados y colaborar con los propietarios de los recursos para garantizar la continuidad del negocio.
  • Colabora con tu equipo de seguridad para identificar recursos desconocidos, como instancias de Compute Engine, snapshots, cuentas de servicio y usuarios de gestión de identidades y accesos. Elimina los recursos que no se hayan creado con cuentas autorizadas.
  • Responde a las notificaciones de Cloud Customer Care.
  • Para limitar quién puede crear cuentas de servicio, usa el servicio de políticas de la organización.
  • Para identificar y corregir roles con demasiados permisos, usa Recomendador de IAM.

Siguientes pasos