Derivación de privilegios: Uso de identidad anómalo de la cuenta de servicio para actividades de administrador

En este documento, se describe un tipo de resultado de amenazas en Security Command Center. Los detectores de amenazas generan resultados de amenazas cuando detectan una amenaza potencial en tus recursos de Cloud. Para obtener una lista completa de los resultados de amenazas disponibles, consulta el Índice de resultados de amenazas.

Descripción general

Anomalous Service Account Impersonator se detecta examinando los registros de auditoría de la actividad del administrador para ver si ocurrió alguna anomalía en una solicitud de suplantación de identidad de una cuenta de servicio.

Cómo responder

Para responder a este hallazgo, haz lo siguiente:

Paso 1: Revisa los detalles del hallazgo

  1. Abre el hallazgo de Privilege Escalation: Anomalous Service Account Impersonator for Admin Activity, como se indica en Revisa los hallazgos. Se abre el panel de detalles del hallazgo en la pestaña Resumen.

  2. En la pestaña Resumen, revisa la información de las siguientes secciones:

    • Qué se detectó, especialmente los siguientes campos:

      • Correo electrónico de la principal: Es la cuenta de servicio final en la solicitud de suplantación que se usó para acceder a Google Cloud.
      • Nombre del servicio: Es el nombre de la API del servicio de Google Cloud involucrado en la solicitud de suplantación.
      • Nombre del método: Es el método al que se llamó.
      • Información de delegación de la cuenta de servicio: Detalles de las cuentas de servicio en la cadena de delegación. El principal que se encuentra en la parte inferior de la lista es el emisor de la solicitud de suplantación.

    • Recurso afectado

    • Vínculos relacionados, en especial los siguientes campos:

      • URI de Cloud Logging: Es el vínculo a las entradas de Logging.
      • Método MITRE ATT&CK: Vínculo a la documentación de MITRE ATT&CK.
      • Resultados relacionados: Vínculos a los resultados relacionados

Paso 2: Investiga los métodos de ataque y respuesta

  1. Comunícate con el propietario de la cuenta de servicio en el campo Correo electrónico principal. Confirma si el propietario legítimo realizó la acción.
  2. Investiga las entidades principales de la cadena de delegación para verificar si la solicitud es anormal y si alguna cuenta se vio comprometida.
  3. Comunícate con el propietario de la persona que llama a la suplantación en la lista Información de delegación de la cuenta de servicio. Confirma si el propietario legítimo realizó la acción.

Paso 3: Implementa tu respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas en tu investigación para determinar la mejor manera de resolver los resultados.

  • Comunícate con el propietario del proyecto en el que se realizó la acción.
  • Considera borrar la cuenta de servicio potencialmente vulnerada, además de rotar y borrar todas las claves de acceso de la cuenta de servicio del proyecto potencialmente vulnerado. Después de la eliminación, los recursos que usan la cuenta de servicio para la autenticación perderán el acceso. Antes de continuar, tu equipo de seguridad debe identificar todos los recursos afectados y trabajar con los propietarios de los recursos para garantizar la continuidad del negocio.
  • Trabaja con tu equipo de seguridad para identificar recursos desconocidos, incluidos instancias de Compute Engine, instantáneas, cuentas de servicio y usuarios de IAM. Borra los recursos que no se crearon con cuentas autorizadas.
  • Responde las notificaciones de la Google Cloud asistencia.
  • Para limitar quién puede crear cuentas de servicio, usa el Servicio de políticas de la organización.
  • Para identificar y corregir roles con demasiados permisos, usa el Recomendador de IAM.

¿Qué sigue?