Impacto: Google Cloud Backup and DR remove appliance

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Se examinan los registros de auditoría para detectar la retirada de un dispositivo de copia de seguridad y recuperación. Un dispositivo de copia de seguridad y recuperación es un componente fundamental para las operaciones de copia de seguridad.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abra el Inhibit System Recovery: Google Cloud Backup and DR remove appliance, tal como se explica en el artículo Revisar los resultados. Se abre el panel de detalles del resultado en la pestaña Resumen.
  2. En la pestaña Resumen, consulta la información de las siguientes secciones:
    • Qué se detectó, especialmente los siguientes campos:
      • Nombre del dispositivo: el nombre de una base de datos o una máquina virtual conectada a Backup and DR
      • Asunto principal: un usuario que ha ejecutado una acción correctamente.
    • Recurso afectado
      • Nombre visible del recurso: el proyecto en el que se ha eliminado el dispositivo
    • Enlaces relacionados, especialmente los siguientes campos:
      • Método MITRE ATT&CK: enlace a la documentación de MITRE ATT&CK
      • URI de Logging: enlace para abrir el Explorador de registros

Paso 2: Investiga los métodos de ataque y respuesta

Ponte en contacto con el propietario de la cuenta de servicio que aparece en el campo Correo principal. Confirma si el propietario legítimo ha llevado a cabo la acción.

Paso 3: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

  1. En el proyecto en el que se ha realizado la acción, ve a la consola de gestión.
  2. En la pestaña Gestor de aplicaciones, busca las aplicaciones afectadas que ya no están protegidas y revisa las políticas de copia de seguridad de cada una.
  3. Para crear un dispositivo y volver a aplicar protecciones a las aplicaciones no protegidas, ve a Backup y DR en la consola de Google Cloud y selecciona la opción Implementar otro dispositivo de copia de seguridad o recuperación.
  4. En el menú Almacenamiento, configura cada nuevo dispositivo con un destino de almacenamiento. Después de configurar un dispositivo, aparecerá como opción cuando crees un perfil para tus aplicaciones.

Siguientes pasos