Impatto: backup e RE di Google Cloud scadono tutte le immagini

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.

Panoramica

Un utente potenzialmente malintenzionato ha richiesto l'eliminazione di tutte le immagini di backup associate a un'applicazione.

Come rispondere

Per rispondere a questo risultato:

Passaggio 1: esamina i dettagli del risultato

  1. Apri il risultato Impact: Google Cloud Backup and DR expire all images, come descritto in Revisione dei risultati. Il riquadro dei dettagli del risultato si apre nella scheda Riepilogo.
  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:
    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • Nome della norma: il nome di una singola norma, che definisce la frequenza, la pianificazione e il periodo di conservazione del backup
      • Nome modello: il nome di un insieme di norme che definiscono la frequenza, la pianificazione e il periodo di conservazione del backup
      • Nome profilo: specifica la destinazione di archiviazione per i backup dei dati di applicazioni e VM
      • Soggetto principale: un utente che ha eseguito correttamente un'azione.
    • Risorsa interessata
      • Nome visualizzato risorsa: il progetto in cui sono state eliminate le immagini di backup
    • Link correlati, in particolare i seguenti campi:
      • Metodo MITRE ATT&CK: link alla documentazione MITRE ATT&CK
      • URI di Logging: link per aprire Esplora log.

Passaggio 2: ricerca di metodi di attacco e risposta

Contatta il proprietario del account di servizio nel campo Email dell'entità. Conferma se l'azione è stata eseguita dal legittimo proprietario.

Passaggio 3: implementa la risposta

  1. Nel progetto in cui è stata eseguita l'azione, vai alla console di gestione.
  2. Vai alla scheda Monitora e seleziona Job per esaminare lo stato del job di eliminazione del backup.
  3. Se un job di eliminazione non è autorizzato, vai alle autorizzazioni IAM per esaminare gli utenti con accesso ai dati di backup.

Passaggi successivi