Exfiltración: extracción de datos de BigQuery

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

La exfiltración de datos de BigQuery se detecta examinando los registros de auditoría en dos casos:

  • Un recurso se guarda en un segmento de Cloud Storage que no pertenece a tu organización.
  • Un recurso se guarda en un segmento de Cloud Storage de acceso público que pertenece a tu organización.

En el caso de las activaciones a nivel de proyecto del nivel Premium de Security Command Center, esta detección solo está disponible si el nivel Standard está habilitado en la organización principal.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre un resultado de Exfiltration: BigQuery Data Extraction, tal como se indica en el artículo Revisar resultados. Se abrirá el panel de detalles del resultado en la pestaña Resumen.

  2. En la pestaña Resumen del panel de detalles de la detección, consulta los valores que se indican en las siguientes secciones:

    • Qué se detectó:
      • Correo principal: la cuenta que se ha usado para extraer los datos.
      • Fuentes de exfiltración: detalles sobre las tablas de las que se han exfiltrado datos.
      • Destinos de filtraciones externas: detalles sobre las tablas en las que se almacenaron los datos filtrados.
    • Recurso afectado:
      • Nombre completo del recurso: el nombre del recurso de BigQuery cuyos datos se han filtrado.
      • Nombre completo del proyecto: el Google Cloud proyecto que contiene el conjunto de datos de BigQuery de origen.
    • Enlaces relacionados:
      • URI de Cloud Logging: enlace a las entradas de registro.
      • Método MITRE ATT&CK: enlace a la documentación de MITRE ATT&CK.
      • Hallazgos relacionados: enlaces a los hallazgos relacionados.

  3. En el panel de detalles de la detección, haz clic en la pestaña JSON.

  4. En el JSON, anota los siguientes campos.

    • sourceProperties:
      • evidence:
        • sourceLogId:
        • projectId: el proyecto Google Cloud que contiene el conjunto de datos de BigQuery de origen.
      • properties:
        • extractionAttempt:
        • jobLink: el enlace al trabajo de BigQuery que ha filtrado datos

Paso 2: Revisa los permisos y la configuración

  1. En la consola, ve a la página Gestión de identidades y accesos. Google Cloud

    Ir a IAM

  2. Si es necesario, seleccione el proyecto que aparece en el campo projectId del JSON del resultado (del paso 1).

  3. En la página que aparece, en el cuadro Filtrar, introduce la dirección de correo que figura en Correo principal (del paso 1) y comprueba qué permisos se han asignado a la cuenta.

Paso 3: Consulta los registros

  1. En la pestaña Resumen del panel de detalles de la detección, haga clic en el enlace URI de Cloud Logging para abrir Explorador de registros.
  2. Para encontrar registros de actividad de administrador relacionados con tareas de BigQuery, usa los siguientes filtros:
    • protoPayload.methodName="Jobservice.insert"
    • protoPayload.methodName="google.cloud.bigquery.v2.JobService.InsertJob"

Paso 4: Investiga los métodos de ataque y respuesta

  1. Consulta la entrada del framework ATT&CK de MITRE para este tipo de alerta: Exfiltración a través de un servicio web: exfiltración a Cloud Storage.
  2. Para consultar los hallazgos relacionados, haz clic en el enlace de la fila Hallazgos relacionados de la pestaña Resumen de los detalles del hallazgo. Los resultados relacionados son del mismo tipo y se encuentran en la misma instancia y red.
  3. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE.

Paso 5: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

Siguientes pasos