Exfiltration : exfiltration de données Cloud SQL

Ce document décrit un type de résultat de menace dans Security Command Center. Les résultats de menace sont générés par les détecteurs de menaces lorsqu'ils détectent une menace potentielle dans vos ressources cloud. Pour obtenir la liste complète des résultats de menace disponibles, consultez l'index des résultats de menace.

Présentation

Il est possible de détecter une exfiltration de données de Cloud SQL en recherchant dans les journaux d'audit deux scénarios différents :

  • Données d'instance actives exportées vers un bucket Cloud Storage en dehors de l'organisation.
  • Données d'instance actives exportées vers un bucket Cloud Storage appartenant à l'organisation, mais accessible au public.

Tous les types d'instances Cloud SQL sont compatibles.

Pour les activations du niveau Premium de Security Command Center au niveau du projet, ce résultat n'est disponible que si le niveau Standard est activé dans l'organisation parente.

Comment répondre

Pour répondre à ce résultat, procédez comme suit :

Étape 1 : Examiner les détails du résultat

  1. Ouvrez un résultat Exfiltration: Cloud SQL Data Exfiltration, comme indiqué dans la section Examiner les résultats. Le panneau d'informations sur le résultat s'ouvre sur l'onglet Résumé.

  2. Dans l'onglet Récapitulatif, examinez les informations des sections suivantes :

    • Ce qui a été détecté, en particulier les champs suivants :
      • Adresse e-mail principale : compte utilisé pour exfiltrer les données.
      • Sources d'exfiltration : détails concernant l'instance Cloud SQL dont les données ont été exfiltrées.
      • Cibles d'exfiltration : détails sur le bucket Cloud Storage vers lequel les données ont été exportées.
    • Ressource concernée, en particulier les champs suivants :
      • Nom complet de la ressource : nom de la ressource Cloud SQL dont les données ont été exfiltrées.
      • Nom complet du projet : projet Google Cloud contenant les données Cloud SQL sources.
    • Liens associés, y compris :
      • URI Cloud Logging : lien vers les entrées de journalisation.
      • Méthode MITRE ATT&CK : lien vers la documentation MITRE ATT&CK.
      • Résultats associés : liens vers les résultats associés.

  3. Cliquez sur l'onglet JSON.

  4. Dans le JSON du résultat, notez les champs suivants :

    • sourceProperties :
      • evidence :
      • sourceLogId :
        • projectId : projet Google Cloud contenant l'instance Cloud SQL source.
      • properties
      • bucketAccess : indique si le bucket Cloud Storage est accessible au public ou externe à l'organisation.
      • exportScope : quantité de données exportées (l'instance entière, une ou plusieurs bases de données, une ou plusieurs tables, ou un sous-ensemble spécifié par une requête).

Étape 2 : Vérifier les autorisations et les paramètres

  1. Dans la console Google Cloud , accédez à la page IAM.

    Accéder à IAM

  2. Si nécessaire, sélectionnez le projet de l'instance répertoriée dans le champ projectId du JSON du résultat (à l'étape 1).

  3. Sur la page qui s'affiche, dans la zone Filtre, saisissez l'adresse e-mail indiquée sur la ligne Adresse e-mail principale de l'onglet Récapitulatif des détails du résultat (à l'étape 1). Vérifiez les autorisations attribuées au compte.

Étape 3 : Vérifier les journaux

  1. Dans la console Google Cloud , accédez à l'explorateur de journaux en cliquant sur le lien dans URI Cloud Logging (à l'étape 1). La page Explorateur de journaux inclut tous les journaux liés à l'instance Cloud SQL concernée.

Étape 4 : Rechercher des méthodes d'attaque et de réponse

  1. Examinez l'entrée du framework MITRE ATT&CK pour ce type de résultat : Exfiltration over Web Service: Exfiltration to Cloud Storage (Exfiltration via service Web : Exfiltration vers Cloud Storage).
  2. Examinez les résultats associés en cliquant sur le lien de la ligne Résultats associés décrit à l'étape 1. Le type des résultats associés est le même, sur la même instance Cloud SQL.
  3. Pour élaborer un plan de réponse, combinez les résultats de vos enquêtes avec la recherche MITRE.

Étape 5 : Mettre en œuvre votre réponse

Le plan de réponse suivant peut être adapté à ce résultat, mais peut également avoir une incidence sur les opérations. Évaluez soigneusement les informations que vous collectez dans votre enquête pour déterminer la meilleure façon de solutionner les menaces détectées.

Étapes suivantes