Esfiltrazione: esfiltrazione dei dati di Cloud SQL

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.

Panoramica

L'esfiltrazione dei dati da Cloud SQL viene rilevata esaminando i log di controllo per due scenari:

  • Dati dell'istanza live esportati in un bucket Cloud Storage esterno all'organizzazione.
  • Dati dell'istanza live esportati in un bucket Cloud Storage di proprietà dell'organizzazione e accessibile pubblicamente.

Sono supportati tutti i tipi di istanze Cloud SQL.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Come rispondere

Per rispondere a questo risultato:

Passaggio 1: esamina i dettagli del risultato

  1. Apri un risultato Exfiltration: Cloud SQL Data Exfiltration come indicato in Revisione dei risultati. Il riquadro dei dettagli del risultato si apre nella scheda Riepilogo.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • Email principale : l'account utilizzato per estrarre i dati.
      • Origini dell'esfiltrazione: dettagli sull'istanza Cloud SQL i cui dati sono stati esfiltrati.
      • Destinazioni di esfiltrazione: dettagli sul bucket Cloud Storage in cui sono stati esportati i dati.
    • Risorsa interessata, in particolare i seguenti campi:
      • Nome completo risorsa: il nome risorsa di Cloud SQL i cui dati sono stati esfiltrati.
      • Nome completo del progetto: il progetto Google Cloud che contiene i dati Cloud SQL di origine.
    • Link correlati, tra cui:
      • URI Cloud Logging: link alle voci di log.
      • Metodo MITRE ATT&CK: link alla documentazione MITRE ATT&CK.
      • Risultati correlati: link a eventuali risultati correlati.

  3. Fai clic sulla scheda JSON.

  4. Nel JSON per il risultato, prendi nota dei seguenti campi:

    • sourceProperties:
      • evidence:
      • sourceLogId:
        • projectId: il Google Cloud progetto che contiene l'istanza Cloud SQL di origine.
      • properties
      • bucketAccess: indica se il bucket Cloud Storage è accessibile pubblicamente o esterno all'organizzazione
      • exportScope: la quantità di dati esportati, ad esempio l'intera istanza, uno o più database, una o più tabelle o un sottoinsieme specificato da una query)

Passaggio 2: rivedi le autorizzazioni e le impostazioni

  1. Nella console Google Cloud , vai alla pagina IAM.

    Vai a IAM

  2. Se necessario, seleziona il progetto dell'istanza elencata nel campo projectId del JSON del risultato (dal passaggio 1).

  3. Nella pagina visualizzata, nella casella Filtro, inserisci l'indirizzo email elencato nella riga Email principale della scheda Riepilogo dei dettagli del risultato (dal passaggio 1). Controlla le autorizzazioni assegnate all'account.

Passaggio 3: controlla i log

  1. Nella console Google Cloud , vai a Esplora log facendo clic sul link in URI Cloud Logging (dal passaggio 1). La pagina Esplora log include tutti i log relativi all'istanza Cloud SQL pertinente.

Passaggio 4: ricerca di metodi di attacco e risposta

  1. Esamina la voce del framework MITRE ATT&CK per questo tipo di risultato: Exfiltration Over Web Service: Exfiltration to Cloud Storage.
  2. Esamina i risultati correlati facendo clic sul link nella riga Risultati correlati descritta nel passaggio 1. I risultati correlati hanno lo stesso tipo di risultato sulla stessa istanza Cloud SQL.
  3. Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.

Passaggio 5: implementa la risposta

Il seguente piano di risposta potrebbe essere appropriato per questo risultato, ma potrebbe anche influire sulle operazioni. Valuta attentamente le informazioni raccolte durante l'indagine per determinare il modo migliore per risolvere i risultati.

Passaggi successivi