データ漏洩: Cloud SQL から外部組織へのバックアップの復元

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。利用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

監査ログを調べてバックアップから組織またはプロジェクト外の Cloud SQL インスタンスにデータが復元されたかどうかを判断することで、Cloud SQL バックアップからのデータ漏洩を検出します。Cloud SQL インスタンスとバックアップの全タイプがサポートされています。

顧客への対処方法

この検出結果に対応する手順は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、Exfiltration: Cloud SQL Restore Backup to External Organization の検出結果を開きます。

  2. 検出結果の詳細パネルの [概要] タブで、次のセクションの情報を確認します。

    • 検出された内容（特に次のフィールド）:
      • プリンシパルのメール: データの漏洩に使用されたアカウント。
      • データの引き出しのソース: バックアップの作成元となった Cloud SQL インスタンスの詳細。
      • データの引き出しのターゲット: バックアップ データの復元先の Cloud SQL インスタンスの詳細。
    • 影響を受けているリソース（特に次のフィールド）:
      • リソースの完全な名前: 復元されたバックアップのリソース名。
      • プロジェクトのフルネーム: バックアップの作成元となった Cloud SQL インスタンスを含む Google Cloud プロジェクト。

  3. 関連リンク（特に次のフィールド）:

    • Cloud Logging URI: Logging エントリへのリンク。
    • MITRE ATT&CK 方式: MITRE ATT&CK ドキュメントへのリンク。
    • 関連する検出結果: 関連する検出結果へのリンク。

  4. [JSON] タブをクリックします。

  5. [JSON] で、次のフィールドを確認します。

    • resource:
      • parent_name: バックアップ作成元の Cloud SQL インスタンスのリソース名
    • evidence:
      • sourceLogId:
        • projectId: ソースの BigQuery データセットを含む Google Cloud プロジェクト。
    • properties:
      • restoreToExternalInstance:
        • backupId: 復元されたバックアップ実行の ID

ステップ 2: 権限と設定を確認する

  1. Google Cloud コンソールで、[IAM] ページに移動します。

    [IAM] に移動

  2. 必要に応じて、検出結果の JSON の projectId フィールド（ステップ 1 を参照）に表示されているインスタンスのプロジェクトを選択します。

  3. 表示されたページの [フィルタ] ボックスに、[プリンシパルのメール] のメールアドレス（ステップ 1 を参照）を入力し、アカウントに割り当てられている権限を確認します。

ステップ 3: ログを確認する

  1. Google Cloud コンソールで、Cloud Logging の URI のリンク（ステップ 1 を参照）をクリックして、[ログ エクスプローラ] に移動します。[ログ エクスプローラ] ページには、該当する Cloud SQL インスタンスに関するすべてのログがあります。

ステップ 4: 攻撃とレスポンスの手法を調査する

  1. この検出結果タイプに対応する MITRE ATT&CK フレームワークのエントリ（Exfiltration Over Web Service: Exfiltration to Cloud Storage）を確認します。
  2. 関連する検出結果を確認するには、[関連する検出結果] 行のリンクをクリックします（ステップ 1 を参照）。関連する検出結果の検出タイプは、同じ Cloud SQL インスタンス上で同一です。
  3. 対応計画を策定するには、独自の調査結果と MITRE の調査を組み合わせる必要があります。

ステップ 5: レスポンスを実装する

次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。

  • データが漏洩したプロジェクトのオーナーに連絡します。
  • 調査が完了するまでは、検出結果の詳細の [概要] タブにある [プリンシパルのメール] 行のプリンシパルの権限を取り消すことを検討してください。
  • これ以上の漏洩を止めるには、影響を受けた Cloud SQL インスタンスに制限付きの IAM ポリシーを追加します。
  • Cloud SQL Admin API へのアクセスを制限するには、VPC Service Controls を使用します。
  • 過度に制限の緩いロールを特定して修正するには、IAM Recommender を使用します。

次のステップ