Elevación de privilegios: se ha concedido un rol sensible a una cuenta de servicio inactiva

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Se ha concedido un rol de gestión de identidades y accesos sensible a una cuenta de servicio gestionada por el usuario inactiva. En este contexto, se considera que una cuenta de servicio está inactiva si no se ha usado durante más de 180 días.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre la Privilege Escalation: Dormant Service Account Granted Sensitive Role detección siguiendo las instrucciones de la sección Revisar las detecciones.

  2. En los detalles del hallazgo, en la pestaña Resumen, anote los valores de los siguientes campos.

    En Qué se detectó:

    • Correo principal: el usuario que ha llevado a cabo la acción de concesión
    • Concesiones de acceso infractoras.Nombre principal: la cuenta de servicio inactiva que ha recibido el rol sensible
    • Concesiones de acceso infractoras. Rol concedido: el rol de gestión de identidades y accesos sensible que se ha asignado.

    En Recurso afectado:

    • Nombre visible del recurso: la organización, la carpeta o el proyecto en el que se concedió el rol de gestión de identidades y accesos sensible a la cuenta de servicio inactiva.

Paso 2: Investiga los métodos de ataque y respuesta

  1. Usa herramientas de cuentas de servicio, como Analizador de actividad, para investigar la actividad de la cuenta de servicio inactiva.
  2. Ponte en contacto con el propietario del campo Correo principal. Confirma si el propietario legítimo ha llevado a cabo la acción.

Paso 3: Consulta los registros

  1. En la pestaña Resumen del panel de detalles de la detección, en Enlaces relacionados, haz clic en el enlace URI de Cloud Logging para abrir el Explorador de registros.

Paso 4: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

  • Ponte en contacto con el propietario del proyecto en el que se ha realizado la acción.
  • Retira el acceso del propietario del correo principal si se ha visto comprometido.
  • Quita el rol de gestión de identidades y accesos sensible que se acaba de asignar a la cuenta de servicio inactiva.
  • Te recomendamos que elimines la cuenta de servicio que pueda estar en peligro y que rotes y elimines todas las claves de acceso de la cuenta de servicio del proyecto que pueda estar en peligro. Después de eliminarla, los recursos que usen la cuenta de servicio para la autenticación perderán el acceso. Antes de continuar, tu equipo de seguridad debe identificar todos los recursos afectados y colaborar con los propietarios de los recursos para garantizar la continuidad del negocio.
  • Colabora con tu equipo de seguridad para identificar recursos desconocidos, como instancias de Compute Engine, snapshots, cuentas de servicio y usuarios de gestión de identidades y accesos. Elimina los recursos que no se hayan creado con cuentas autorizadas.
  • Responde a las notificaciones de Cloud Customer Care.
  • Para limitar quién puede crear cuentas de servicio, usa el servicio de políticas de la organización.
  • Para identificar y corregir roles demasiado permisivos, usa IAM Recommender.

Siguientes pasos