Derivación de privilegios: Se otorgó un rol sensible a una cuenta de servicio inactiva

En este documento, se describe un tipo de resultado de amenazas en Security Command Center. Los detectores de amenazas generan resultados de amenazas cuando detectan una amenaza potencial en tus recursos de Cloud. Para obtener una lista completa de los resultados de amenazas disponibles, consulta el Índice de resultados de amenazas.

Descripción general

Se otorgó un rol de IAM sensible a una cuenta de servicio administrada por el usuario inactiva. En este contexto, se considera que una cuenta de servicio está inactiva si no se usó durante más de 180 días.

Cómo responder

Para responder a este hallazgo, haz lo siguiente:

Paso 1: Revisa los detalles del hallazgo

  1. Abre el hallazgo de Privilege Escalation: Dormant Service Account Granted Sensitive Role, como se indica en Revisa los hallazgos.

  2. En los detalles del hallazgo, en la pestaña Resumen, anota los valores de los siguientes campos.

    En Qué se detectó, se muestra lo siguiente:

    • Correo electrónico principal: El usuario que realizó la acción de otorgamiento
    • Otorgamientos de acceso infractores. Nombre de la principal: Es la cuenta de servicio inactiva que recibió el rol sensible.
    • Offending access grants.Role granted: Es el rol de IAM sensible que se asignó.

    En Recurso afectado, haz lo siguiente:

    • Nombre visible del recurso: Es la organización, la carpeta o el proyecto en el que se otorgó el rol de IAM sensible a la cuenta de servicio inactiva.

Paso 2: Investiga los métodos de ataque y respuesta

  1. Usa herramientas de cuentas de servicio, como el Analizador de actividad, para investigar la actividad de la cuenta de servicio inactiva.
  2. Comunícate con el propietario del campo Correo electrónico principal. Confirma si el propietario legítimo realizó la acción.

Paso 3: Comprueba los registros

  1. En la pestaña Resumen del panel de detalles del hallazgo, en Vínculos relacionados, haz clic en el vínculo URI de Cloud Logging para abrir el Explorador de registros.

Paso 4: Implementa tu respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas en tu investigación para determinar la mejor manera de resolver los resultados.

  • Comunícate con el propietario del proyecto en el que se realizó la acción.
  • Quita el acceso del propietario del correo electrónico principal si se ve comprometido.
  • Quita el rol de IAM sensible recién asignado de la cuenta de servicio inactiva.
  • Considera borrar la cuenta de servicio potencialmente vulnerada, además de rotar y borrar todas las claves de acceso de la cuenta de servicio del proyecto potencialmente vulnerado. Después de la eliminación, los recursos que usan la cuenta de servicio para la autenticación perderán el acceso. Antes de continuar, tu equipo de seguridad debe identificar todos los recursos afectados y trabajar con los propietarios de los recursos para garantizar la continuidad del negocio.
  • Trabaja con tu equipo de seguridad para identificar recursos desconocidos, incluidos instancias de Compute Engine, instantáneas, cuentas de servicio y usuarios de IAM. Borra los recursos que no se crearon con cuentas autorizadas.
  • Responde las notificaciones de la Atención al cliente de Cloud.
  • Para limitar quién puede crear cuentas de servicio, usa el Servicio de políticas de la organización.
  • Para identificar y corregir roles con demasiados permisos, usa el recomendador de IAM.

¿Qué sigue?