権限昇格: 使われていないサービス アカウントに対する権限借用ロールの付与

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

休眠状態にあるユーザー管理のサービス アカウントの権限を借用することを許可する権限借用ロールがプリンシパルに付与されました。この検出結果では、休眠状態のサービス アカウントが影響を受けるリソースであり、サービス アカウントが 180 日を超えて非アクティブであった場合に休眠状態とみなされます。

対処方法

この検出結果に対応する手順は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、Privilege Escalation: Impersonation Role Granted for Dormant Service Account の検出結果を開きます。

  2. [検出の詳細] の [概要] タブで、次のフィールドの値をメモします。

    検出された内容の以下のフィールド:

    • プリンシパルのメール: 付与アクションを実行したユーザー
    • 不適切なアクセス許可: プリンシパルの名称: 権限借用ロールが付与されたプリンシパル

    影響を受けているリソースの以下のフィールド:

    • リソースの表示名: リソースとしての休眠状態のサービス アカウント
    • プロジェクトのフルネーム: その休眠状態のサービス アカウントが存在するプロジェクト

ステップ 2: 攻撃とレスポンスの手法を調査する

  1. 使われていないサービス アカウントのアクティビティを調査するには、Activity Analyzer などのサービス アカウント ツールを使用します。
  2. [プリンシパルのメール] フィールドのオーナーに連絡します。正当なオーナーが操作を行ったかどうかを確認します。

ステップ 3: ログを確認する

  1. 検出の詳細パネルの [概要] タブの [関連リンク] で、[Cloud Logging URI] リンクをクリックして [ログ エクスプローラ] を開きます。

ステップ 4: レスポンスを実装する

次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。

  • 操作が行われたプロジェクトのオーナーに連絡します。
  • プリンシパルのメールのオーナーのアクセス権が不正使用された場合は、そのアクセス権を削除します。
  • 新しく付与された権限借用ロールをターゲット メンバーから削除します。
  • 不正使用された可能性のあるサービス アカウントを削除し、不正使用された可能性のあるプロジェクトのサービス アカウントのアクセスキーをすべてローテーションして削除することを検討します。削除後は、このサービス アカウントを認証に使用するアプリケーションにアクセスできなくなります。続行する前に、セキュリティ チームは影響を受けるすべてのアプリケーションを特定し、アプリケーションのオーナーと協力してビジネスの継続性を確保する必要があります。
  • セキュリティ チームと協力して、覚えのないリソース（Compute Engine インスタンス、スナップショット、サービス アカウント、IAM ユーザーなど）を特定します。承認済みアカウントで作成されていないリソースを削除します。
  • Cloud カスタマーケアからの通知に対応します。
  • サービス アカウントを作成できるユーザーを制限するには、組織のポリシー サービスを使用します。
  • 過度に制限の緩いロールを特定して修正するには、IAM Recommender を使用します。

次のステップ