Rialzo dei privilegi: membro esterno aggiunto al gruppo con privilegi

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.

Panoramica

Questo risultato non è disponibile per le attivazioni a livello di progetto.

Un membro esterno è stato aggiunto a un gruppo Google con privilegi (un gruppo a cui sono stati concessi ruoli o autorizzazioni sensibili).

Come rispondere

Per rispondere a questo risultato:

Passaggio 1: esamina i dettagli del risultato

  1. Apri un Privilege Escalation: External Member Added To Privileged Group risultato come indicato in Revisione dei risultati. Il riquadro dei dettagli del risultato si apre nella scheda Riepilogo.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • Email entità: l'account che ha apportato le modifiche.
    • Risorsa interessata
    • Link correlati, in particolare i seguenti campi:
      • URI Cloud Logging: link alle voci di log.
      • Metodo MITRE ATT&CK: link alla documentazione MITRE ATT&CK.
      • Risultati correlati: link a eventuali risultati correlati.

  3. Nel riquadro dei dettagli, fai clic sulla scheda JSON.

  4. Nel JSON, prendi nota dei seguenti campi.

    • groupName: il gruppo Google in cui sono state apportate le modifiche
    • externalMember: il membro esterno appena aggiunto
    • sensitiveRoles: i ruoli sensibili associati a questo gruppo

Passaggio 2: rivedi i membri del gruppo

  1. Vai a Google Gruppi.

    Vai a Google Gruppi

  2. Fai clic sul nome del gruppo che vuoi esaminare.

  3. Nel menu di navigazione, fai clic su Membri.

  4. Se il membro esterno appena aggiunto non deve far parte di questo gruppo, fai clic sulla casella di controllo accanto al nome del membro e poi seleziona Rimuovi membro o Banna membro.

    Per rimuovere o aggiungere membri, devi essere un amministratore Google Workspace o disporre del ruolo Proprietario o Gestore nel gruppo Google. Per saperne di più, vedi Assegnare ruoli ai membri di un gruppo.

Passaggio 3: controlla i log

  1. Nella scheda Riepilogo del riquadro dei dettagli del problema, fai clic sul link URI Cloud Logging per aprire Esplora log.

  2. Se necessario, seleziona il progetto.

  3. Nella pagina visualizzata, controlla i log relativi alle modifiche all'appartenenza al gruppo Google utilizzando i seguenti filtri:

    • protoPayload.methodName="google.apps.cloudidentity.groups.v1.MembershipsService.UpdateMembership"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

Passaggio 4: ricerca di metodi di attacco e risposta

  1. Esamina la voce del framework MITRE ATT&CK per questo tipo di risultato: Account validi.
  2. Per determinare se sono necessari ulteriori passaggi di correzione, combina i risultati dell'indagine con la ricerca MITRE.

Passaggi successivi