権限昇格: 特権グループに追加された外部メンバー

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

プロジェクト レベルで有効にしている場合、この検出結果は利用できません。

外部のメンバーが特権 Google グループ（機密性の高いロールまたは権限が付与されたグループ）に追加されました。

対処方法

この検出結果に対応する手順は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、Privilege Escalation: External Member Added To Privileged Group の検出結果を開きます。検出結果の詳細パネルが開き、[概要] タブが表示されます。

  2. [概要] タブで、次のセクションの情報を確認します。

    • 検出された内容（特に次のフィールド）:
      • プリンシパルのメール: 変更を行ったアカウント。
    • 影響を受けているリソース
    • 関連リンク（特に次のフィールド）:
      • Cloud Logging URI: Logging エントリへのリンク。
      • MITRE ATT&CK 方式: MITRE ATT&CK ドキュメントへのリンク。
      • 関連する検出結果: 関連する検出結果へのリンク。

  3. 詳細パネルで [JSON] タブをクリックします。

  4. [JSON] で、次のフィールドを確認します。

    • groupName: 変更が行われた Google グループ
    • externalMember: 新しく追加された外部メンバー
    • sensitiveRoles: このグループに関連付けられている機密性の高いロール

ステップ 2: グループ メンバーを確認する

  1. Google グループに移動します。

    Google グループに移動

  2. 確認するグループの名前をクリックします。

  3. ナビゲーション メニューで [メンバー] をクリックします。

  4. 新しく追加した外部メンバーがこのグループにない場合は、メンバー名の横にあるチェックボックスをオンにして、[メンバーを削除] または [メンバーの参加を禁止する] を選択します。

    メンバーを削除するには、Google Workspace 管理者であるか、Google グループのオーナーまたはマネージャーのロールが割り当てられている必要があります。詳しくは、グループのメンバーにロールを割り当てるをご覧ください。

ステップ 3: ログを確認する

  1. 検出結果の詳細パネルの [概要] タブで、[Cloud Logging URI] リンクをクリックして [ログ エクスプローラ] を開きます。

  2. 必要に応じて、プロジェクトを選択します。

  3. 読み込まれたページで、次のフィルタを使用して Google グループのメンバーの変更のログを確認します。

    • protoPayload.methodName="google.apps.cloudidentity.groups.v1.MembershipsService.UpdateMembership"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

ステップ 4: 攻撃とレスポンスの手法を調査する

  1. この検出結果に対応する MITRE ATT＆CK フレームワークのエントリ（有効なアカウント）を確認します。
  2. 追加の修復手順が必要かどうかを判断するために、調査結果を MITRE の調査と組み合わせます。

次のステップ