Persistencia: se ha añadido una secuencia de comandos de inicio de administrador de GCE

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

La clave de metadatos de instancia de Compute Engine startup-script o startup-script-url se ha cambiado en una instancia que se creó hace más de siete días.

Cómo responder

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

Para responder a esta observación, sigue estos pasos:

  1. Verifica si el cambio lo ha realizado un miembro de forma intencionada o si lo ha implementado un adversario para introducir un nuevo acceso a tu organización.

  2. Consulta los registros con los siguientes filtros:

    protopayload.resource.labels.instance_id=INSTANCE_ID
protoPayload.serviceName="compute.googleapis.com"
((protoPayload.metadata.instanceMetaData.addedMetadataKey : "startup-script" OR
protoPayload.metadata.instanceMetaData.modifiedMetadataKey : "startup-script" ) OR
(protoPayload.metadata.instanceMetaData.addedMetadataKey : "startup-script-url" OR
protoPayload.metadata.instanceMetaData.modifiedMetadataKey : "startup-script-url" ))
logName="organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity

    Haz los cambios siguientes:

    • INSTANCE_ID: el gceInstanceId que se indica en la conclusión
    • ORGANIZATION_ID: el ID de tu organización

  3. Investiga los eventos que activan este resultado:

Siguientes pasos