永続性: GCE 管理者による起動スクリプトの追加

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

7 日以上前に作成されたインスタンスで、startup-script または startup-script-url Compute Engine インスタンスのメタデータキーが変更されました。

対処方法

次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。

この検出結果に対応する手順は次のとおりです。

1. この変更がメンバーによって意図的に行われたものか、攻撃者が新しい経路で組織に行ったものかを確認します。

2. 次のフィルタを使用してログを確認します。

   protopayload.resource.labels.instance_id=INSTANCE_ID
   protoPayload.serviceName="compute.googleapis.com"
   ((protoPayload.metadata.instanceMetaData.addedMetadataKey : "startup-script" OR
   protoPayload.metadata.instanceMetaData.modifiedMetadataKey : "startup-script" ) OR
   (protoPayload.metadata.instanceMetaData.addedMetadataKey : "startup-script-url" OR
   protoPayload.metadata.instanceMetaData.modifiedMetadataKey : "startup-script-url" ))
   logName="organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   

   次のように置き換えます。

   • INSTANCE_ID: 検出結果に記載されている gceInstanceId
   • ORGANIZATION_ID: 組織 ID

3. この検出結果をトリガーするイベントの調査結果:

   • MITRE: https://attack.mitre.org/techniques/T1098/004/

次のステップ

• Security Command Center で脅威の検出結果を操作する方法を学習する。
• 脅威の検出結果のインデックスを参照する。
• Google Cloud コンソールで検出結果を確認する方法を学習する。
• 脅威の検出結果を生成するサービスについて学習する。