Evasión de defensa: Se modificó la filtración de IP del bucket de GCS

En este documento, se describe un tipo de resultado de amenazas en Security Command Center. Los detectores de amenazas generan resultados de amenazas cuando detectan una amenaza potencial en tus recursos de Cloud. Para obtener una lista completa de los resultados de amenazas disponibles, consulta el Índice de resultados de amenazas.

Descripción general

Event Threat Detection examina los registros de auditoría para detectar si se actualizó la configuración del filtro de IP en un bucket de Cloud Storage.

Cómo responder

Para responder a este hallazgo, haz lo siguiente:

Paso 1: Revisa los detalles del hallazgo

  1. Abre el hallazgo de Defense Evasion: GCS Bucket IP Filtering Modified, como se detalla en Revisa los hallazgos. Se abre el panel de detalles para el hallazgo en la pestaña Resumen.
  2. En la pestaña Resumen, revisa la información de las siguientes secciones:
    • Qué se detectó, especialmente los siguientes campos:
      • Descripción: Información sobre la detección
      • Sujeto principal: Es un usuario o una cuenta de servicio que ejecutó correctamente una acción.
    • Recurso afectado
      • Nombre visible del recurso: Es el bucket en el que se actualizó la configuración.
    • Vínculos relacionados, en especial los siguientes campos:
      • Método MITRE ATT&CK: Vínculo a la documentación de MITRE ATT&CK.
      • URI de Logging: Es un vínculo para abrir el Explorador de registros.

Paso 2: Investiga los métodos de ataque y respuesta

Comunícate con el propietario de la cuenta de servicio o la cuenta de usuario en el campo Principal subject. Confirma si el propietario legítimo realizó la acción.

¿Qué sigue?