Persistencia: nueva geografía

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Este hallazgo no está disponible para las activaciones a nivel de proyecto.

Un usuario o una cuenta de servicio de gestión de identidades y accesos está accediendo Google Cloud desde una ubicación anómala, según la geolocalización de la dirección IP de la solicitud.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre un resultado Persistence: New Geography siguiendo las instrucciones de la sección Consultar los detalles de un resultado de esta página. Se abre el panel de detalles del resultado en la pestaña Resumen.

  2. En la pestaña Resumen, consulte la información de las siguientes secciones:

  • Qué se detectó, especialmente los siguientes campos:
    • Correo principal: la cuenta de usuario que podría estar en peligro.
  • Recurso afectado, especialmente los siguientes campos:
    • Nombre completo del proyecto: el proyecto que contiene la cuenta de usuario que puede estar en peligro.
  • Enlaces relacionados, especialmente los siguientes campos:
    • URI de Cloud Logging: enlace a las entradas de registro.
    • Método MITRE ATT&CK: enlace a la documentación de MITRE ATT&CK.
    • Hallazgos relacionados: enlaces a los hallazgos relacionados.
  1. En la vista detallada de la detección, haga clic en la pestaña JSON.

  2. En el JSON, fíjate en los siguientes campos sourceProperties:

    • affectedResources:
      • gcpResourceName: el recurso afectado
    • evidence:
      • sourceLogId:
      • projectId: ID del proyecto que contiene el hallazgo.
    • properties:
      • anomalousLocation:
      • anomalousLocation: la ubicación actual estimada del usuario.
      • callerIp: la dirección IP externa.
      • notSeenInLast: el periodo que se usa para establecer un valor de referencia del comportamiento normal.
      • typicalGeolocations: las ubicaciones desde las que el usuario suele acceder a losGoogle Cloud recursos.

Paso 2: Revisa los permisos del proyecto y de la cuenta

  1. En la consola, ve a la página Gestión de identidades y accesos. Google Cloud

    Ir a IAM

  2. Si es necesario, seleccione el proyecto que aparece en el campo projectID del JSON del resultado.

  3. En la página que aparece, en el cuadro Filtrar, introduce el nombre de la cuenta que aparece en Correo principal y comprueba los roles concedidos.

Paso 3: Consulta los registros

  1. En la pestaña Resumen del panel de detalles de la detección, haga clic en el enlace URI de Cloud Logging para abrir Explorador de registros.
  2. Si es necesario, selecciona tu proyecto.
  3. En la página que se carga, consulta los registros de actividad de los recursos de gestión de identidades y accesos nuevos o actualizados con los siguientes filtros:
    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.methodName="google.iam.admin.v1.UpdateRole"
    • protoPayload.methodName="google.iam.admin.v1.CreateRole"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

Paso 4: Investiga los métodos de ataque y respuesta

  1. Consulta la entrada del framework ATT&CK de MITRE para este tipo de resultado: Cuentas válidas: cuentas en la nube.
  2. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE.

Paso 5: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

  • Ponte en contacto con el propietario del proyecto cuya cuenta se ha visto comprometida.
  • Revisa los campos anomalousLocation, typicalGeolocations y notSeenInLast para verificar si el acceso es anómalo y si la cuenta se ha visto comprometida.
  • Elimina los recursos del proyecto creados por cuentas no autorizadas, como instancias de Compute Engine, snapshots, cuentas de servicio y usuarios de IAM desconocidos.
  • Para restringir la creación de recursos nuevos a regiones específicas, consulta Restringir ubicaciones de recursos.
  • Para identificar y corregir roles demasiado permisivos, usa Recomendador de IAM.

Siguientes pasos