Autoinvestigación de cuentas de servicio

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Se están usando las credenciales de una cuenta de servicio para investigar los roles y los permisos asociados a esa misma cuenta de servicio. Este hallazgo indica que las credenciales de la cuenta de servicio pueden haberse visto comprometidas y que se deben tomar medidas inmediatas.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre un resultado Discovery: Service Account Self-Investigation siguiendo las instrucciones de la sección Consultar los detalles de un resultado de esta página. Se abre el panel de detalles del resultado en la pestaña Resumen.

  2. En la pestaña Resumen, consulte la información de las siguientes secciones:

    • Qué se detectó, especialmente los siguientes campos:
      • Gravedad: el nivel de riesgo asignado al hallazgo. La gravedad es HIGH si la llamada a la API que ha activado este resultado no está autorizada. La cuenta de servicio no tiene permiso para consultar sus propios permisos de gestión de identidades y accesos con la API projects.getIamPolicy.
      • Correo principal: la cuenta de servicio que puede estar en peligro.
      • IP de la persona que llama: la dirección IP interna o externa.
    • Recurso afectado, especialmente los siguientes campos:
      • Nombre completo del recurso:
      • Nombre completo del proyecto: el proyecto que contiene las credenciales de cuenta que pueden haberse filtrado.
    • Enlaces relacionados, especialmente los siguientes campos:
      • URI de Cloud Logging: enlace a las entradas de registro.
      • Método MITRE ATT&CK: enlace a la documentación de MITRE ATT&CK.
      • Hallazgos relacionados: enlaces a los hallazgos relacionados.
    1. Para ver el JSON completo de la detección, haga clic en la pestaña JSON.

Paso 2: Revisa los permisos del proyecto y de la cuenta de servicio

  1. En la consola, ve a la página Gestión de identidades y accesos. Google Cloud

    Ir a IAM

  2. Si es necesario, selecciona el proyecto que aparece en el campo projectID del JSON del resultado.

  3. En la página que aparece, en el cuadro Filtrar, introduzca el nombre de la cuenta que figura en Correo principal y compruebe los permisos asignados.

  4. En la Google Cloud consola, ve a la página Cuentas de servicio.

    Ir a Cuentas de servicio

  5. En la página que aparece, en el cuadro Filtro, introduce el nombre de la cuenta de servicio vulnerada y comprueba las claves de la cuenta de servicio y las fechas de creación de las claves.

Paso 3: Consulta los registros

  1. En la pestaña Resumen del panel de detalles de la detección, haga clic en el enlace URI de Cloud Logging para abrir Explorador de registros.
  2. Si es necesario, selecciona tu proyecto.
  3. En la página que se carga, consulta los registros de actividad de los recursos de gestión de identidades y accesos nuevos o actualizados con los siguientes filtros:
    • proto_payload.method_name="google.iam.admin.v1.CreateServiceAccount"
    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

Paso 4: Investiga los métodos de ataque y respuesta

  1. Consulta la entrada del framework ATT&CK de MITRE para este tipo de resultado: Descubrimiento de grupos de permisos: grupos en la nube.
  2. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE.

Paso 5: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

  • Ponte en contacto con el propietario del proyecto cuya cuenta se ha visto comprometida.
  • Elimina la cuenta de servicio vulnerada y rota y elimina todas las claves de acceso de la cuenta de servicio del proyecto vulnerado. Después de la eliminación, los recursos que usen la cuenta de servicio para la autenticación perderán el acceso.
  • Elimina los recursos del proyecto creados por la cuenta vulnerada, como instancias de Compute Engine, instantáneas, cuentas de servicio y usuarios de IAM desconocidos.

Siguientes pasos