サービス アカウントの自己調査

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。利用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

サービス アカウントの認証情報は、同じサービス アカウントに関連付けられたロールと権限の調査に使用されます。この検出結果は、サービス アカウントの認証情報が不正使用された可能性があるため、早急に対処する必要があることを示しています。

顧客への対処方法

この検出結果に対応する手順は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. このページの検出結果の詳細を確認するの説明に従って Discovery: Service Account Self-Investigation の検出結果を開きます。検出結果の詳細パネルが開き、[概要] タブが表示されます。

  2. [概要] タブで、次のセクションの情報を確認します。

    • 検出された内容（特に次のフィールド）:
      • 重大度: 検出結果に割り当てられたリスクレベル。この検出結果をトリガーした API 呼び出しが許可されていない場合、重大度は HIGH になります。サービス アカウントに projects.getIamPolicy API で独自の IAM 権限をクエリする権限がありません。
      • プリンシパルのメール: 不正使用の疑いがあるサービス アカウント。
      • 発信者の IP: 内部または外部 IP アドレス
    • 影響を受けているリソース（特に次のフィールド）:
      • リソースの完全な名前:
      • プロジェクトのフルネーム: 漏洩の疑いがあるアカウント認証情報を含むプロジェクト。
    • 関連リンク（特に次のフィールド）:
      • Cloud Logging URI: Logging エントリへのリンク。
      • MITRE ATT&CK 方式: MITRE ATT&CK ドキュメントへのリンク。
      • 関連する検出結果: 関連する検出結果へのリンク。
    1. 検出結果の完全な JSON を表示するには、[JSON] タブをクリックします。

ステップ 2: プロジェクトとサービス アカウントの権限を確認する

  1. Google Cloud コンソールで、[IAM] ページに移動します。

    [IAM] に移動

  2. 必要に応じて、検出結果の JSON の projectID フィールドに表示されているプロジェクトを選択します。

  3. 表示されたページの [フィルタ] ボックスに、[プリンシパルのメール] のアカウント名を入力して、割り当てられている権限を確認します。

  4. Google Cloud コンソールで、[サービス アカウント] ページに移動します。

    [サービス アカウント] に移動

  5. 表示されたページの [フィルタ] ボックスに、不正使用されているサービス アカウントの名前を入力して、サービス アカウントのキーとキーの作成日を確認します。

ステップ 3: ログを確認する

  1. 検出結果の詳細パネルの [概要] タブで、[Cloud Logging URI] リンクをクリックして [ログ エクスプローラ] を開きます。
  2. 必要に応じて、プロジェクトを選択します。
  3. 読み込まれたページで、次のフィルタを使用して、新規または更新された IAM リソースのアクティビティ ログを確認します。
    • proto_payload.method_name="google.iam.admin.v1.CreateServiceAccount"
    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

ステップ 4: 攻撃とレスポンスの手法を調査する

  1. この検出結果タイプの MITRE ATT&CK フレームワークのエントリ（Permission Groups Discovery: Cloud Groups）を確認します。
  2. 対応計画を策定するには、独自の調査結果と MITRE の調査を組み合わせる必要があります。

ステップ 5: レスポンスを実装する

次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。

  • アカウントが不正使用されているプロジェクトのオーナーに連絡します。
  • 不正使用されたサービス アカウントを削除し、不正使用されたプロジェクトのサービス アカウントのアクセスキーをすべてローテーションして削除します。削除後は、このサービス アカウントを認証に使用するリソースにアクセスできなくなります。
  • 覚えのない Compute Engine インスタンス、スナップショット、サービス アカウント、IAM ユーザーなど、不正使用されたアカウントによって作成されたプロジェクト リソースを削除します。

次のステップ