初期アクセス: 漏洩したサービス アカウント キーの使用

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

漏洩したサービス アカウント キーがアクションを認証するために使用されました。ここで、漏洩したサービス アカウント キーは公共のインターネットに投稿されたものです。たとえば、サービス アカウント キーが GitHub の公開リポジトリに誤って投稿されることがあります。

対処方法

この検出結果に対応する手順は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、Initial Access: Leaked Service Account Key Used の検出結果を開きます。

  2. [検出の詳細] の [概要] タブで、次のフィールドの値をメモします。

    検出された内容の以下のフィールド:

    • プリンシパルのメール: この操作で使用されるサービス アカウント
    • サービス名: サービス アカウントによってアクセスされた Google Cloud サービスの API 名
    • メソッド名: アクションのメソッド名
    • サービス アカウント キー名: この操作の認証に使用される漏洩したサービス アカウント キー
    • 説明: 検出された内容の説明。公共のインターネット上のサービス アカウント キーがある場所が含まれます。

    影響を受けているリソースの以下のフィールド:

    • リソースの表示名: アクションに関係するリソース

ステップ 2: ログを確認する

  1. Google Cloud コンソールで、Cloud Logging URI 内のリンクをクリックして [ログ エクスプローラ] に移動します。
  2. Google Cloud コンソールのツールバーで、プロジェクトまたは組織を選択します。

  3. 読み込まれたページで、次のフィルタを使用して関連ログを見つけます。

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"
    • protoPayload.authenticationInfo.serviceAccountKeyName="SERVICE_ACCOUNT_KEY_NAME"

    PRINCIPAL_EMAIL は、検出結果の詳細の [プリンシパルのメール] フィールドからメモした値に置き換えます。SERVICE_ACCOUNT_KEY_NAME は、検出結果の詳細の [サービス アカウント キー名] フィールドからメモした値に置き換えます。

ステップ 3: レスポンスを実装する

次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。

  • [サービス アカウント] ページで、サービス アカウント キーをすぐに取り消します。
  • サービス アカウント キーが投稿されたウェブページまたは GitHub リポジトリを削除します。
  • 不正使用されたサービス アカウントの削除を検討してください。
  • 不正使用の可能性があるプロジェクトに対するサービス アカウントのアクセスキーをすべてローテーションして削除します。削除後は、このサービス アカウントを認証に使用するアプリケーションにアクセスできなくなります。削除する前に、セキュリティ チームは影響を受けるすべてのアプリケーションを特定し、アプリケーションのオーナーと協力してビジネスの継続性を確保する必要があります。
  • セキュリティ チームと協力して、覚えのないリソース（Compute Engine インスタンス、スナップショット、サービス アカウント、IAM ユーザーなど）を特定します。承認済みアカウントで作成されていないリソースを削除します。
  • Cloud カスタマーケアからの通知に対応します。

次のステップ