Aumento de privilégios: função sensível concedida a um grupo híbrido

Este documento descreve um tipo de deteção de ameaças no Security Command Center. As conclusões de ameaças são geradas por detetores de ameaças quando detetam uma potencial ameaça nos seus recursos da nuvem. Para ver uma lista completa das conclusões de ameaças disponíveis, consulte o Índice de conclusões de ameaças.

Vista geral

Foram concedidas funções ou autorizações confidenciais a um grupo Google com membros externos.

A Deteção de ameaças com base em eventos é a origem desta descoberta.

Como responder

O seguinte plano de resposta pode ser adequado para esta descoberta, mas também pode afetar as operações. Avalie cuidadosamente as informações recolhidas na sua investigação para determinar a melhor forma de resolver as conclusões.

Para responder a esta descoberta, faça o seguinte:

Passo 1: reveja os detalhes da descoberta

  1. Abra uma Privilege Escalation: Sensitive Role Granted To Hybrid Group descoberta, conforme indicado em Rever descobertas. O painel de detalhes da descoberta é aberto no separador Resumo.

  2. No separador Resumo, reveja as informações nas seguintes secções:

    • O que foi detetado, especialmente os seguintes campos:
      • Email principal: a conta que fez as alterações e que pode ter sido comprometida.
    • Recurso afetado, especialmente os seguintes campos:
      • Nome completo do recurso: o recurso onde a nova função foi concedida.
    • Links relacionados, especialmente os seguintes campos:
      • URI do Cloud Logging: link para as entradas do Logging.
      • Método MITRE ATT&CK: link para a documentação do MITRE ATT&CK.
      • Resultados relacionados: links para resultados relacionados.
    1. Clique no separador JSON.
    2. No JSON, tenha em atenção os seguintes campos.
    • groupName: o grupo Google onde as alterações foram feitas
    • bindingDeltas: as funções sensíveis que foram recentemente concedidas a este grupo.

Passo 2: reveja as autorizações de grupo

  1. Aceda à página IAM na Google Cloud consola.

    Aceda ao IAM

  2. No campo Filtro, introduza o nome da conta apresentado em groupName.

  3. Reveja as funções confidenciais concedidas ao grupo.

  4. Se a função sensível adicionada recentemente não for necessária, revogue a função.

    Precisa de autorizações específicas para gerir funções na sua organização ou projeto. Para mais informações, consulte o artigo Autorizações necessárias.

Passo 3: verifique os registos

  1. No separador Resumo do painel de detalhes da descoberta, clique no link URI do Cloud Logging para abrir o explorador de registos.

  2. Se necessário, selecione o seu projeto.

  3. Na página carregada, verifique os registos de alterações às definições do grupo Google usando os seguintes filtros:

    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

Passo 4: pesquise métodos de ataque e resposta

  1. Reveja a entrada da framework MITRE ATT&CK para este tipo de descoberta: Contas válidas.
  2. Para determinar se são necessários passos de correção adicionais, combine os resultados da sua investigação com a pesquisa da MITRE.

O que se segue?