權限提升：將敏感角色授予混合群組

本文說明 Security Command Center 中的威脅發現項目類型。威脅偵測工具偵測到雲端資源中可能存在威脅時，就會產生威脅發現項目。如需可用威脅發現項目的完整清單，請參閱「威脅發現項目索引」。

總覽

含有外部成員的 Google 群組獲派敏感角色或權限。

Event Threat Detection 是這項發現的來源。

回應方式

下列回應計畫可能適用於這項發現，但也可能影響作業。 請仔細評估調查期間收集到的資訊，找出解決問題的最佳方法。

如要回應這項發現，請按照下列步驟操作：

步驟 1：查看調查結果詳細資料

  1. 按照「查看結果」一文的說明，開啟一項Privilege Escalation: Sensitive Role Granted To Hybrid Group 結果。系統會開啟該發現項目的詳細資料面板，並顯示「摘要」分頁。

  2. 在「摘要」分頁中，查看下列各節的資訊：

    • 偵測到的內容，特別是下列欄位：
      • 主要電子郵件地址：進行變更的帳戶，可能已遭盜用。
    • 受影響的資源，尤其是下列欄位：
      • 完整資源名稱：授予新角色的資源。
    • 相關連結，尤其是下列欄位：
      • Cloud Logging URI：記錄檔項目的連結。
      • MITRE ATT&CK 方法：連結至 MITRE ATT&CK 文件。
      • 相關發現項目：任何相關發現項目的連結。
    1. 按一下「JSON」分頁標籤。
    2. 請注意 JSON 中的下列欄位。
    • groupName：變更的 Google 群組
    • bindingDeltas：新授予這個群組的敏感角色。

步驟 2：查看群組權限

  1. 前往 Google Cloud 控制台的「IAM」頁面。

    前往「IAM」頁面

  2. 在「Filter」欄位中，輸入 groupName 中列出的帳戶名稱。

  3. 查看授予群組的敏感角色。

  4. 如果不需要新加入的敏感角色，請撤銷該角色。

    您必須具備特定權限，才能管理機構或專案中的角色。詳情請參閱「必要權限」。

步驟 3：檢查記錄

  1. 在「發現項目詳細資料」面板的「摘要」分頁中，按一下「Cloud Logging URI」連結，開啟「記錄檔探索工具」。

  2. 必要時，請選取專案。

  3. 在載入的頁面中，使用下列篩選條件檢查 Google 群組設定變更的記錄：

    • protoPayload.methodName="SetIamPolicy"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

步驟 4：研究攻擊和回應方法

  1. 查看這類發現的 MITRE ATT&CK 架構項目： 有效帳戶。
  2. 如要判斷是否需要採取其他補救措施，請將調查結果與 MITRE 研究結合。

後續步驟