Persistenz: Eine sensible Rolle wurde einem nicht verwalteten Konto gewährt

In diesem Dokument wird ein Typ von Bedrohungsergebnissen in Security Command Center beschrieben. Bedrohungsergebnisse werden von Bedrohungsdetektoren generiert, wenn sie eine potenzielle Bedrohung in Ihren Cloud-Ressourcen erkennen. Eine vollständige Liste der verfügbaren Bedrohungsergebnisse finden Sie im Index der Bedrohungsergebnisse.

Übersicht

Einem nicht verwalteten Konto wurde eine sensible Rolle zugewiesen. Nicht verwaltete Konten können von Systemadministratoren nicht gesteuert werden. Wenn der entsprechende Mitarbeiter das Unternehmen verlassen hat, kann der Administrator das Konto beispielsweise nicht löschen. Daher stellt die Zuweisung vertraulicher Rollen an nicht verwaltete Konten ein potenzielles Sicherheitsrisiko für die Organisation dar.

So reagieren Sie

Gehen Sie folgendermaßen vor, um auf dieses Ergebnis zu reagieren:

Schritt 1: Ergebnisdetails prüfen

  1. Öffnen Sie das Persistence: Unmanaged Account Granted Sensitive Role-Ergebnis, wie unter Ergebnisse prüfen beschrieben.

  2. Notieren Sie sich in den Ergebnisdetails auf dem Tab Zusammenfassung die Werte der folgenden Felder.

    Unter Was wurde erkannt?:

    • E-Mail-Adresse des Hauptkontos: Der Nutzer, der die Aktion zum Erteilen der Berechtigung ausgeführt hat.
    • Verletzende Zugriffsgewährungen. Hauptkontoname: Das nicht verwaltete Konto, das die Berechtigung erhält.
    • Verletzende Zugriffszuweisungen.Gewährte Rolle: Die gewährte sensible Rolle

Schritt 2: Angriffs- und Reaktionsmethoden untersuchen

  1. Wenden Sie sich an den Inhaber des Felds Haupt-E-Mail-Adresse. Bestätigen Sie, dass die Aktion vom rechtmäßigen Inhaber ausgeführt wurde.
  2. Fragen Sie den Inhaber des Felds Offending access grants.Principal name, um den Ursprung des nicht verwalteten Kontos zu ermitteln.

Schritt 3: Protokolle prüfen

  1. Klicken Sie im Detailbereich für den Befund auf dem Tab „Zusammenfassung“ unter Zugehörige Links auf den Link Cloud Logging-URI, um den Log-Explorer zu öffnen.

Schritt 4: Antwort implementieren

Der folgende Antwortplan ist möglicherweise für dieses Ergebnis geeignet, kann sich jedoch auch auf Vorgänge auswirken. Prüfen Sie die Informationen, die Sie im Rahmen Ihrer Untersuchung erfasst haben, sorgfältig, um die beste Lösung für die Ergebnisse zu ermitteln.

  • Wenden Sie sich an den Inhaber des Projekts, in dem die Maßnahme ergriffen wurde.
  • Entfernen Sie den Zugriff des Inhabers der Haupt-E-Mail-Adresse, wenn das Konto gehackt wurde.
  • Entfernen Sie die neu zugewiesene sensible Rolle aus dem nicht verwalteten Konto.
  • Erwägen Sie, das nicht verwaltete Konto mit dem Übertragungstool in ein verwaltetes Konto umzuwandeln und es unter die Kontrolle von Systemadministratoren zu stellen.

Nächste Schritte