Persistencia: se ha concedido un rol sensible a una cuenta no gestionada

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Se ha concedido un rol sensible a una cuenta no gestionada. Los administradores del sistema no pueden controlar las cuentas no gestionadas. Por ejemplo, si el empleado correspondiente ha dejado la empresa, el administrador no puede eliminar la cuenta. Por lo tanto, conceder roles sensibles a cuentas no gestionadas supone un riesgo de seguridad potencial para la organización.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre la Persistence: Unmanaged Account Granted Sensitive Role detección siguiendo las instrucciones de la sección Revisar las detecciones.

  2. En los detalles del hallazgo, en la pestaña Resumen, anote los valores de los siguientes campos.

    En Qué se detectó:

    • Correo principal: el usuario que ha llevado a cabo la acción de concesión
    • Concesiones de acceso infractoras. Nombre principal: la cuenta no gestionada que recibe la concesión.
    • Concesiones de acceso infractoras.Rol concedido: el rol sensible concedido

Paso 2: Investiga los métodos de ataque y respuesta

  1. Ponte en contacto con el propietario del campo Correo principal. Confirma si el propietario legítimo ha llevado a cabo la acción.
  2. Ponte en contacto con el propietario del campo Offending access grants.Principal name (Concesiones de acceso infractoras.Nombre principal) para saber de dónde procede la cuenta no gestionada.

Paso 3: Consulta los registros

  1. En la pestaña Resumen del panel de detalles de la detección, en Enlaces relacionados, haz clic en el enlace URI de Cloud Logging para abrir el Explorador de registros.

Paso 4: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

  • Ponte en contacto con el propietario del proyecto en el que se ha realizado la acción.
  • Retira el acceso del propietario del correo principal si se ha visto comprometido.
  • Quita el rol sensible recién concedido de la cuenta no gestionada.
  • Convierte la cuenta no gestionada en una cuenta gestionada con la herramienta de transferencia y ponla bajo el control de los administradores del sistema.

Siguientes pasos