Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

惡意軟體：加密貨幣挖礦無效網域

本文說明 Security Command Center 中的威脅發現項目類型。威脅偵測工具偵測到雲端資源中可能存在威脅時，就會產生威脅發現項目。如需可用威脅發現項目的完整清單，請參閱威脅發現項目索引。

總覽

系統會檢查虛擬私有雲流程記錄和 Cloud DNS 記錄，找出與已知命令與控制網域和 IP 位址的連線，藉此偵測惡意軟體。

Event Threat Detection 是這項發現項目的來源。

回應方式

如要回應這項發現項目，請按照下列步驟操作：

步驟 1：查看調查結果詳細資料

按照「查看結果」一文的說明，開啟 Malware: Cryptomining Bad Domain 發現項目。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
在「摘要」分頁中，查看下列各節的資訊：
- 偵測到的內容，尤其是下列欄位：
  - 指標網域：觸發調查結果的網域。
- 受影響的資源，尤其是下列欄位：
  - 資源完整名稱：受影響的 Compute Engine 執行個體的完整資源名稱。
  - 專案完整名稱：包含發現項目的專案完整資源名稱。
- 相關連結，尤其是下列欄位：
  - Cloud Logging URI：記錄項目連結。
  - MITRE ATT&CK 方法：連結至 MITRE ATT&CK 文件。
  - 相關發現項目：任何相關發現項目的連結。
  - VirusTotal 指標：連結至 VirusTotal 分析頁面。
  - Flow Analyzer：連結至 Network Intelligence Center 的 Flow Analyzer 功能。只有在啟用 VPC 流程記錄時，才會顯示這個欄位。
1. 按一下「JSON」分頁標籤，並注意下列欄位：
  - evidence：
  - sourceLogId：
    - projectID：偵測到問題的專案 ID。
  - properties：
  - InstanceDetails：Compute Engine 執行個體的資源位址。

步驟 2：檢查權限和設定

前往 Google Cloud 控制台的「Dashboard」(資訊主頁) 頁面。

前往資訊主頁
在「摘要」分頁中，選取「專案全名」列指定的專案。
前往「資源」資訊卡，然後點選「Compute Engine」。
按一下與「Resource full name」(資源完整名稱) 中名稱和區域相符的 VM 執行個體。查看執行個體詳細資料，包括網路和存取權設定。
在導覽窗格中，依序點選「VPC Network」(虛擬私有雲網路) 和「Firewall」(防火牆)。移除或停用過於寬鬆的防火牆規則。

步驟 3：檢查記錄

在發現項目詳細資料面板的「摘要」分頁中，按一下「Cloud Logging URI」連結，開啟「Logs Explorer」。
在載入的頁面上，使用下列篩選器，在「來源 IP」中找出與 IP 位址相關的虛擬私有雲流程記錄：
- logName="projects/projectId/logs/compute.googleapis.com%2Fvpc_flows" AND (jsonPayload.connection.src_ip="SOURCE_IP" OR jsonPayload.connection.dest_ip="destIP")
  
  更改下列內容：
  - PROJECT_ID，然後選取 projectId 中列出的專案。
  - SOURCE_IP，並將 IP 位址列在發現項目詳細資料「摘要」分頁的「來源 IP」列中。

步驟 4：檢查 Flow Analyzer

您必須啟用虛擬私有雲流量記錄，才能執行下列程序。

確認您已升級記錄檔 bucket，可使用 Observability Analytics。如需操作說明，請參閱「升級 bucket 以使用記錄檔分析工具」。升級不會產生額外費用。
前往 Google Cloud 控制台的「Flow Analyzer」頁面：

前往 Flow Analyzer

您也可以透過「發現項目詳細資料」窗格「摘要」分頁標籤的「相關連結」部分，存取 Flow Analyzer。
如要進一步調查與 Event Threat Detection 發現項目相關的資訊，請使用動作列中的時間範圍挑選器變更時間範圍。時間範圍應反映首次回報發現項目的時間。舉例來說，如果是在過去 2 小時內回報的發現項目，您可以將時間範圍設為「過去 6 小時」。這可確保「Flow Analyzer」中的時間範圍包含發現項目回報的時間。
篩選「Flow Analyzer」，顯示與惡意 IP 發現項目相關聯的 IP 位址適當結果：
1. 在「Query」(查詢) 區段的「Source」(來源) 列中，從「Filter」(篩選器) 選單選取「IP」。
2. 在「Value」(值) 欄位中，輸入與發現項目相關聯的 IP 位址，然後按一下「Run New Query」(執行新查詢)。
  
  如果 Flow Analyzer 未顯示任何 IP 位址的結果，請清除「來源」列中的篩選器，然後在「目的地」列中套用相同篩選器，再次執行查詢。
分析結果。如要查看特定流程的詳細資訊，請在「所有資料流量」表格中點選「詳細資料」，開啟「流程詳細資料」窗格。

步驟 5：研究攻擊和應變方法

查看這類發現項目的 MITRE ATT&CK 框架項目：動態解析和命令與控制。
按一下發現項目詳細資料「摘要」分頁中「相關發現項目」列的連結，即可查看相關發現項目。相關發現項目是指類型相同，且屬於相同執行個體和網路的發現項目。
點選 VirusTotal 指標中的連結，前往 VirusTotal 檢查遭標記的網址和網域。VirusTotal 是 Alphabet 旗下的服務，可提供潛在惡意檔案、網址、網域和 IP 位址的相關資訊。
如要制定回應計畫，請將調查結果與 MITRE 研究結合。

步驟 6：實作回應

下列應變計畫可能適用於這項發現，但也可能影響作業。請仔細評估調查期間收集到的資訊，找出解決問題的最佳方式。

與含有惡意軟體的專案擁有者聯絡。
調查可能遭入侵的執行個體，並移除發現的任何惡意軟體。如要協助偵測及移除，請使用端點偵測及回應解決方案。
如要追蹤允許插入惡意軟體的活動和安全漏洞，請檢查與遭入侵執行個體相關聯的稽核記錄和系統記錄。
如有必要，請停止遭入侵的執行個體，並換成新的執行個體。
更新防火牆規則或使用 Cloud Armor，封鎖惡意 IP 位址。視資料量而定，Cloud Armor 費用可能相當高昂。詳情請參閱 Cloud Armor 定價指南。

如要在 Google Cloud 控制台中啟用 Cloud Armor，請前往「Integrated Services」頁面。

前往「整合服務」
如要控管 VM 映像檔的存取權和使用權，請使用受防護的 VM 和信任的映像檔 IAM 政策。

發現項目 JSON 範例

以下是發現項目 JSON 的範例。

{
  "finding": {
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "state": "ACTIVE",
    "category": "Malware: Cryptomining Bad Domain",
    "sourceProperties": {
      "sourceId": {
        "projectNumber": "PROJECT_NUMBER",
        "customerOrganizationNumber": "ORGANIZATION_ID"
      },
      "detectionCategory": {
        "technique": "cryptomining",
        "indicator": "domain",
        "ruleName": "bad_domain",
        "subRuleName": "cryptomining"
      },
      "detectionPriority": "LOW",
      "affectedResources": [{
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }],
      "evidence": [{
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "1636566099",
            "nanos": 5.41483849E8
          },
          "insertId": "INSERT_ID"
        }
      }],
      "properties": {
        "domains": ["DOMAIN"],
        "instanceDetails": "/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID",
        "network": {
          "project": "PROJECT_ID",
          "location": "ZONE"
        },
        "dnsContexts": [{
          "authAnswer": true,
          "sourceIp": "SOURCE_IP_ADDRESS",
          "queryName": "DOMAIN",
          "queryType": "A",
          "responseCode": "NXDOMAIN"
        }],
        "vpc": {
          "vpcName": "default"
        }
      },
      "findingId": "FINDING_ID",
      "contextUris": {
        "mitreUri": {
          "displayName": "MITRE Link",
          "url": "https://attack.mitre.org/techniques/T1496/"
        },
        "virustotalIndicatorQueryUri": [{
          "displayName": "VirusTotal Domain Link",
          "url": "https://www.virustotal.com/gui/domain/DOMAIN/detection"
        }],
        "cloudLoggingQueryUri": [{
          "displayName": "Cloud Logging Query Link",
          "url": "https://console.cloud.google.com/logs/query;query\u003dtimestamp%3D%222021-11-10T17:41:39.541483849Z%22%0AinsertId%3D%22INSERT_ID%22%0Aresource.labels.project_id%3D%22PROJECT_ID%22?project\u003dPROJECT_ID"
        }],
        "relatedFindingUri": {
        }
      }
    },
    "securityMarks": {
      "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID/securityMarks"
    },
    "eventTime": "2021-11-10T17:41:41.594Z",
    "createTime": "2021-11-10T17:41:42.014Z",
    "severity": "LOW",
    "workflowState": "NEW",
    "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID",
    "mute": "UNDEFINED",
    "findingClass": "THREAT",
    "indicator": {
      "domains": ["DOMAIN"]
    }
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "projectName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "projectDisplayName": "PROJECT_ID",
    "parentName": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parentDisplayName": "PARENT_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "displayName": "PROJECT_ID"
  }
}

後續步驟

瞭解如何在 Security Command Center 中處理威脅調查結果。
請參閱威脅發現項目索引。
瞭解如何透過 Google Cloud 控制台查看發現項目。
瞭解產生威脅發現項目的服務。