Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

惡意軟體：加密貨幣挖礦無效 IP

本文說明 Security Command Center 中的威脅發現項目類型。威脅偵測工具偵測到雲端資源中可能存在威脅時，就會產生威脅發現項目。如需可用威脅發現項目的完整清單，請參閱威脅發現項目索引。

總覽

檢查虛擬私有雲流程記錄和 Cloud DNS 記錄，找出與已知指令與控制網域和 IP 位址的連線，即可偵測惡意軟體。

Event Threat Detection 是這項發現項目的來源。

回應方式

如要回應這項發現項目，請按照下列步驟操作：

步驟 1：查看調查結果詳細資料

按照「查看發現項目」一文的說明，開啟 Malware: Cryptomining Bad IP 發現項目。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
在「摘要」分頁中，查看下列各節的資訊：
- 偵測到的內容，尤其是下列欄位：
  - 來源 IP：疑似加密貨幣挖礦的 IP 位址。
  - 來源通訊埠：連線的來源通訊埠 (如有)。
  - 目的地 IP：目標 IP 位址。
  - 目的地通訊埠：連線的目的地通訊埠 (如有)。
  - 通訊協定：與連線相關聯的 IANA 通訊協定。
- 受影響的資源
- 相關連結，包括下列欄位：
  - 記錄 URI：記錄項目的連結。
  - MITRE ATT&CK 方法：連結至 MITRE ATT&CK 文件。
  - 相關發現項目：任何相關發現項目的連結。
  - Flow Analyzer：連結至 Network Intelligence Center 的 Flow Analyzer 功能。只有在啟用 VPC 流程記錄時，才會顯示這個欄位。
在調查結果的詳細資料檢視畫面中，按一下「來源屬性」分頁標籤。
展開「屬性」，並記下下列欄位中的專案和執行個體值：
- instanceDetails：請記下專案 ID 和 Compute Engine 執行個體的名稱。專案 ID 和執行個體名稱會顯示如下列範例所示：
```
/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME
```
如要查看發現項目的完整 JSON，請按一下「JSON」分頁標籤。

步驟 2：檢查權限和設定

前往 Google Cloud 控制台的「Dashboard」(資訊主頁) 頁面。

前往資訊主頁
選取 properties_project_id 中指定的專案。
前往「資源」資訊卡，然後點選「Compute Engine」。
按一下符合 properties_sourceInstance 的 VM 執行個體。調查可能遭入侵的執行個體是否感染惡意軟體。
在導覽窗格中，依序點選「VPC Network」(虛擬私有雲網路) 和「Firewall」(防火牆)。移除或停用過於寬鬆的防火牆規則。

步驟 3：檢查記錄

前往 Google Cloud 控制台的「Logs Explorer」頁面。

前往 Logs Explorer
在 Google Cloud 控制台工具列中選取專案。
在隨即載入的頁面中，使用下列篩選器找出與 Properties_ip_0 相關的虛擬私有雲流量記錄：
- logName="projects/properties_project_id/logs/compute.googleapis.com%2Fvpc_flows"
- (jsonPayload.connection.src_ip="Properties_ip_0" OR jsonPayload.connection.dest_ip="Properties_ip_0")

步驟 4：研究攻擊和應變方法

查看這類發現項目的 MITRE ATT&CK 架構項目：資源劫持。
如要制定回應計畫，請將調查結果與 MITRE 研究結合。

步驟 5：實作回應

下列應變計畫可能適用於這項發現，但也可能影響作業。請仔細評估調查期間收集到的資訊，找出解決問題的最佳方式。

與含有惡意軟體的專案擁有者聯絡。
調查可能遭入侵的執行個體，並移除發現的任何惡意軟體。如要協助偵測及移除，請使用端點偵測及回應解決方案。
如有必要，請停止遭入侵的執行個體，並換成新的執行個體。
更新防火牆規則或使用 Cloud Armor，封鎖惡意 IP 位址。視資料量而定，Cloud Armor 費用可能相當高昂。詳情請參閱 Cloud Armor 定價指南。

如要在 Google Cloud 控制台中啟用 Cloud Armor，請前往「Integrated Services」頁面。

前往「整合服務」

發現項目 JSON 範例

以下是發現項目 JSON 的範例。

{
  "finding": {
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "state": "ACTIVE",
    "category": "Malware: Cryptomining Bad IP",
    "sourceProperties": {
      "sourceId": {
        "projectNumber": "PROJECT_NUMBER",
        "customerOrganizationNumber": "ORGANIZATION_ID"
      },
      "detectionCategory": {
        "technique": "cryptomining",
        "indicator": "ip",
        "ruleName": "bad_ip",
        "subRuleName": "cryptomining"
      },
      "detectionPriority": "LOW",
      "affectedResources": [{
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }],
      "evidence": [{
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "1636566005",
            "nanos": 9.74622832E8
          },
          "insertId": "INSERT_ID"
        }
      }],
      "properties": {
        "ips": ["DESTINATION_IP_ADDRESS"],
        "instanceDetails": "/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID",
        "network": {
          "project": "PROJECT_ID",
          "location": "ZONE",
          "subnetworkId": "SUBNETWORK_ID",
          "subnetworkName": "default"
        },
        "ipConnection": {
          "srcIp": "SOURCE_IP_ADDRESS",
          "destIp": "DESTINATION_IP_ADDRESS",
          "protocol": 1.0
        },
        "indicatorContext": [{
          "ipAddress": "DESTINATION_IP_ADDRESS",
          "countryCode": "FR",
          "reverseDnsDomain": "REVERSE_DNS_DOMAIN",
          "carrierName": "CARRIER_NAME",
          "organizationName": "ORGANIZATION_NAME",
          "asn": "AUTONOMOUS_SYSTEM_NUMBERS"
        }],
        "srcVpc": {
        },
        "destVpc": {
          "projectId": "PROJECT_ID",
          "vpcName": "default",
          "subnetworkName": "default"
        }
      },
      "findingId": "FINDING_ID",
      "contextUris": {
        "mitreUri": {
          "displayName": "MITRE Link",
          "url": "https://attack.mitre.org/techniques/T1496/"
        },
        "virustotalIndicatorQueryUri": [{
          "displayName": "VirusTotal IP Link",
          "url": "https://www.virustotal.com/gui/ip-address/DESTINATION_IP_ADDRESS/detection"
        }],
        "cloudLoggingQueryUri": [{
          "displayName": "Cloud Logging Query Link",
          "url": "https://console.cloud.google.com/logs/query;query\u003dtimestamp%3D%222021-11-10T17:40:05.974622832Z%22%0AinsertId%3D%22INSERT_ID%22%0Aresource.labels.project_id%3D%22PROJECT_ID%22?project\u003dPROJECT_ID"
        }],
        "relatedFindingUri": {
        }
      }
    },
    "securityMarks": {
      "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID/securityMarks"
    },
    "eventTime": "2021-11-10T17:40:38.048Z",
    "createTime": "2021-11-10T17:40:38.472Z",
    "severity": "LOW",
    "workflowState": "NEW",
    "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID",
    "mute": "UNDEFINED",
    "findingClass": "THREAT",
    "indicator": {
      "ipAddresses": ["DESTINATION_IP_ADDRESS"]
    }
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "projectName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "projectDisplayName": "PROJECT_ID",
    "parentName": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parentDisplayName": "PARENT_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "displayName": "PROJECT_ID"
  }
}

後續步驟

瞭解如何在 Security Command Center 中處理威脅調查結果。
請參閱威脅發現項目索引。
瞭解如何透過 Google Cloud 控制台查看發現項目。
瞭解產生威脅發現項目的服務。