Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

竊取：BigQuery 資料竊取

本文說明 Security Command Center 中的威脅發現項目類型。威脅偵測工具偵測到雲端資源中可能存在威脅時，就會產生威脅發現項目。如需可用威脅發現項目的完整清單，請參閱威脅發現項目索引。

總覽

Exfiltration: BigQuery Data Exfiltration 傳回的結果包含兩種可能的子規則之一。每項子規則的嚴重程度不同：

子規則 exfil_to_external_table，嚴重程度 = HIGH：
- 資源儲存在您的機構或專案外部。
子規則 vpc_perimeter_violation，嚴重程度 = LOW：
- VPC Service Controls 封鎖了複製作業，或嘗試存取 BigQuery 資源。

Event Threat Detection 是這項發現項目的來源。

回應方式

如要回應這項發現項目，請按照下列步驟操作：

步驟 1：查看調查結果詳細資料

按照「查看發現項目」一文的說明，開啟 Exfiltration: BigQuery Data Exfiltration 發現項目。
在發現項目詳細資料面板的「摘要」分頁中，查看下列各節列出的值：
- 偵測到的內容：
  - 嚴重程度：子規則 exfil_to_external_table 的嚴重程度為 HIGH，子規則 vpc_perimeter_violation 的嚴重程度為 LOW。
  - 主要電子郵件地址：用來外洩資料的帳戶。
  - 外洩來源：資料外洩的資料表詳細資料。
  - 資料竊取目標：遭竊資料儲存位置的詳細資料。
- 受影響的資源：
  - 資源完整名稱：專案、資料夾或機構的完整資源名稱，資料就是從這些資源外洩。
- 相關連結：
  - Cloud Logging URI：記錄項目連結。
  - MITRE ATT&CK 方法：連結至 MITRE ATT&CK 文件。
  - 相關發現項目：任何相關發現項目的連結。
按一下「來源屬性」分頁標籤，然後查看顯示的欄位，特別是：
- detectionCategory：
  - subRuleName：exfil_to_external_table 或 vpc_perimeter_violation。
- evidence：
  - sourceLogId：
    - projectId：包含來源 BigQuery 資料集的 Google Cloud 專案。
- properties
  - dataExfiltrationAttempt
    - jobLink：外洩資料的 BigQuery 工作連結。
    - query：在 BigQuery 資料集上執行的 SQL 查詢。
如要查看發現項目的完整 JSON 屬性清單，請按一下「JSON」分頁標籤。

步驟 2：檢查權限和設定

前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

前往「IAM」頁面
如有需要，請選取發現項目 JSON 中「projectId」欄位列出的專案。
在隨即顯示的頁面中，於「篩選器」方塊中輸入「主體電子郵件」中列出的電子郵件地址，然後查看指派給該帳戶的權限。

步驟 3：檢查記錄

在發現項目詳細資料面板的「摘要」分頁中，按一下「Cloud Logging URI」連結，開啟「Logs Explorer」。
使用下列篩選器，找出與 BigQuery 工作相關的管理員活動記錄：
- protoPayload.methodName="Jobservice.insert"
- protoPayload.methodName="google.cloud.bigquery.v2.JobService.InsertJob"

步驟 4：研究攻擊和應變方法

查看這類發現項目的 MITRE ATT&CK 架構項目：透過網路服務外洩資料：外洩至雲端儲存空間。
按一下發現項目詳細資料「摘要」分頁中「相關發現項目」列的連結，即可查看相關發現項目。相關發現項目是指同一執行個體和網路上的相同發現項目類型。
如要制定回應計畫，請將調查結果與 MITRE 研究結合。

步驟 5：實作回應

下列應變計畫可能適用於這項發現，但也可能影響作業。請仔細評估調查期間收集到的資訊，找出解決問題的最佳方式。

與遭外洩資料的專案擁有者聯絡。
在調查完成前，請考慮撤銷 userEmail 的權限。
如要防止資料外洩，請為受影響的 BigQuery 資料集 (exfiltration.sources 和 exfiltration.targets) 新增限制性身分與存取權管理政策。
如要掃描受影響資料集中的私密資訊，請使用 Sensitive Data Protection。您也可以將 Sensitive Data Protection 資料傳送至 Security Command Center。視資訊量而定，Sensitive Data Protection 的費用可能相當高昂。請遵循最佳做法，控管 Sensitive Data Protection 費用。
如要限制 BigQuery API 的存取權，請使用 VPC 服務控管。
如要找出並修正權限過多的角色，請使用 IAM 建議工具。

發現項目 JSON 範例

以下是發現項目 JSON 的範例。

{
  "findings": {
    "access": {
      "principalEmail": "PRINCIPAL_EMAIL",
      "callerIp": "IP",
      "callerIpGeo": {
        "regionCode": "REGION_CODE"
      },
      "serviceName": "bigquery.googleapis.com",
      "methodName": "google.cloud.bigquery.v2.JobService.InsertJob"
    },
    "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID",
    "category": "Exfiltration: BigQuery Data Exfiltration",
    "cloudDlpDataProfile": {},
    "cloudDlpInspection": {},
    "createTime": "2023-05-30T15:49:59.709Z",
    "database": {},
    "eventTime": "2023-05-30T15:49:59.432Z",
    "exfiltration": {
      "sources": [
        {
          "name": "//bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID/tables/TABLE_ID"
        }
      ],
      "targets": [
        {
          "name": "//bigquery.googleapis.com/projects/TARGET_PROJECT_ID/datasets/TARGET_DATASET_ID/tables/TARGET_TABLE_ID"
        }
      ]
    },
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/etd",
    "indicator": {},
    "kernelRootkit": {},
    "kubernetes": {},
    "mitreAttack": {
      "primaryTactic": "EXFILTRATION",
      "primaryTechniques": [
        "EXFILTRATION_OVER_WEB_SERVICE",
        "EXFILTRATION_TO_CLOUD_STORAGE"
      ]
    },
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "parentDisplayName": "Event Threat Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "severity": "HIGH",
    "state": "ACTIVE",
    "vulnerability": {}
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "display_name": "PROJECT_ID",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "project_display_name": "PROJECT_ID",
    "parent_name": "//cloudresourcemanager.googleapis.com/folders/FOLDER_ID",
    "parent_display_name": "FOLDER_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": [
      {
        "resourceFolder": "//cloudresourcemanager.googleapis.com/folders/FOLDER_ID",
        "resourceFolderDisplayName": "FOLDER_NAME"
      }
    ]
  },
  "sourceProperties": {
    "sourceId": {
      "projectNumber": "PROJECT_NUMBER",
      "customerOrganizationNumber": "ORGANIZATION_ID"
    },
    "detectionCategory": {
      "technique": "org_exfiltration",
      "indicator": "audit_log",
      "ruleName": "big_query_exfil",
      "subRuleName": "exfil_to_external_table"
    },
    "detectionPriority": "HIGH",
    "affectedResources": [
      {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }
    ],
    "evidence": [
      {
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "1685461795",
            "nanos": 341527000
          },
          "insertId": "INSERT_ID"
        }
      }
    ],
    "properties": {
      "dataExfiltrationAttempt": {
        "jobState": "SUCCEEDED",
        "jobLink": "https://console.cloud.google.com/bigquery?j=bq:BIGQUERY_JOB_LOCATION:BIGQUERY_JOB_ID&project=PROJECT_ID&page=queryresults",
        "job": {
          "projectId": "PROJECT_ID",
          "jobId": "BIGQUERY_JOB_ID",
          "location": "BIGQUERY_JOB_LOCATION"
        },
        "query": "QUERY",
        "sourceTables": [
          {
            "resourceUri": "https://console.cloud.google.com/bigquery?p=PROJECT_ID&d=DATASET_ID&t=TABLE_ID&page=table",
            "projectId": "PROJECT_ID",
            "datasetId": "DATASET_ID",
            "tableId": "TABLE_ID"
          }
        ],
        "destinationTables": [
          {
            "resourceUri": "https://console.cloud.google.com/bigquery?p=TARGET_PROJECT_ID&d=TARGET_DATASET_ID&t=TARGET_TABLE_ID&page=table",
            "projectId": "TARGET_PROJECT_ID",
            "datasetId": "TARGET_DATASET_ID",
            "tableId": "TARGET_TABLE_ID"
          }
        ],
        "userEmail": "e2etest@PROJECT_ID.iam.gserviceaccount.com"
      },
      "principalEmail": "PRINCIPAL_EMAIL"
    },
    "findingId": "FINDING_ID",
    "contextUris": {
      "mitreUri": {
        "displayName": "MITRE Link",
        "url": "https://attack.mitre.org/techniques/T1567/002/"
      },
      "cloudLoggingQueryUri": [
        {
          "displayName": "Cloud Logging Query Link",
          "url": "https://console.cloud.google.com/logs/query;query=timestamp%3D%222023-05-30T15:49:55.341527Z%22%0AinsertId%3D%22INSERT_ID%22%0Aresource.labels.project_id%3D%22PROJECT_ID%22?project=PROJECT_ID"
        }
      ],
      "relatedFindingUri": {}
    }
  }
}

後續步驟

瞭解如何在 Security Command Center 中處理威脅調查結果。
請參閱威脅發現項目索引。
瞭解如何透過 Google Cloud 控制台查看發現項目。
瞭解產生威脅發現項目的服務。