權限提升：外部成員新增至特殊權限群組

本文說明 Security Command Center 中的威脅發現項目類型。威脅偵測工具偵測到雲端資源中可能存在威脅時，就會產生威脅發現項目。如需可用威脅發現項目的完整清單，請參閱威脅發現項目索引。

總覽

這項發現項目不適用於專案層級的啟用作業。

外部成員已新增至具備特殊權限的 Google 群組 (即獲派敏感角色或權限的群組)。

Event Threat Detection 是這項發現項目的來源。

回應方式

如要回應這項發現項目，請按照下列步驟操作：

步驟 1：查看調查結果詳細資料

  1. 按照「查看結果」一文的說明，開啟一項Privilege Escalation: External Member Added To Privileged Group 發現項目。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。

  2. 在「摘要」分頁中，查看下列各節的資訊：

    • 偵測到的內容，尤其是下列欄位：
      • 主體電子郵件地址：進行變更的帳戶。
    • 受影響的資源
    • 相關連結，尤其是下列欄位：
      • Cloud Logging URI：記錄項目連結。
      • MITRE ATT&CK 方法：連結至 MITRE ATT&CK 文件。
      • 相關發現項目：任何相關發現項目的連結。

  3. 在詳細資料面板中，按一下「JSON」分頁標籤。

  4. 請注意 JSON 中的下列欄位。

    • groupName：變更的 Google 群組
    • externalMember：新加入的外部成員
    • sensitiveRoles：與這個群組相關聯的敏感角色

步驟 2：查看群組成員

  1. 前往 Google 網路論壇。

    前往 Google 網路論壇

  2. 按一下要查看的群組名稱。

  3. 在導覽選單中，按一下「成員」。

  4. 如果新加入的外部成員不應屬於這個群組，請按一下成員名稱旁的核取方塊，然後選取「移除成員」或「禁止成員」。

    如要移除成員，您必須是 Google Workspace 管理員，或在 Google 群組中獲派「擁有者」或「管理員」角色。詳情請參閱「為群組成員指派角色」。

步驟 3：檢查記錄

  1. 在發現項目詳細資料面板的「摘要」分頁中，按一下「Cloud Logging URI」連結，開啟「Logs Explorer」。

  2. 必要時，請選取專案。

  3. 在載入的頁面中，使用下列篩選器檢查 Google 群組成員資格異動記錄：

    • protoPayload.methodName="google.apps.cloudidentity.groups.v1.MembershipsService.UpdateMembership"
    • protoPayload.authenticationInfo.principalEmail="principalEmail"

步驟 4：研究攻擊和應變方法

  1. 查看這類發現項目的 MITRE ATT&CK 架構項目：「有效帳戶」。
  2. 如要判斷是否需要採取其他補救措施，請將調查結果與 MITRE 研究結合。

發現項目 JSON 範例

以下是發現項目 JSON 的範例。

{
  "finding": {
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "resourceName": "//cloudidentity.googleapis.com/groups/GROUP_NAME@ORGANIZATION_NAME",
    "state": "ACTIVE",
    "category": "Privilege Escalation: External Member Added To Privileged Group",
    "sourceProperties": {
      "sourceId": {
        "organizationNumber": "ORGANIZATION_ID",
        "customerOrganizationNumber": "ORGANIZATION_ID"
      },
      "detectionCategory": {
        "technique": "persistence",
        "indicator": "audit_log",
        "ruleName": "external_member_added_to_privileged_group"
      },
      "detectionPriority": "HIGH",
      "affectedResources": [{
        "gcpResourceName": "//cloudidentity.googleapis.com/groups/GROUP_NAME@ORGANIZATION_NAME"
      }, {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID"
      }],
      "evidence": [{
        "sourceLogId": {
          "resourceContainer": "organizations/ORGANIZATION_ID",
          "timestamp": {
            "seconds": "1633622881",
            "nanos": 6.73869E8
          },
          "insertId": "INSERT_ID"
        }
      }],
      "properties": {
        "externalMemberAddedToPrivilegedGroup": {
          "principalEmail": "PRINCIPAL_EMAIL",
          "groupName": "group:GROUP_NAME@ORGANIZATION_NAME",
          "externalMember": "user:EXTERNAL_EMAIL",
          "sensitiveRoles": [{
            "resource": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
            "roleName": ["ROLES"]
          }]
        }
      },
      "findingId": "FINDING_ID",
      "contextUris": {
        "mitreUri": {
          "displayName": "MITRE Link",
          "url": " https://attack.mitre.org/techniques/T1078"
        },
        "cloudLoggingQueryUri": [{
          "displayName": "Cloud Logging Query Link",
          "url": "https://console.cloud.google.com/logs/query;query\u003dtimestamp%3D%222021-10-07T16:08:01.673869Z%22%0AinsertId%3D%22INSERT_ID%22%0Aresource.labels.project_id%3D%22%22?project\u003d"
        }]
      }
    },
    "securityMarks": {
      "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID/securityMarks"
    },
    "eventTime": "2021-10-07T16:08:03.888Z",
    "createTime": "2021-10-07T16:08:04.516Z",
    "severity": "HIGH",
    "workflowState": "NEW",
    "canonicalName": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "findingClass": "THREAT"
  },
  "resource": {
    "name": "//cloudidentity.googleapis.com/groups/GROUP_NAME@ORGANIZATION_NAME"
  }
}

後續步驟