本文說明 Security Command Center 中的威脅發現項目類型。威脅偵測工具偵測到雲端資源中可能存在威脅時，就會產生威脅發現項目。如需可用威脅發現項目的完整清單，請參閱威脅發現項目索引。
總覽
這項發現項目不適用於專案層級的啟用作業。
根據要求 IP 位址的地理位置，IAM 使用者或服務帳戶是從異常位置存取 Google Cloud。
Event Threat Detection 是這項發現項目的來源。
回應方式
如要回應這項發現項目，請按照下列步驟操作：
步驟 1：查看調查結果詳細資料
按照本頁稍早「查看調查結果詳細資料」一節的說明，開啟
Persistence: New Geography發現項目。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。在「摘要」分頁中，查看下列各節的資訊：
- 偵測到的內容，尤其是下列欄位：
- 主要電子郵件地址：可能遭盜用的使用者帳戶。
- 受影響的資源，尤其是下列欄位：
- 專案完整名稱：包含可能遭入侵使用者帳戶的專案。
- 相關連結，尤其是下列欄位：
- Cloud Logging URI：記錄項目連結。
- MITRE ATT&CK 方法：連結至 MITRE ATT&CK 文件。
- 相關發現項目：任何相關發現項目的連結。
- 在調查結果的詳細資料檢視畫面中，按一下「JSON」分頁標籤。
在 JSON 中，請注意下列
sourceProperties欄位：affectedResources：gcpResourceName：受影響的資源
evidence：sourceLogId：projectId：包含發現項目的專案 ID。
properties：anomalousLocation：anomalousLocation：使用者目前所在位置的預估值。callerIp：外部 IP 位址。notSeenInLast：用於建立正常行為基準的時間範圍。typicalGeolocations：使用者通常存取Google Cloud 資源的位置。
步驟 2：查看專案和帳戶權限
前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。
如有需要，請選取發現項目 JSON 中「
projectID」欄位列出的專案。在隨即顯示的頁面中，於「篩選器」方塊中輸入「主體電子郵件」中列出的帳戶名稱，並檢查已授予的角色。
步驟 3：檢查記錄
- 在發現項目詳細資料面板的「摘要」分頁中，按一下「Cloud Logging URI」連結，開啟「Logs Explorer」。
- 必要時，請選取專案。
- 在隨即載入的頁面中，使用下列篩選器檢查新或更新的 IAM 資源活動記錄：
protoPayload.methodName="SetIamPolicy"protoPayload.methodName="google.iam.admin.v1.UpdateRole"protoPayload.methodName="google.iam.admin.v1.CreateRole"protoPayload.authenticationInfo.principalEmail="principalEmail"
步驟 4：研究攻擊和應變方法
- 查看這類發現項目的 MITRE ATT&CK 框架項目： 有效帳戶：雲端帳戶。
- 如要制定回應計畫，請將調查結果與 MITRE 研究結合。
步驟 5：實作回應
下列應變計畫可能適用於這項發現，但也可能影響作業。 請仔細評估調查期間收集到的資訊，找出解決問題的最佳方式。
- 請與遭盜用的帳戶的專案擁有者聯絡。
- 查看「
anomalousLocation」、「typicalGeolocations」和「notSeenInLast」 欄位，確認存取權是否異常，以及帳戶是否遭到盜用。 - 刪除未經授權帳戶建立的專案資源，例如不熟悉的 Compute Engine 執行個體、快照、服務帳戶和 IAM 使用者。
- 如要限制只能在特定區域建立新資源，請參閱「限制資源位置」。
- 如要找出並修正權限過多的角色，請使用 IAM 建議工具。
發現項目 JSON 範例
以下是發現項目 JSON 的範例。
{ "finding": { "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "resourceName": "//k8s.io/coordination.k8s.io/v1/namespaces/kube-node-lease/leases/gke-cscc-security-tools-default-pool-7c5d7b59-bn2h", "state": "ACTIVE", "category": "Persistence: New Geography", "sourceProperties": { "sourceId": { "projectNumber": "PROJECT_NUMBER", "customerOrganizationNumber": "ORGANIZATION_ID" }, "detectionCategory": { "technique": "persistence", "indicator": "audit_log", "ruleName": "iam_anomalous_behavior", "subRuleName": "ip_geolocation" }, "detectionPriority": "LOW", "affectedResources": [{ "gcpResourceName": "RESOURCE_NAME" }, { "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER" }], "evidence": [{ "sourceLogId": { "projectId": "PROJECT_ID", "resourceContainer": "projects/PROJECT_ID", "timestamp": { "seconds": "1617994703", "nanos": 5.08853E8 }, "insertId": "INSERT_ID" } }], "properties": { "anomalousLocation": { "anomalousLocation": "BE", "callerIp": "IP_ADDRESS", "principalEmail": "PRINCIPAL_EMAIL", "notSeenInLast": "2592000s", "typicalGeolocations": [{ "country": { "identifier": "US" } }] } }, "findingId": "FINDING_ID", "contextUris": { "mitreUri": { "displayName": "MITRE Link", "url": "https://attack.mitre.org/techniques/T1078/004/" }, "cloudLoggingQueryUri": [{ "displayName": "Cloud Logging Query Link", "url": "https://console.cloud.google.com/logs/query;query\u003dtimestamp%3D%222021-04-09T18:58:23.508853Z%22%0AinsertId%3D%22INSERT_ID%22%0Aresource.labels.project_id%3D%22PROJECT_ID%22?project\u003dPROJECT_ID" }] } }, "securityMarks": { "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID/securityMarks" }, "eventTime": "2021-04-09T18:59:43.860Z", "createTime": "2021-04-09T18:59:44.440Z", "severity": "LOW", "workflowState": "NEW", "canonicalName": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID" }, "resource": { "name": "RESOURCE_NAME" } }
後續步驟
- 瞭解如何在 Security Command Center 中處理威脅調查結果。
- 請參閱威脅發現項目索引。
- 瞭解如何透過 Google Cloud 控制台查看發現項目。
- 瞭解產生威脅發現項目的服務。