本文說明 Security Command Center 中的威脅發現項目類型。威脅偵測工具偵測到雲端資源中可能存在威脅時，就會產生威脅發現項目。如需可用威脅發現項目的完整清單，請參閱威脅發現項目索引。
總覽
系統偵測到有人使用外洩的服務帳戶金鑰驗證動作。在此情況下，外洩的服務帳戶金鑰是指發布到公開網際網路的金鑰。舉例來說，服務帳戶金鑰經常會誤發布至公開的 GitHub 存放區。
Event Threat Detection 是這項發現項目的來源。
回應方式
如要回應這項發現項目，請按照下列步驟操作：
步驟 1：查看調查結果詳細資料
- 按照「查看發現項目」一文的說明，開啟
Initial Access: Leaked Service Account Key Used發現項目。 在「摘要」分頁的發現項目詳細資料中，記下下列欄位的值。
「偵測到的內容」下方會顯示以下資訊：
- 主體電子郵件地址：用於這項動作的服務帳戶
- 服務名稱：服務帳戶存取的 Google Cloud 服務 API 名稱
- 方法名稱：動作的方法名稱
- 服務帳戶金鑰名稱：用於驗證這項動作的外洩服務帳戶金鑰
- 說明：偵測到的內容說明，包括服務帳戶金鑰在公開網路上出現的位置
在「受影響的資源」下方：
- 資源顯示名稱：與動作相關的資源
步驟 2：檢查記錄
- 前往 Google Cloud 控制台的「Logs Explorer」(記錄檔探索工具)，方法是點選「Cloud Logging URI」(Cloud Logging URI) 中的連結。
- 在 Google Cloud 控制台工具列中，選取專案或機構。
在隨即載入的頁面中，使用下列篩選器找出相關記錄：
protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"protoPayload.authenticationInfo.serviceAccountKeyName="SERVICE_ACCOUNT_KEY_NAME"
將 PRINCIPAL_EMAIL 換成您在調查結果詳細資料的「Principal email」欄位中記下的值。請將 SERVICE_ACCOUNT_KEY_NAME 替換為您在發現項目詳細資料的「服務帳戶金鑰名稱」欄位中記下的值。
步驟 3：實作回應
下列應變計畫可能適用於這項發現，但也可能影響作業。 請仔細評估調查期間收集到的資訊，找出解決問題的最佳方式。
- 在「Service Accounts」(服務帳戶) 頁面中，立即撤銷服務帳戶金鑰。
- 移除發布服務帳戶金鑰的網頁或 GitHub 存放區。
- 建議刪除遭入侵的服務帳戶。
- 輪替並刪除可能遭入侵專案的所有服務帳戶存取金鑰。刪除後，使用該服務帳戶進行驗證的應用程式會失去存取權。刪除前，安全團隊應找出所有受影響的應用程式，並與應用程式擁有者合作，確保業務持續運作。
- 與安全團隊合作找出不熟悉的資源，包括 Compute Engine 執行個體、快照、服務帳戶和 IAM 使用者。刪除非授權帳戶建立的資源。
- 回覆 Cloud Customer Care 的任何通知。
發現項目 JSON 範例
以下是發現項目 JSON 的範例。
{ "findings": { "access": { "principalEmail": "SERVICE_ACCOUNT", "callerIp": "IP_ADDRESS", "callerIpGeo": { "regionCode": "US" }, "serviceName": "SERVICE_NAME", "methodName": "METHOD_NAME", "serviceAccountKeyName": "LEAKED_SERVICE_ACCOUNT_KEY" }, "assetDisplayName": "ASSET_DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_NUMBER/assets/ASSET_ID", "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID", "category": "Initial Access: Leaked Service Account Key Used", "contacts": { "security": { "contacts": [ { "email": "EMAIL_ADDRESS" } ] }, "technical": { "contacts": [ { "email": "EMAIL_ADDRESS" } ] } }, "createTime": "2023-07-18T10:35:47.381Z", "database": {}, "eventTime": "2023-07-18T10:35:47.270Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_NUMBER/firstPartyFindingProviders/etd", "indicator": {}, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "primaryTactic": "INITIAL_ACCESS", "primaryTechniques": [ "VALID_ACCOUNTS", "CLOUD_ACCOUNTS" ] }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_NUMBER/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_NUMBER/sources/SOURCE_ID", "parentDisplayName": "Event Threat Detection", "resourceName": "AFFECTED_RESOURCE", "severity": "HIGH", "sourceDisplayName": "Event Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "RESOURCE_NAME", "display_name": "RESOURCE_DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "project_display_name": "PROJECT_ID", }, "sourceProperties": { "sourceId": { "projectNumber": "PROJECT_NUMBER", "customerOrganizationNumber": "ORGANIZATION_NUMBER" }, "detectionCategory": { "ruleName": "leaked_sa_key_used" }, "detectionPriority": "HIGH", "affectedResources": [ { "gcpResourceName": "GOOGLE_RESOURCE" } ], "evidence": [ { "sourceLogId": { "projectId": "PROJECT_ID", "resourceContainer": "projects/PROJECT_ID", "timestamp": { "seconds": "1673519681", "nanos": 728289000 }, "insertId": "INSERT_ID" } } ], "properties": {}, "findingId": "FINDING_ID", "contextUris": { "mitreUri": { "displayName": "MITRE Link", "url": "https://attack.mitre.org/techniques/T1078/004/" } } }, "description": "A leaked service account key is used, the key is leaked at LEAKED_SOURCE_URL" }
後續步驟
- 瞭解如何在 Security Command Center 中處理威脅調查結果。
- 請參閱威脅發現項目索引。
- 瞭解如何透過 Google Cloud 控制台查看發現項目。
- 瞭解產生威脅發現項目的服務。