GCP-Data-Access-Logs: standardmäßig aus – und andere Lücken
Warum Data-Access-Audit-Logs in GCP die übliche Sackgasse sind: standardmäßig aus, 30 Tage Aufbewahrung, was ohne sie unsichtbar bleibt, was Sie aktivieren.
12 · DE
Blog
Artikel, Leitfäden und Updates.
Kompromittierung in GCP: ein fiktives Fallbeispiel
Ein fiktiver Google-Cloud-Vorfall von A bis Z: geleakter CI-Schlüssel, Owner für Gmail-Konto, Startskript-Hintertür, öffentlicher Bucket, gelöschter Sink.
VPC Flow Logs in GCP analysieren: Exfiltration erkennen
VPC Flow Logs aus Google Cloud in der Untersuchung nutzen: Felder, Sampling-Grenzen, ausgehender Verkehr je externer IP, Abgleich von Angreifer-IPs mit VMs.
GCP-Log-Sink gelöscht? Spurenverwischung in Logs erkennen
Wie Angreifer Verteidiger in Google Cloud blind machen: gelöschte Log-Sinks, Ausschlüsse, Log-Buckets, abgeschaltetes Data-Access-Logging, SCC. Was bleibt.
Exfiltration aus GCS und BigQuery: Spuren in Audit-Logs
Datendiebstahl aus Cloud Storage und BigQuery belegen oder ausschließen: massenhaftes storage.objects.get, öffentliche Buckets, HMAC-Schlüssel, Kopien, Images.
GCP-Kryptomining und Startskript-Hintertüren erkennen
Missbrauch von Compute Engine in GCP-Audit-Logs erkennen: Startskript-Hintertüren, SSH-Schlüssel, deaktiviertes OS Login, GPU-VMs und ungenutzte Regionen.
Impersonation von GCP-Dienstkonten: die Kette nachverfolgen
Impersonation von Dienstkonten in GCP-Audit-Logs verfolgen: GenerateAccessToken, SignBlob, serviceAccountDelegationInfo, actAs und Token-Creator-Rollen.
SetIamPolicy-Missbrauch: Owner-Rechte für Externe aufspüren
SetIamPolicy-Audit-Einträge wie ein Ermittler lesen: bindingDeltas, Owner für Gmail-Konten, fremde Domains, allUsers, Token Creator, Organisationsrichtlinien.
Geleakter GCP-Dienstkontoschlüssel: so untersuchen Sie ihn
Dienstkontoschlüssel in Repo oder CI-Log geleakt? Über serviceAccountKeyName Schlüssel-ID, nutzende IPs und Aktionen finden, dann richtig eindämmen.