Geleakter GCP-Dienstkontoschlüssel: so untersuchen Sie ihn
Dienstkontoschlüssel in Repo oder CI-Log geleakt? Über serviceAccountKeyName Schlüssel-ID, nutzende IPs und Aktionen finden, dann richtig eindämmen.
Series
Angriffstechniken in Google Cloud untersuchen
7 posts in this series. Read them in order or jump to any one.
- Geleakter GCP-Dienstkontoschlüssel: so untersuchen Sie ihn
Dienstkontoschlüssel in Repo oder CI-Log geleakt? Über serviceAccountKeyName Schlüssel-ID, nutzende IPs und Aktionen finden, dann richtig eindämmen.
- Impersonation von GCP-Dienstkonten: die Kette nachverfolgen
Impersonation von Dienstkonten in GCP-Audit-Logs verfolgen: GenerateAccessToken, SignBlob, serviceAccountDelegationInfo, actAs und Token-Creator-Rollen.
- SetIamPolicy-Missbrauch: Owner-Rechte für Externe aufspüren
SetIamPolicy-Audit-Einträge wie ein Ermittler lesen: bindingDeltas, Owner für Gmail-Konten, fremde Domains, allUsers, Token Creator, Organisationsrichtlinien.
- GCP-Kryptomining und Startskript-Hintertüren erkennen
Missbrauch von Compute Engine in GCP-Audit-Logs erkennen: Startskript-Hintertüren, SSH-Schlüssel, deaktiviertes OS Login, GPU-VMs und ungenutzte Regionen.
- Exfiltration aus GCS und BigQuery: Spuren in Audit-Logs
Datendiebstahl aus Cloud Storage und BigQuery belegen oder ausschließen: massenhaftes storage.objects.get, öffentliche Buckets, HMAC-Schlüssel, Kopien, Images.
- VPC Flow Logs in GCP analysieren: Exfiltration erkennen
VPC Flow Logs aus Google Cloud in der Untersuchung nutzen: Felder, Sampling-Grenzen, ausgehender Verkehr je externer IP, Abgleich von Angreifer-IPs mit VMs.
- GCP-Log-Sink gelöscht? Spurenverwischung in Logs erkennen
Wie Angreifer Verteidiger in Google Cloud blind machen: gelöschte Log-Sinks, Ausschlüsse, Log-Buckets, abgeschaltetes Data-Access-Logging, SCC. Was bleibt.
All posts in this series
Impersonation von GCP-Dienstkonten: die Kette nachverfolgen
Impersonation von Dienstkonten in GCP-Audit-Logs verfolgen: GenerateAccessToken, SignBlob, serviceAccountDelegationInfo, actAs und Token-Creator-Rollen.
SetIamPolicy-Missbrauch: Owner-Rechte für Externe aufspüren
SetIamPolicy-Audit-Einträge wie ein Ermittler lesen: bindingDeltas, Owner für Gmail-Konten, fremde Domains, allUsers, Token Creator, Organisationsrichtlinien.
GCP-Kryptomining und Startskript-Hintertüren erkennen
Missbrauch von Compute Engine in GCP-Audit-Logs erkennen: Startskript-Hintertüren, SSH-Schlüssel, deaktiviertes OS Login, GPU-VMs und ungenutzte Regionen.
Exfiltration aus GCS und BigQuery: Spuren in Audit-Logs
Datendiebstahl aus Cloud Storage und BigQuery belegen oder ausschließen: massenhaftes storage.objects.get, öffentliche Buckets, HMAC-Schlüssel, Kopien, Images.
VPC Flow Logs in GCP analysieren: Exfiltration erkennen
VPC Flow Logs aus Google Cloud in der Untersuchung nutzen: Felder, Sampling-Grenzen, ausgehender Verkehr je externer IP, Abgleich von Angreifer-IPs mit VMs.
GCP-Log-Sink gelöscht? Spurenverwischung in Logs erkennen
Wie Angreifer Verteidiger in Google Cloud blind machen: gelöschte Log-Sinks, Ausschlüsse, Log-Buckets, abgeschaltetes Data-Access-Logging, SCC. Was bleibt.