Clave de cuenta de servicio de GCP filtrada: cómo investigar
¿Clave de cuenta de servicio filtrada en un repositorio o un log de CI? Halle su ID, cada IP que la usó y qué hizo con serviceAccountKeyName.
Series
Investigar técnicas de ataque en Google Cloud
7 posts in this series. Read them in order or jump to any one.
- Clave de cuenta de servicio de GCP filtrada: cómo investigar
¿Clave de cuenta de servicio filtrada en un repositorio o un log de CI? Halle su ID, cada IP que la usó y qué hizo con serviceAccountKeyName.
- Suplantación de cuentas de servicio en GCP: seguir la cadena
Rastree la suplantación de cuentas de servicio en la auditoría de Google Cloud: GenerateAccessToken, SignBlob, serviceAccountDelegationInfo, actAs.
- Abuso de SetIamPolicy: detectar Owner y miembros externos
Lea las entradas SetIamPolicy como un investigador: bindingDeltas, Owner para cuentas de Gmail, dominios desconocidos, allUsers, Token Creator.
- Minería de cripto y scripts de inicio en GCP: detección
Detecte abusos de Compute Engine en la auditoría: scripts de inicio, claves SSH en metadatos, OS Login desactivado, VM con GPU, ráfagas y regiones.
- Exfiltración de GCS y BigQuery: pruebas en la auditoría
Demuestre o descarte un robo de datos de Cloud Storage y BigQuery: storage.objects.get masivo, buckets públicos, claves HMAC, copias a otro proyecto, imágenes.
- Análisis de VPC Flow Logs en GCP: detectar la exfiltración
VPC Flow Logs de Google Cloud en una investigación: campos, muestreo, salida por IP externa y cruce de las IP del atacante con el tráfico de VM.
- ¿Sink de registros de GCP borrado? Detectar la evasión
Cómo ciegan a los defensores de Google Cloud: sinks borrados o desviados, exclusiones, buckets de registros, Data Access desactivado, alertas SCC. Qué queda.
All posts in this series
Suplantación de cuentas de servicio en GCP: seguir la cadena
Rastree la suplantación de cuentas de servicio en la auditoría de Google Cloud: GenerateAccessToken, SignBlob, serviceAccountDelegationInfo, actAs.
Abuso de SetIamPolicy: detectar Owner y miembros externos
Lea las entradas SetIamPolicy como un investigador: bindingDeltas, Owner para cuentas de Gmail, dominios desconocidos, allUsers, Token Creator.
Minería de cripto y scripts de inicio en GCP: detección
Detecte abusos de Compute Engine en la auditoría: scripts de inicio, claves SSH en metadatos, OS Login desactivado, VM con GPU, ráfagas y regiones.
Exfiltración de GCS y BigQuery: pruebas en la auditoría
Demuestre o descarte un robo de datos de Cloud Storage y BigQuery: storage.objects.get masivo, buckets públicos, claves HMAC, copias a otro proyecto, imágenes.
Análisis de VPC Flow Logs en GCP: detectar la exfiltración
VPC Flow Logs de Google Cloud en una investigación: campos, muestreo, salida por IP externa y cruce de las IP del atacante con el tráfico de VM.
¿Sink de registros de GCP borrado? Detectar la evasión
Cómo ciegan a los defensores de Google Cloud: sinks borrados o desviados, exclusiones, buckets de registros, Data Access desactivado, alertas SCC. Qué queda.