Journaux Data Access GCP : désactivés et autres angles morts
Pourquoi les journaux Data Access GCP sont l'impasse habituelle : désactivés par défaut, 30 jours, ce qu'on ne voit pas sans eux, et quoi activer.
12 · FR
Blog
Articles, guides et nouveautés.
Une compromission GCP commentée (cas fictif)
Un incident Google Cloud fictif analysé de bout en bout : clé de CI divulguée, Owner pour un Gmail, script de démarrage piégé, bucket public, sink supprimé.
Analyse des VPC Flow Logs GCP : repérer l'exfiltration
Exploiter les VPC Flow Logs Google Cloud en investigation : champs, échantillonnage, trafic sortant par IP externe, IP d'attaquant rapprochées des VM.
Sink de journaux GCP supprimé ? Détecter l'évasion
Comment un attaquant aveugle la défense Google Cloud : sinks supprimés ou redirigés, exclusions, buckets de journaux, Data Access coupé. Ce qui reste.
Exfiltration GCS et BigQuery : les preuves dans l'audit
Prouver ou écarter un vol de données Cloud Storage et BigQuery : storage.objects.get en rafale, buckets publics, clés HMAC, copies entre projets.
Minage de crypto et scripts de démarrage GCP : détection
Détecter l'abus de Compute Engine dans l'audit : scripts de démarrage piégés, clés SSH, OS Login retiré, VM à GPU, rafales de VM, régions inutilisées.
Emprunt d'identité de compte de service GCP : la chaîne
Retracer l'emprunt d'identité de comptes de service dans l'audit Google Cloud : GenerateAccessToken, SignBlob, délégation, actAs et Token Creator.
Abus de SetIamPolicy : repérer les Owner et les intrus
Lire les entrées SetIamPolicy en enquêteur : bindingDeltas, Owner accordé à des comptes Gmail, domaines inconnus, allUsers, Token Creator, règles d'orga.
Clé de compte de service GCP divulguée : enquêter
Clé de compte de service fuitée dans un dépôt ou un log de CI ? Trouvez son ID, les IP qui l'ont utilisée, ses actions via serviceAccountKeyName.