Journaux Data Access GCP : désactivés et autres angles morts
Pourquoi les journaux Data Access GCP sont l'impasse habituelle : désactivés par défaut, 30 jours, ce qu'on ne voit pas sans eux, et quoi activer.
Articles tagués: #google-cloud
Une compromission GCP commentée (cas fictif)
Un incident Google Cloud fictif analysé de bout en bout : clé de CI divulguée, Owner pour un Gmail, script de démarrage piégé, bucket public, sink supprimé.
Analyse des VPC Flow Logs GCP : repérer l'exfiltration
Exploiter les VPC Flow Logs Google Cloud en investigation : champs, échantillonnage, trafic sortant par IP externe, IP d'attaquant rapprochées des VM.
Sink de journaux GCP supprimé ? Détecter l'évasion
Comment un attaquant aveugle la défense Google Cloud : sinks supprimés ou redirigés, exclusions, buckets de journaux, Data Access coupé. Ce qui reste.
Exfiltration GCS et BigQuery : les preuves dans l'audit
Prouver ou écarter un vol de données Cloud Storage et BigQuery : storage.objects.get en rafale, buckets publics, clés HMAC, copies entre projets.
Minage de crypto et scripts de démarrage GCP : détection
Détecter l'abus de Compute Engine dans l'audit : scripts de démarrage piégés, clés SSH, OS Login retiré, VM à GPU, rafales de VM, régions inutilisées.
Emprunt d'identité de compte de service GCP : la chaîne
Retracer l'emprunt d'identité de comptes de service dans l'audit Google Cloud : GenerateAccessToken, SignBlob, délégation, actAs et Token Creator.
Abus de SetIamPolicy : repérer les Owner et les intrus
Lire les entrées SetIamPolicy en enquêteur : bindingDeltas, Owner accordé à des comptes Gmail, domaines inconnus, allUsers, Token Creator, règles d'orga.
Clé de compte de service GCP divulguée : enquêter
Clé de compte de service fuitée dans un dépôt ou un log de CI ? Trouvez son ID, les IP qui l'ont utilisée, ses actions via serviceAccountKeyName.
Analyse des journaux d'audit GCP : guide pas à pas
Analyser pas à pas les journaux d'audit et VPC Flow Logs Google Cloud : export JSON, dépôt des fichiers, verdict, constats, chronologie et checklist.
Types de Cloud Audit Logs expliqués, et comment les exporter
Journaux Admin Activity, Data Access, System Event et Policy Denied : ce que chacun enregistre, rétention, champs utiles et quatre façons de les exporter.
Réponse à incident Google Cloud : projet compromis
Votre projet Google Cloud est peut-être compromis. L'ordre des opérations : contenir l'identité, préserver les journaux d'audit, cadrer, puis éradiquer.