Clé de compte de service GCP divulguée : enquêter
Clé de compte de service fuitée dans un dépôt ou un log de CI ? Trouvez son ID, les IP qui l'ont utilisée, ses actions via serviceAccountKeyName.
Series
Enquêter sur les techniques d'attaque Google Cloud
7 posts in this series. Read them in order or jump to any one.
- Clé de compte de service GCP divulguée : enquêter
Clé de compte de service fuitée dans un dépôt ou un log de CI ? Trouvez son ID, les IP qui l'ont utilisée, ses actions via serviceAccountKeyName.
- Emprunt d'identité de compte de service GCP : la chaîne
Retracer l'emprunt d'identité de comptes de service dans l'audit Google Cloud : GenerateAccessToken, SignBlob, délégation, actAs et Token Creator.
- Abus de SetIamPolicy : repérer les Owner et les intrus
Lire les entrées SetIamPolicy en enquêteur : bindingDeltas, Owner accordé à des comptes Gmail, domaines inconnus, allUsers, Token Creator, règles d'orga.
- Minage de crypto et scripts de démarrage GCP : détection
Détecter l'abus de Compute Engine dans l'audit : scripts de démarrage piégés, clés SSH, OS Login retiré, VM à GPU, rafales de VM, régions inutilisées.
- Exfiltration GCS et BigQuery : les preuves dans l'audit
Prouver ou écarter un vol de données Cloud Storage et BigQuery : storage.objects.get en rafale, buckets publics, clés HMAC, copies entre projets.
- Analyse des VPC Flow Logs GCP : repérer l'exfiltration
Exploiter les VPC Flow Logs Google Cloud en investigation : champs, échantillonnage, trafic sortant par IP externe, IP d'attaquant rapprochées des VM.
- Sink de journaux GCP supprimé ? Détecter l'évasion
Comment un attaquant aveugle la défense Google Cloud : sinks supprimés ou redirigés, exclusions, buckets de journaux, Data Access coupé. Ce qui reste.
All posts in this series
Emprunt d'identité de compte de service GCP : la chaîne
Retracer l'emprunt d'identité de comptes de service dans l'audit Google Cloud : GenerateAccessToken, SignBlob, délégation, actAs et Token Creator.
Abus de SetIamPolicy : repérer les Owner et les intrus
Lire les entrées SetIamPolicy en enquêteur : bindingDeltas, Owner accordé à des comptes Gmail, domaines inconnus, allUsers, Token Creator, règles d'orga.
Minage de crypto et scripts de démarrage GCP : détection
Détecter l'abus de Compute Engine dans l'audit : scripts de démarrage piégés, clés SSH, OS Login retiré, VM à GPU, rafales de VM, régions inutilisées.
Exfiltration GCS et BigQuery : les preuves dans l'audit
Prouver ou écarter un vol de données Cloud Storage et BigQuery : storage.objects.get en rafale, buckets publics, clés HMAC, copies entre projets.
Analyse des VPC Flow Logs GCP : repérer l'exfiltration
Exploiter les VPC Flow Logs Google Cloud en investigation : champs, échantillonnage, trafic sortant par IP externe, IP d'attaquant rapprochées des VM.
Sink de journaux GCP supprimé ? Détecter l'évasion
Comment un attaquant aveugle la défense Google Cloud : sinks supprimés ou redirigés, exclusions, buckets de journaux, Data Access coupé. Ce qui reste.