GCP Pub/Sub 订阅删除

编辑

识别 Google Cloud Platform (GCP) 中订阅的删除操作。在 GCP 中,发布者-订阅者关系 (Pub/Sub) 是一种异步消息服务,它解耦了事件生成服务和事件处理服务。订阅是一个命名资源,表示要交付给订阅应用程序的消息流。

规则类型: 查询

规则索引:

  • filebeat-*
  • logs-gcp*

严重性: 低

风险评分: 21

每隔: 5 分钟

搜索索引自: 无 (日期数学格式,另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 领域: 云
  • 数据源: GCP
  • 数据源: Google Cloud Platform
  • 用例: 日志审计
  • 策略: 防御规避

版本: 104

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

设置

编辑

需要 GCP Fleet 集成、Filebeat 模块或类似结构的数据才能与该规则兼容。

规则查询

编辑
event.dataset:gcp.audit and event.action:google.pubsub.v*.Subscriber.DeleteSubscription and event.outcome:success

框架: MITRE ATT&CKTM