› › ›

添加到 Google Workspace 信任域的域

添加到 Google Workspace 信任域的域编辑

检测何时将域添加到 Google Workspace 信任域列表中。攻击者可能会添加信任域，以便通过限制较少的安全控制从目标组织收集和窃取数据。

规则类型：查询

规则索引:

严重程度：高

风险评分: 73

运行频率：10 分钟

搜索索引的时间范围：now-130m（日期数学格式，另请参阅 额外的回溯时间）

每次执行的最大警报数: 100

参考:

标签:

版本: 205

规则作者:

规则许可证：Elastic 许可证 v2

分类和分析

调查添加到 Google Workspace 信任域的域

组织使用 Google Workspace 中的信任域来授予外部用户对资源的访问权限。

具有管理员权限的攻击者可能能够将恶意域添加到信任域列表中。根据配置，潜在的敏感资源可能会被非预期的第三方访问或暴露。

此规则检测何时将第三方域添加到 Google Workspace 中的信任域列表中。

可能的调查步骤

通过查看警报中的 user.name 或 user.email 字段来识别关联的用户帐户。
识别用户后，验证用户是否应该具有添加外部域的管理员权限。
检查 google_workspace.admin.domain.name 字段以查找新添加的域。
使用信誉服务（如 VirusTotal）获取信任域的第三方情报信誉。
过滤数据。创建一个过滤器，其中 event.dataset 为 google_workspace.drive，并且将 google_workspace.drive.file.owner.email 与 user.email 进行比较。
如果发现不匹配，则可能表明来自外部 Google Workspace 域的访问。

误报分析

响应和修复

根据分类的结果启动事件响应流程。
在调查和响应期间禁用或限制帐户。
确定事件的可能影响并确定优先级；以下操作可以帮助您获得上下文信息
确定云环境中的帐户角色。
评估受影响服务和服务器的关键程度。
与您的 IT 团队合作，确定并最大限度地减少对用户的影响。
确定攻击者是否正在横向移动并危及其他帐户、服务器或服务。
确定与此活动相关的任何监管或法律后果。
调查攻击者入侵或使用的系统上的凭据泄露，以确保识别所有受入侵的帐户。根据需要重置密码或删除 API 密钥，以撤销攻击者对环境的访问权限。在采取这些行动期间，与您的 IT 团队合作，最大限度地减少对业务运营的影响。
查看分配给相关用户的权限，以确保遵循最小权限原则。
实施 Google 概述的安全最佳实践。
确定攻击者滥用的初始攻击途径，并采取行动防止通过同一途径再次感染。
使用事件响应数据更新日志记录和审计策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

有关 Google Workspace 事件延迟时间的重要信息

根据 Google 的文档，Google Workspace 管理员可能会观察到事件发生时间与其在 Google Workspace 管理/审计日志中可见之间存在几分钟到 3 天的延迟时间。
此规则配置为每 10 分钟运行一次，回溯时间为 130 分钟。
为了降低误报的风险，请考虑缩短 Google Workspace（以前称为 G Suite）Filebeat 模块轮询 Google 报告 API 获取新事件的时间间隔。
默认情况下，var.interval 设置为 2 小时 (2h)。请考虑将此时间间隔更改为较低的值，例如 10 分钟 (10m)。
有关更多信息，请参阅以下参考
https://support.google.com/a/answer/7061566
https://elastic.ac.cn/guide/en/beats/filebeat/current/filebeat-module-google_workspace.html

Google Workspace Fleet 集成、Filebeat 模块或类似结构的数据需要与此规则兼容。

event.dataset:google_workspace.admin and event.provider:admin and event.category:iam and event.action:ADD_TRUSTED_DOMAINS

框架：MITRE ATT&CK^TM

战术
- 名称：防御规避
- ID：TA0005
- 参考 URL：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：削弱防御
- ID：T1562
- 参考 URL：https://attack.mitre.org/techniques/T1562/
子技术
- 名称：禁用或修改云防火墙
- ID：T1562.007
- 参考 URL：https://attack.mitre.org/techniques/T1562/007/