GCP Logging 存储桶删除
编辑GCP Logging 存储桶删除编辑
识别 Google Cloud Platform (GCP) 中的 Logging 存储桶删除操作。日志存储桶是存储和组织日志数据的容器。已删除的存储桶会在 7 天内保持待处理状态，Logging 会在此期间继续将日志路由到该存储桶。要停止将日志路由到已删除的存储桶，您可以删除以该存储桶为目标的日志接收器，或修改接收器的过滤器以阻止其将日志路由到已删除的存储桶。攻击者可能会删除日志存储桶以逃避检测。
规则类型：查询
规则索引:
- filebeat-*
- logs-gcp*
严重性：中等
风险评分: 47
运行间隔：5 分钟
每次执行的最大警报数: 100
参考:
标签:
- 域：云
- 数据源：GCP
- 数据源：Google Cloud Platform
- 用例：日志审计
- 战术：防御规避
版本: 104
规则作者:
- Elastic
规则许可证：Elastic 许可证 v2
调查指南编辑
设置编辑
要与此规则兼容，需要 GCP Fleet 集成、Filebeat 模块或结构类似的数据。
规则查询编辑
event.dataset:gcp.audit and event.action:google.logging.v*.ConfigServiceV*.DeleteBucket and event.outcome:success
框架：MITRE ATT&CKTM
-
战术
- 名称：防御规避
- ID：TA0005
- 参考链接：https://attack.mitre.org/tactics/TA0005/
-
技术
- 名称：削弱防御
- ID：T1562
- 参考链接：https://attack.mitre.org/techniques/T1562/