› › ›

GCP Logging 接收器删除

GCP Logging 接收器删除编辑

识别 Google Cloud Platform (GCP) 中的 Logging 接收器删除。每次日志条目到达时，Logging 都会将该日志条目与该资源中的接收器进行比较。过滤器与日志条目匹配的每个接收器都会将日志条目的副本写入接收器的导出目标。攻击者可能会删除 Logging 接收器以逃避检测。

规则类型：查询

规则索引:

filebeat-*
logs-gcp*

严重程度：中等

风险评分: 47

运行频率：5 分钟

搜索索引范围：无（日期数学格式，另请参阅额外的回溯时间）

每次执行的最大警报数: 100

参考:

https://cloud.google.com/logging/docs/export

标签:

域：云
数据源：GCP
数据源：Google Cloud Platform
用例：日志审计
战术：防御规避

版本: 104

规则作者:

Elastic

规则许可证：Elastic 许可证 v2

调查指南编辑

设置编辑

此规则需要 GCP Fleet 集成、Filebeat 模块或类似结构的数据才能兼容。

规则查询编辑

event.dataset:gcp.audit and event.action:google.logging.v*.ConfigServiceV*.DeleteSink and event.outcome:success

框架：MITRE ATT&CK^TM

战术
- 名称：防御规避
- ID：TA0005
- 参考链接：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：削弱防御
- ID：T1562
- 参考链接：https://attack.mitre.org/techniques/T1562/

« GCP Logging 存储桶删除 GCP Logging 接收器修改 »