« 通过 Google Workspace 转移 Google 云盘所有权 通过域范围委派授予 Google Workspace API 访问权限 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和警报 ›预构建规则参考

Google Workspace 双重验证策略已禁用

编辑

Google Workspace 双重验证策略已禁用

编辑

Google Workspace 管理员可以设置双重验证 (2SV) ，通过要求用户在使用登录凭据时验证其身份，为用户帐户添加额外的安全层。管理员可以从管理控制台强制执行 2SV，以及可接受的验证和注册方法和期限。在为组织部门内的用户启用 2SV 之前，需要在管理帐户上启用它。攻击者可能会禁用 2SV，以降低访问有效帐户的安全要求。

规则类型: 查询

规则索引:

  • filebeat-*
  • logs-google_workspace*

严重性: 中

风险评分: 47

每隔: 10 分钟运行

搜索索引范围从: now-130m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 域：云
  • 数据源：Google Workspace
  • 用例：配置审计
  • 战术：持久性
  • 资源：调查指南

版本: 107

规则作者:

  • Elastic

规则许可: Elastic License v2

调查指南

编辑

分类和分析

调查 Google Workspace 双重验证策略已禁用

Google Workspace 管理员管理密码策略，以强制执行组织合规性要求的密码要求。管理员可以设置密码长度、重置频率、重用能力、过期等方面的限制。Google Workspace 还允许使用多因素身份验证 (MFA) 和双重验证 (2SV) 进行身份验证。2SV 允许用户使用安全密钥、Google 提示、身份验证代码、短信等方式验证其身份。

2SV 为 Google Workspace 用户添加了额外的身份验证层来验证其身份。如果未实施 2SV 或 MFA，用户只能使用其用户名和密码凭据进行身份验证。这种身份验证方法经常被泄露，并且在使用弱密码策略时容易受到凭据访问技术的攻击。

此规则检测何时在 Google Workspace 中禁用 2SV 策略。

可能的调查步骤

  • 通过查看警报中的 user.name 或 source.user.email 来识别关联的用户帐户。
  • 通过查看 google_workspace.admin.setting.name 来识别创建或调整了哪些密码设置。
  • 通过查看 google_workspace.admin.new_value 和 google_workspace.admin.old_value 来查看是否启用了或禁用了密码设置。
  • 在识别出相关用户帐户后，验证是否正确限定了管理权限。
  • 筛选 event.dataset 为 google_workspace.login 并按 user.name 和 event.action 进行聚合。
  • google_workspace.login.challenge_method 字段可用于识别失败和成功登录所使用的质询方法。

误报分析

  • 在找到更新密码策略的用户帐户后，验证该操作是否是故意的。
  • 验证用户是否应具有允许他们修改密码策略的 Google Workspace 管理权限。
  • 查看该角色可能已添加到的组织部门或组，并确保其权限已正确对齐。

响应和补救

  • 根据分类的结果启动事件响应过程。
  • 在调查和响应期间禁用或限制帐户。
  • 确定事件的可能影响并相应地确定优先级；以下操作可以帮助您获得上下文
  • 确定云环境中帐户的角色。
  • 评估受影响服务和服务器的关键性。
  • 与您的 IT 团队合作，以识别并尽量减少对用户的影响。
  • 确定攻击者是否正在横向移动并危及其他帐户、服务器或服务。
  • 确定与此活动相关的任何监管或法律后果。
  • 调查在攻击者入侵或使用的系统上的凭据泄露情况，以确保识别出所有被入侵的帐户。根据需要重置密码或删除 API 密钥，以撤销攻击者对环境的访问权限。在执行这些操作期间，与您的 IT 团队合作以尽量减少对业务运营的影响。
  • 查看分配给相关用户的权限，以确保遵循最小权限原则。
  • 实施 Google 概述的安全最佳实践。
  • 确定攻击者滥用的初始向量，并采取措施防止通过相同向量再次感染。
  • 使用事件响应数据，更新日志记录和审计策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

有关 Google Workspace 事件延迟时间的重要信息

  • 根据 Google 的文档，Google Workspace 管理员可能会观察到事件发生时间与事件在 Google Workspace 管理/审计日志中可见的时间之间存在几分钟到 3 天不等的延迟时间。
  • 此规则配置为每 10 分钟运行一次，回溯时间为 130 分钟。
  • 为了降低出现误报的风险，请考虑减少 Google Workspace（以前称为 G Suite）Filebeat 模块轮询 Google 报告 API 以获取新事件的间隔。
  • 默认情况下，var.interval 设置为 2 小时 (2h)。请考虑将此间隔更改为较低的值，例如 10 分钟 (10m)。
  • 有关更多信息，请参阅以下参考资料
  • https://support.google.com/a/answer/7061566
  • https://elastic.ac.cn/guide/en/beats/filebeat/current/filebeat-module-google_workspace.html

设置

编辑

需要 Google Workspace Fleet 集成、Filebeat 模块或类似结构的数据才能与此规则兼容。

规则查询

编辑
event.dataset:"google_workspace.login" and event.action:"2sv_disable"

框架: MITRE ATT&CKTM

« 通过 Google Workspace 转移 Google 云盘所有权 通过域范围委派授予 Google Workspace API 访问权限 »