通过应用许可将 Google Workspace 对象复制到外部云端硬盘

通过应用许可将 Google Workspace 对象复制到外部云端硬盘编辑

检测用户何时从外部云端硬盘复制 Google 表格、表单、文档或脚本。已添加序列逻辑，以便在用户不久后通过 OAuth 授予自定义 Google 应用程序权限时也能进行检测。攻击者可能会向受害者发送一封包含云端硬盘对象链接的网络钓鱼电子邮件，其中 URI 中包含“复制”，从而将该对象复制到受害者的云端硬盘中。如果对象中存在容器绑定脚本，则执行该脚本将需要通过 OAuth 获得权限访问，用户必须接受该权限。

规则类型: eql

规则索引:

filebeat-*
logs-google_workspace*

严重程度: 中

风险评分: 47

运行频率: 5 分钟

搜索以下时间段内的索引: now-9m (日期数学格式，另请参阅其他回溯时间)

每次执行的最大警报数: 100

参考:

标签:

域：云
数据源：Google Workspace
战术：初始访问
资源：调查指南

版本: 5

规则作者:

Elastic

规则许可证: Elastic 许可证 v2

调查指南编辑

分类和分析

调查通过应用许可将 Google Workspace 对象复制到外部云端硬盘的事件

Google Workspace 用户可以通过电子邮件传递或共享链接共享对云端硬盘对象的访问权限，例如文档、表格和表单。共享链接 URI 具有view或edit之类的参数，用于指示接收者的权限。copy参数允许接收者将对象复制到自己的云端硬盘，这将授予该对象与接收者相同的权限。Google 云端硬盘中的特定对象允许容器绑定脚本，这些脚本在 Google 的 Apps Script 平台上运行。容器绑定脚本可能包含恶意代码，如果在接收者的云端硬盘中，则会利用接收者的权限执行。

此规则旨在检测用户何时将外部云端硬盘对象复制到其云端硬盘存储空间，然后通过 OAuth 提示授予自定义应用程序权限。

可能的调查步骤

通过查看警报中的user.name或source.user.email来识别关联的用户帐户。
通过查看file.name以及file.id来识别复制的文件名称以进行分类。
通过查看google_workspace.drive.file.type来识别文件类型。
利用到目前为止收集到的信息，查询数据的整个文件元数据，以确定此活动是孤立的还是普遍存在的。
在 OAuth 令牌事件中，通过查看google_workspace.token.app_name来识别应用程序名称。
同时从google_workspace.token.client.id查看应用程序 ID。
此元数据可用于向 Google 报告恶意应用程序以进行永久列入黑名单。
通过查看google_workspace.token.scope.data.scope_name来识别用户授予应用程序的权限。
此信息将有助于确定哪些服务可能受到影响并进行分类。
如果容器绑定脚本已附加到复制的对象，则它也将存在于用户的云端硬盘中。
应从所有受影响的用户中删除此对象，并对其进行调查以更好地了解恶意代码。

误报分析

与受影响的用户沟通，以确定这些操作是否是故意的
如果存在容器绑定脚本，请查看代码以确定它是良性的还是恶意的

响应和修复

根据分类结果启动事件响应流程。
在调查和响应期间禁用或限制帐户。
确定事件的可能影响并确定优先级；以下操作可以帮助您了解上下文
识别云环境中的帐户角色。
评估受影响的服务和服务器的关键程度。
与您的 IT 团队合作，以识别并最大程度地减少对用户的影响。
确定攻击者是否正在横向移动并危害其他帐户、服务器或服务。
确定与此活动相关的任何监管或法律后果。
调查在攻击者入侵或使用的系统上是否存在凭据泄露，以确保识别所有受损帐户。根据需要重置密码或删除 API 密钥，以撤销攻击者对环境的访问权限。与您的 IT 团队合作，以最大程度地减少在这些操作期间对业务运营的影响。
重置密码将撤销可能已被盗的 OAuth 令牌。
为用户重新激活多因素身份验证。
查看分配给相关用户的权限，以确保遵循最小权限原则。
实施Google 提供的安全默认设置。
确定攻击者滥用的初始载体，并采取措施防止通过同一载体再次感染。
使用事件响应数据更新日志记录和审核策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

有关 Google Workspace 事件延迟时间的重要信息

根据 Google 的文档，Google Workspace 管理员可能会观察到事件发生时间与其在 Google Workspace 管理/审核日志中可见之间存在几分钟到 3 天不等的延迟时间。
为了降低误报的风险，请考虑缩短 Google Workspace（以前称为 G Suite）Filebeat 模块轮询 Google 报告 API 以获取新事件的时间间隔。
默认情况下，var.interval设置为 2 小时 (2h)。考虑将此间隔更改为较低的值，例如 10 分钟 (10m)。
有关更多信息，请参阅以下参考
https://support.google.com/a/answer/7061566
https://elastic.ac.cn/guide/en/beats/filebeat/current/filebeat-module-google_workspace.html

设置编辑

Google Workspace Fleet 集成、Filebeat 模块或类似结构的数据需要与此规则兼容。

规则查询编辑

sequence by source.user.email with maxspan=3m
[file where event.dataset == "google_workspace.drive" and event.action == "copy" and

    /* Should only match if the object lives in a Drive that is external to the user's GWS organization */
    google_workspace.drive.owner_is_team_drive == "false" and google_workspace.drive.copy_type == "external" and

    /* Google Script, Forms, Sheets and Document can have container-bound scripts */
    google_workspace.drive.file.type: ("script", "form", "spreadsheet", "document")]

[any where event.dataset == "google_workspace.token" and event.action == "authorize" and

    /* Ensures application ID references custom app in Google Workspace and not GCP */
    google_workspace.token.client.id : "*apps.googleusercontent.com"]

框架: MITRE ATT&CK^TM

战术
- 名称：初始访问
- ID：TA0001
- 参考 URL：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：网络钓鱼
- ID：T1566
- 参考 URL：https://attack.mitre.org/techniques/T1566/
子技术
- 名称：鱼叉式网络钓鱼链接
- ID：T1566.002
- 参考 URL：https://attack.mitre.org/techniques/T1566/002/

« Google Workspace 多因素身份验证强制执行已禁用 Google Workspace 密码策略已修改 »