Registros de actividad de administración

Cloud Audit Logs separa lo que ocurre en cuatro tipos. Admin Activity recoge las operaciones que modifican la configuración o los metadatos de un recurso. System Event recoge acciones que hace Google Cloud por su cuenta. Policy Denied recoge peticiones que una política de seguridad rechazó. Data Access recoge lecturas y escrituras de datos. Para un ingeniero de detección importa saber cuáles existen siempre, porque una regla que depende de un registro que puede estar apagado necesita primero comprobar que está encendido.

Abre tipos_de_registro y compara las columnas de activación y de desactivación.

Una entrada de Admin Activity trae quién hizo la llamada (principalEmail), desde qué dirección (callerIp), contra qué servicio, qué método y sobre qué recurso. SetIamPolicy es el método que cambia quién tiene qué permisos sobre un recurso. Cambiar permisos es normal en una nube; lo que llama la atención es quién lo hace y desde dónde. Para eso se cruza la entrada con contexto_de_usuarios, que dice la dirección habitual de cada identidad.

Filtra admin_activity por ese método y compara cada callerIp con la dirección habitual de su titular.

Un cambio de permisos aislado se evalúa mal; la secuencia de la misma identidad se evalúa mucho mejor. Después de cambiar la política, la misma identidad creó una regla de red. Una regla de firewall que abre un puerto de administración a cualquier origen amplía la superficie de ataque: es un cambio de configuración que la detección debe poder ver.

Una llamada rechazada por falta de permisos también queda en el registro, con un estado distinto de OK. Un intento fallido de crear una llave de cuenta de servicio, repetido, es una señal de alguien que prueba hasta dónde llegan sus permisos. Cuenta las llamadas de la identidad anterior que terminaron con el estado de permiso denegado.

Con los hallazgos anteriores, una regla tiene que cuidar dos cosas a la vez: que no se le escape el cambio peligroso y que no se llene de cambios legítimos. La administradora de la nube y la cuenta de despliegue hacen cambios todo el día, desde sus direcciones de siempre.