GCP Forensics BigQuery

Définition

La forensique Google Cloud Platform (GCP) analyse les logs et artefacts des environnements cloud Google pour les investigations d'incidents. GCP offre une infrastructure de logging centralisee via Cloud Logging (anciennement Stackdriver) et des outils d'analyse via BigQuery, permettant des investigations forensiques a grande echelle sur des environnements cloud natifs. Les sources de logs GCP forensiquement pertinentes incluent : Cloud Audit Logs (Admin Activity Logs : toutes les modifications d'administration des ressources GCP ; Data Access Logs : acces aux donnees dans les services GCP ; System Event Logs : evenements systeme GCP ; Policy Denied Logs : acces refuses par les politiques IAM), VPC Flow Logs (metadonnees de trafic reseau entre ressources GCP), Cloud Armor Logs (evenements WAF), et les logs applicatifs de chaque service (GKE, Cloud Run, App Engine). BigQuery est l'outil d'analyse de logs a grande echelle de GCP. Via l'integration native de Cloud Logging avec BigQuery (export automatique des logs vers des datasets BigQuery), les investigateurs peuvent executer des requetes SQL complexes sur des volumes massifs de logs (teraoctets) en quelques secondes. Des requetes forensiques typiques BigQuery incluent : identifier tous les appels API d'un principal IAM compromis sur les 30 derniers jours, lister toutes les ressources creees ou modifiees dans une fenetre temporelle specifiee, ou trouver tous les acces a un bucket GCS (Cloud Storage) depuis des IPs inhabituelles. Pour les investigations de compromission de credentials GCP (service account key exfiltration, SSRF vers le metadata server GCP), les Admin Activity Logs montrent les actions effectuees avec les credentials compromis. La Detection and Response IAM (IAM Recommender, Security Command Center) peut fournir des contextes supplementaires sur les permissions utilisees de facon inhabituelle. Security Command Center (SCC) est la plateforme de securite native GCP qui agrege les alertes, detecte les vulnerabilites de configuration, et peut generer des findings forensiques pertinents pour les investigations (ex: exfiltration de donnees detectee par Data Loss Prevention DLP, credential abuse detecte par Event Threat Detection).