IMPORTANT

Cet atelier pratique ne peut être réalisé que sur un ordinateur de bureau ou un ordinateur portable.

Vous ne pouvez tenter l'atelier que cinq fois.

Pour rappel, il est normal de ne pas répondre correctement à toutes les questions du premier coup, et même de devoir refaire un exercice. Cela fait partie du processus d'apprentissage.

Une fois l'atelier démarré, le minuteur ne peut pas être mis en pause. Au bout d'une heure et demie, l'atelier se terminera et vous devrez le recommencer.

Pour en savoir plus, consultez le document Conseils techniques pour les ateliers.

Présentation de l'activité

Un faux positif est une alerte qui détecte incorrectement la présence d'une menace. Les faux positifs peuvent être déclenchés par une activité utilisateur authentique et légitime. Les équipes de sécurité peuvent consacrer beaucoup de temps et de ressources à enquêter sur des alertes de faux positifs, pour finalement découvrir qu'il n'y a pas de menace réelle.

Dans cet atelier, vous allez recréer l'activité qui génère une alerte de faux positif. Ensuite, vous accéderez à la fausse alerte de menace et l'analyserez à l'aide de Security Command Center (SCC), puis vous prendrez des mesures pour la corriger. Vous allez utiliser deux comptes distincts : un compte pour déclencher le faux positif et un autre pour l'analyser et le corriger.

Scénario

Chloé, votre responsable d'équipe, a reçu une alerte de sécurité de faible gravité. L'alerte a identifié un compte de service doté de nombreuses autorisations qui utilise des pratiques de gestion des clés non sécurisées par le biais de clés gérées par l'utilisateur. Après une enquête approfondie, il s'est avéré que Hank, l'architecte cloud, avait déclenché cette alerte par inadvertance. Hank testait un nouveau compte de service et a accidentellement créé la clé pour le compte de l'utilisateur test. Cette alerte a été traitée et clôturée en tant que faux positif.

Chloé pense que cette alerte est un excellent exemple de faux positif. Elle vous a demandé de recréer l'activité qui a déclenché l'alerte de faux positif. Vous allez analyser l'alerte, puis y remédier. Le processus de recréation du faux positif constitue une expérience d'apprentissage précieuse qui vous aidera à comprendre comment et pourquoi l'alerte a été déclenchée, et comment implémenter des règles de sécurité efficaces pour réduire les futures alertes de faux positifs.

Voici comment procéder : tout d'abord, vous allez recréer le faux positif en créant un compte de service, en lui attribuant un rôle, en fournissant une clé et en activant le compte de service. Ensuite, vous utiliserez Security Command Center (SCC) pour accéder au résultat de recherche de failles lié à l'activité que vous avez déclenchée. Enfin, vous prendrez des mesures pour corriger la faille et le faux positif.

Prérequis

Avant de cliquer sur "Démarrer l'atelier"

Lisez ces instructions. Les ateliers sont minutés, et vous ne pouvez pas les mettre en pause. Le minuteur, qui démarre lorsque vous cliquez sur Démarrer l'atelier, indique combien de temps les ressources Google Cloud resteront accessibles.

Cet atelier pratique vous permet de suivre vous-même les activités dans un véritable environnement cloud, et non dans un environnement de simulation ou de démonstration. Nous vous fournissons des identifiants temporaires pour vous connecter à Google Cloud le temps de l'atelier.

Pour réaliser cet atelier :

• Vous devez avoir accès à un navigateur Internet standard (nous vous recommandons d'utiliser Chrome).

• Vous disposez d'un temps limité. N'oubliez pas qu'une fois l'atelier commencé, vous ne pouvez pas le mettre en pause.

Démarrer l'atelier et se connecter à la console Google Cloud

1. Cliquez sur le bouton Démarrer l'atelier. Sur la gauche, vous trouverez le panneau Détails concernant l'atelier, qui contient les éléments suivants :

   • Le temps restant
   • Le bouton Ouvrir la console Google Cloud
   • Les identifiants temporaires que vous devez utiliser pour cet atelier
   • D'éventuelles informations complémentaires vous permettant d'effectuer l'atelier
   Remarque : Si l'atelier est payant, un pop-up s'affiche pour vous permettre de sélectionner un mode de paiement.

2. Cliquez sur Ouvrir la console Google Cloud (ou effectuez un clic droit et sélectionnez Ouvrir le lien dans la fenêtre de navigation privée) si vous utilisez le navigateur Chrome. La page Se connecter de l'atelier s'ouvre dans un nouvel onglet du navigateur.

   Conseil : Vous pouvez réorganiser les onglets dans des fenêtres distinctes, placées côte à côte, pour passer facilement de l'un à l'autre.

   Remarque : Si la boîte de dialogue Sélectionner un compte s'affiche, cliquez sur Utiliser un autre compte.

3. Si nécessaire, copiez le nom d'utilisateur Google Cloud 1 ci-dessous et collez-le dans la boîte de dialogue Se connecter. Cliquez sur Suivant.

Vous trouverez également le nom d'utilisateur Google Cloud 1 dans le panneau Détails concernant l'atelier.

4. Copiez le mot de passe Google Cloud ci-dessous et collez-le dans la boîte de dialogue Bienvenue. Cliquez sur Suivant.

Vous trouverez également le mot de passe Google Cloud dans le panneau Détails concernant l'atelier.

5. Procédez tel qu'indiqué ci-dessous sur les pages suivantes :
   • Acceptez les conditions d'utilisation.
   • N'ajoutez pas d'options de récupération ni d'authentification à deux facteurs (ce compte est temporaire).
   • Ne vous inscrivez pas à des essais sans frais.

Après quelques instants, la console Cloud s'ouvre dans cet onglet.

Remarque : Vous pouvez afficher le menu qui contient la liste des produits et services Google Cloud en cliquant sur le menu de navigation en haut à gauche.

Tâche 1 : Créer un compte de service

Dans cette tâche, vous allez créer un compte de service et lui accorder des autorisations suffisantes pour déclencher la détection d'une menace anormale dans SCC.

1. Dans la console Google Cloud, accédez au menu de navigation (), cliquez sur IAM et administration > Comptes de service.

2. Dans la barre d'action, cliquez sur + Créer un compte de service.

3. Dans la section Détails du compte de service :

   • Dans le champ Nom du compte de service, saisissez test-account.

     Notez que le champ ID du compte de service est automatiquement renseigné.

   • Cliquez sur Créer et continuer.

     Le message "Compte de service créé" s'affiche.

4. Dans la section Autoriser ce compte de service à accéder au projet, développez le menu déroulant Sélectionner un rôle, puis sélectionnez Basique et Propriétaire.

5. Cliquez sur Continuer, puis sur OK.

Notez que le compte de service test-account figure dans la liste Comptes de service.

Cliquez sur Vérifier ma progression pour vérifier que vous avez correctement accompli cette tâche. Créer un compte de service

Tâche 2 : Créer une clé d'authentification JSON pour votre compte de service

Dans cette tâche, vous allez créer et télécharger une clé d'authentification JSON pour le compte de service que vous avez créé dans la tâche précédente. Vous utiliserez ensuite Cloud Shell pour importer cette clé dans votre compte Google Cloud. Cela déclenchera un résultat de menace dans SCC.

1. Toujours sur la page Comptes de service, à côté du compte de service test-account, cliquez sur Actions () > Gérer les clés. La page test-account s'ouvre.

2. Dans la section Clés, cliquez sur Ajouter une clé > Créer une clé.

3. Dans la boîte de dialogue Créer une clé privée, définissez le Type de clé sur JSON.

4. Cliquez sur Créer.

   La console vous invite à télécharger la clé sur votre appareil local. Une fois téléchargée, vous utiliserez Cloud Shell pour importer la clé dans votre compte Google Cloud (étudiant).

5. Sur votre appareil local, accédez au fichier de clé que vous venez de télécharger et renommez-le test-account.

6. Dans la console Google Cloud, cliquez sur l'icône Activer Cloud Shell ().

7. Cliquez sur Continuer.

   Le provisionnement et la connexion à l'environnement Cloud Shell ne devraient pas prendre plus de quelques minutes.

8. Dans la barre de titre de Cloud Shell, cliquez sur Plus () > Importer > Choisir des fichiers.

9. Accédez au fichier sur votre machine locale, sélectionnez-le, puis cliquez sur Importer dans la boîte de dialogue Importer.

10. Copiez la commande suivante dans le terminal Cloud Shell :

    ls

Cette commande affiche le fichier de clé que vous venez d'importer.

11. Appuyez sur ENTRÉE.

Sur la page test-account, dans la liste Clé, notez la clé que vous venez de créer avec la date de création de la clé correspondant à la date actuelle.

Cliquez sur Vérifier ma progression pour vérifier que vous avez correctement accompli cette tâche. Créer une clé d'authentification JSON pour votre compte de service

Tâche 3 : Déclencher le résultat de faux positif

Dans cette tâche, vous allez reconfigurer l'environnement Cloud Shell pour qu'il utilise le nouveau compte de service test-account que vous avez créé dans la tâche 1. Cela déclenchera un résultat de menace dans SCC. Ensuite, vous allez attribuer des autorisations excessives au projet de l'atelier.

1. Copiez la commande suivante dans le terminal Cloud Shell :

   export PROJECT_ID=$(gcloud info --format='value(config.project)') export SA_NAME="test-account@${PROJECT_ID}.iam.gserviceaccount.com" gcloud auth activate-service-account ${SA_NAME} --key-file=test-account.json

Cette commande active le nouveau compte de service.

2. Appuyez sur ENTRÉE.

3. Copiez la commande suivante dans le terminal Cloud Shell :

   gcloud auth list

Cette commande confirme que vous avez activé le compte de service et que gcloud utilise ce compte de service.

4. Appuyez sur ENTRÉE.

   Dans le résultat, la ligne suivante confirme que le compte de service est actif :

   Résultat :

   ACTIVE: * ACCOUNT: test-account@{{{project_0.project_id | "Google Cloud project ID"}}}.iam.gserviceaccount.com

5. Copiez la commande suivante dans le terminal Cloud Shell :

   export STUDENT2={{{user_1.username | "Google Cloud username 2"}}} gcloud projects add-iam-policy-binding $PROJECT_ID --member user:$STUDENT2 --role roles/editor

Cette commande attribue le rôle d'éditeur à l'utilisateur 2 afin que vous puissiez accéder au résultat faux positif et le corriger lors de la tâche suivante.

6. Appuyez sur ENTRÉE.

Cliquez sur Vérifier ma progression pour vérifier que vous avez correctement accompli cette tâche. Attribuer des autorisations excessives pour déclencher la détection de menace

Tâche 4 : Se connecter en tant que second utilisateur

Vous devez changer de compte Google Cloud en vous connectant à la console Google Cloud avec le second compte utilisateur fourni dans le panneau Détails concernant l'atelier. Vous utiliserez ce compte utilisateur pour effectuer les tâches restantes.

1. Dans la console Google Cloud, cliquez sur l'icône d'utilisateur en haut à droite de l'écran, puis sur Ajouter un compte.

2. Revenez au panneau Détails concernant l'atelier, copiez le nom d'utilisateur Google Cloud username 2 : et le mot de passe. Collez ensuite le nom d'utilisateur et le mot de passe dans la boîte de dialogue Se connecter de la console Google Cloud.

Tâche 5 : Afficher le résultat de la menace dans SCC

Dans cette tâche, vous allez localiser et examiner le résultat SCC généré par le service Event Threat Detection. Ce résultat est un faux positif déclenché par l'activité que vous avez générée dans les tâches 1 à 3.

Pour afficher le résultat de Event Threat Detection dans SCC :

1. Dans le menu de navigation (), cliquez sur Sécurité > Résultats.

2. Dans le volet Filtres rapides, recherchez la section Catégorie, puis sélectionnez Clé de compte de service gérée par l'utilisateur. Si nécessaire, cliquez sur Voir plus pour le trouver.

   Le panneau Résultats de la requête est mis à jour pour n'afficher que la catégorie de résultats sélectionnée.

3. Dans le panneau Résultats de la requête, affichez les détails du résultat en cliquant sur la Clé de compte de service gérée par l'utilisateur la plus récente (voir Heure de l'événement) dans la colonne Catégorie. Le panneau de détails du résultat s'ouvre et affiche l'onglet Résumé.

Laissez la page Clé de compte de service gérée par l'utilisateur ouverte pour répondre aux questions suivantes.

Tâche 6 : Corriger le problème

Dans cette tâche, vous allez corriger le faux positif en supprimant la clé d'authentification JSON du compte de service test-account.

1. Dans la console Google Cloud, accédez au menu de navigation (), puis cliquez sur IAM et administration > Comptes de service.

2. Sur la page Comptes de service, cliquez sur l'adresse e-mail du compte de service test-account.

3. Cliquez sur l'onglet Clés.

4. Dans la liste de clés, cliquez sur l'icône Supprimer la clé du compte de service () pour supprimer la clé. Une fenêtre pop-up s'affiche pour vous demander de confirmer l'action. Cliquez sur Supprimer.

Cliquez sur Vérifier ma progression pour vérifier que vous avez correctement accompli cette tâche. Supprimer la clé

Conclusion

Bravo !

Vous avez terminé cet atelier. Vous avez utilisé SCC pour examiner un faux positif et pris des mesures pour le corriger. En tant qu'analyste de la sécurité cloud, vous allez probablement rencontrer des alertes de faux positifs. Il est important de comprendre comment et pourquoi les alertes de faux positifs sont déclenchées, et comment prendre des mesures pour y remédier.

Terminer l'atelier

Avant de terminer l'atelier, assurez-vous d'avoir bien accompli toutes les tâches. Cliquez alors sur Terminer l'atelier, puis sur Envoyer.

Une fois l'atelier terminé, vous n'aurez plus accès à l'environnement de l'atelier ni au travail que vous avez effectué.

Copyright 2026 Google LLC Tous droits réservés. Google et le logo Google sont des marques de Google LLC. Tous les autres noms de société et de produit peuvent être des marques des sociétés auxquelles ils sont associés.