Cloud Run 威胁检测概览

执行了满足以下条件的二进制文件：

• 根据威胁情报标识为恶意
• 不属于原始容器映像

如果执行了添加的恶意二进制文件，则很可能表示攻击者控制了工作负载，并且正在执行恶意软件。

加载了满足以下条件的库：

• 根据威胁情报标识为恶意
• 不属于原始容器映像

如果加载了添加的恶意库，则很可能表示攻击者控制了工作负载，并且正在执行恶意软件。

执行了满足以下条件的二进制文件：

• 根据威胁情报标识为恶意
• 添加在原始容器映像中

如果执行了内置恶意二进制文件，则表示攻击者正在部署恶意容器。攻击者可能已控制合法的映像代码库或容器构建流水线，并向容器映像中注入了恶意二进制文件。

在容器内执行了一个进程，该进程试图使用已知的逃逸技术或二进制文件突破容器的隔离。此类攻击可让攻击者访问主机系统。根据情报数据，这些进程标识为潜在威胁。

如果检测到容器逃逸尝试，则可能表示攻击者正在利用漏洞来突破容器。 因此，攻击者可能会获得对主机系统或更广泛基础设施的未经授权的访问权限，从而入侵整个环境。

在环境中执行了 Kubernetes 专用攻击工具，这可能表明攻击者正在以 Kubernetes 集群组件为目标。根据情报数据，这些攻击工具标识为潜在威胁。

如果攻击工具在 Kubernetes 环境中执行，则可能表明攻击者已获得对集群的访问权限，并且正在使用该工具来利用 Kubernetes 特定漏洞或配置。

执行了通常与容器或环境无关的本地侦察工具，表明有人试图收集内部系统信息。根据情报数据，这些侦察工具标识为潜在威胁。

如果执行了侦察工具，则表明攻击者可能正在试图绘制基础设施图、识别漏洞或收集系统配置数据，以规划后续步骤。

机器学习模型将指定的 Python 代码标识为恶意代码。攻击者可以利用 Python 将工具或其他文件从外部系统转移到遭入侵的环境，并在不使用二进制文件的情况下执行命令。

检测器使用 NLP 技术来评估已执行的 Python 代码的内容。由于此方法并非基于签名，因此检测器可以识别已知和新型的 Python 代码。

执行了满足以下条件的二进制文件：

• 根据威胁情报标识为恶意
• 添加在原始容器映像中
• 在运行时期间从原始容器映像修改

如果执行了修改的恶意二进制文件，则很可能表示攻击者控制了工作负载，并且正在执行恶意软件。

加载了满足以下条件的库：

• 根据威胁情报标识为恶意
• 添加在原始容器映像中
• 在运行时期间从原始容器映像修改

如果加载了修改的恶意库，则很可能表示攻击者控制了工作负载，并且正在执行恶意软件。

机器学习模型将指定的 Bash 代码标识为恶意代码。攻击者可以利用 Bash 将工具或其他文件从外部系统转移到遭到入侵的环境，并在不使用二进制文件的情况下执行命令。

检测器使用 NLP 技术来评估已执行的 Bash 代码的内容。由于此方法并非基于签名，因此检测器可以识别已知和新型的恶意 Bash 代码。

Cloud Run Threat Detection 在正在运行的进程的参数列表中观察到一个恶意网址。

检测器会根据 Google 安全浏览服务维护的不安全 Web 资源列表，对在正在运行的进程的参数列表中观察到的网址进行检查。如果网址被错误地分类为钓鱼式攻击网站或恶意网站，请在报告错误数据中进行举报。

通过流式传输重定向到远程连接的套接字的过程。检测器会查找绑定到远程套接字的 stdin。

借助反向 shell，攻击者可以通过已破解的工作负载与攻击者控制的机器进行通信。然后，攻击者可以命令和控制工作负载，例如将其作为僵尸网络的一部分。

通常不调用 shell 的进程生成了 shell 进程。

检测器监控所有进程执行。调用 shell 时，如果父级进程通常不会调用 shell，则检测器会生成发现结果。