Malware: IP non valido per il cryptomining

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.

Panoramica

Il malware viene rilevato esaminando i log di flusso VPC e Cloud DNS per le connessioni a domini e indirizzi IP command and control noti.

Come rispondere

Per rispondere a questo risultato:

Passaggio 1: esamina i dettagli del risultato

  1. Apri un risultato Malware: Cryptomining Bad IP come indicato in Revisione dei risultati. Il riquadro dei dettagli del risultato si apre nella scheda Riepilogo.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • IP di origine: l'indirizzo IP sospettato di attività di criptomining.
      • Porta di origine: la porta di origine della connessione, se disponibile.
      • IP di destinazione: l'indirizzo IP di destinazione.
      • Porta di destinazione: la porta di destinazione della connessione, se disponibile.
      • Protocollo: il protocollo IANA associato alla connessione.
    • Risorsa interessata
    • Link correlati, inclusi i seguenti campi:
      • URI di Logging: link alle voci di Logging.
      • Metodo MITRE ATT&CK: link alla documentazione MITRE ATT&CK.
      • Risultati correlati: link a eventuali risultati correlati.
      • Flow Analyzer: link alla funzionalità Flow Analyzer di Network Intelligence Center. Questo campo viene visualizzato solo quando i log di flusso VPC sono abilitati.

  3. Nella visualizzazione dettagliata del problema, fai clic sulla scheda Proprietà origine.

  4. Espandi properties e annota i valori di progetto e istanza nel seguente campo:

    • instanceDetails: annota sia l'ID progetto sia il nome dell'istanza Compute Engine. L'ID progetto e il nome dell'istanza vengono visualizzati come mostrato nell'esempio seguente:

      /projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME

  5. Per visualizzare il JSON completo del risultato, fai clic sulla scheda JSON.

Passaggio 2: rivedi le autorizzazioni e le impostazioni

  1. Nella console Google Cloud , vai alla pagina Dashboard.

    Vai alla dashboard

  2. Seleziona il progetto specificato in properties_project_id.

  3. Vai alla scheda Risorse e fai clic su Compute Engine.

  4. Fai clic sull'istanza VM corrispondente a properties_sourceInstance. Esamina l'istanza potenzialmente compromessa per rilevare la presenza di malware.

  5. Nel riquadro di navigazione, fai clic su Rete VPC, quindi su Firewall. Rimuovi o disabilita le regole firewall eccessivamente permissive.

Passaggio 3: controlla i log

  1. Nella console Google Cloud , vai a Esplora log.

    Vai a Esplora log

  2. Nella barra degli strumenti della console Google Cloud , seleziona il progetto.

  3. Nella pagina caricata, trova i log di flusso VPC correlati a Properties_ip_0 utilizzando il seguente filtro:

    • logName="projects/properties_project_id/logs/compute.googleapis.com%2Fvpc_flows"
    • (jsonPayload.connection.src_ip="Properties_ip_0" OR jsonPayload.connection.dest_ip="Properties_ip_0")

Passaggio 4: ricerca di metodi di attacco e risposta

  1. Esamina le voci del framework MITRE ATT&CK per questo tipo di risultato: Hijacking delle risorse.
  2. Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.

Passaggio 5: implementa la risposta

Il seguente piano di risposta potrebbe essere appropriato per questo risultato, ma potrebbe anche influire sulle operazioni. Valuta attentamente le informazioni raccolte durante l'indagine per determinare il modo migliore per risolvere i risultati.

  • Contatta il proprietario del progetto contenente malware.
  • Esamina l'istanza potenzialmente compromessa e rimuovi eventuali malware rilevati. Per facilitare il rilevamento e la rimozione, utilizza una soluzione di rilevamento e risposta degli endpoint.
  • Se necessario, interrompi l'istanza compromessa e sostituiscila con una nuova istanza.
  • Blocca gli indirizzi IP dannosi aggiornando le regole firewall o utilizzando Cloud Armor. Puoi attivare Cloud Armor nella pagina Servizi integrati di Security Command Center. A seconda del volume di dati, i costi di Cloud Armor possono essere significativi. Per ulteriori informazioni, consulta la guida ai prezzi di Cloud Armor.

Passaggi successivi