Evasione della difesa: deployment di emergenza del workload creato

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.

Panoramica

Breakglass Workload Deployment Created viene rilevato esaminando Cloud Audit Logs per verificare se sono presenti deployment di workload che utilizzano il flag di deployment di emergenza per eseguire l'override dei controlli di Autorizzazione binaria.

Come rispondere

Per rispondere a questo risultato:

Passaggio 1: esamina i dettagli del risultato

  1. Apri il risultato Defense Evasion: Breakglass Workload Deployment Created, come indicato in Revisione dei risultati. Si apre il riquadro dei dettagli del risultato, che mostra la scheda Riepilogo.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • Email entità: l'account che ha eseguito la modifica.
      • Nome metodo: il metodo chiamato.
      • Pod Kubernetes: il nome e lo spazio dei nomi del pod.
    • Risorsa interessata, in particolare il seguente campo:
      • Nome visualizzato risorsa: lo spazio dei nomi GKE in cui è stato eseguito il deployment.
    • Link correlati:
      • URI Cloud Logging: link alle voci di log.
      • Metodo MITRE ATT&CK: link alla documentazione MITRE ATT&CK.
      • Risultati correlati: link a eventuali risultati correlati.

Passaggio 2: controlla i log

  1. Nella scheda Riepilogo dei dettagli del problema nella console Google Cloud , vai a Esplora log facendo clic sul link nel campo URI di Cloud Logging.
  2. Controlla il valore nel campo protoPayload.resourceName per identificare la richiesta di firma del certificato specifica.

  3. Controlla altre azioni intraprese dal principale utilizzando i seguenti filtri:

    • resource.labels.cluster_name="CLUSTER_NAME"

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"

      Sostituisci quanto segue:

    • CLUSTER_NAME: il valore che hai annotato nel campo Nome visualizzato della risorsa nei dettagli del risultato.

    • PRINCIPAL_EMAIL: il valore che hai annotato nel campo Email principale nei dettagli del risultato.

Passaggio 3: ricerca di metodi di attacco e risposta

  1. Esamina la voce del framework MITRE ATT&CK per questo tipo di risultato: Defense Evasion: Breakglass Workload Deployment.
  2. Esamina i risultati correlati facendo clic sul link nella sezione Risultati correlati nella riga Risultati correlati della scheda Riepilogo dei dettagli del risultato.
  3. Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.

Passaggi successivi