Execução: execução da ferramenta de ataque do Kubernetes

Este documento descreve um tipo de descoberta de ameaça no Security Command Center. As descobertas de ameaças são geradas por detectores de ameaças quando eles detectam uma ameaça potencial nos seus recursos da nuvem. Para uma lista completa das descobertas de ameaças disponíveis, consulte o índice de descobertas de ameaças.

Visão geral

Uma ferramenta de ataque do Kubernetes foi executada no contêiner. Isso indica uma possível tentativa de explorar vulnerabilidades no ambiente do Kubernetes. Os invasores costumam usar essas ferramentas para aumentar privilégios, realizar movimentação lateral ou comprometer outros recursos no cluster.

A gravidade desta descoberta é Critical. A execução dessas ferramentas sugere uma tentativa deliberada de assumir o controle de componentes do Kubernetes, como o servidor da API, nós ou cargas de trabalho. Os invasores podem usar essas ferramentas para burlar controles de segurança, manipular configurações ou exfiltrar dados sensíveis.

Serviço de detecção

Detecção de ameaças do Cloud Run

Como responder

Para responder a essa descoberta, faça o seguinte:

Analisar os detalhes da descoberta

  1. Abra a descoberta Execution: Kubernetes Attack Tool Execution, conforme instruído em Como verificar descobertas. Analise os detalhes nas guias Resumo e JSON.

  2. Na guia Resumo, confira as informações nas seguintes seções:

    • O que foi detectado, especialmente os seguintes campos:
      • Binário do programa: o caminho absoluto do binário executado.
      • Argumentos: os argumentos transmitidos durante a execução binária.
    • Recurso afetado, especialmente os seguintes campos:

  3. Na guia JSON, observe os seguintes campos:

    • resource:
      • project_display_name: o nome do projeto que contém o recurso afetado do Cloud Run.
    • finding:
      • processes:
        • binary:
        • path: o caminho completo do binário executado;
      • args: os argumentos fornecidos quando o binário foi executado;

  4. Identifique outras descobertas que ocorreram em um momento semelhante para o contêiner afetado. As descobertas relacionadas podem indicar que essa atividade foi maliciosa, em vez de uma falha em seguir as práticas recomendadas.

  5. Revise as configurações do contêiner afetado.

  6. Verifique os registros do contêiner afetado.

Pesquisar métodos de ataque e resposta

  1. Revise a entrada do framework MITRE ATT&CK para esse tipo de descoberta: Obter recursos: ferramenta.
  2. Para desenvolver um plano de resposta, combine os resultados da investigação com a pesquisa do MITRE.

Implementar a resposta

Para recomendações de resposta, consulte Responder a descobertas de ameaças do Cloud Run.

A seguir