防御回避: ルートキット

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

VM Threat Detection が、Compute Engine VM インスタンスで既知のカーネルモード ルートキットと一致するシグナルの組み合わせを検出しました。

Defense Evasion: Rootkit 検出結果カテゴリは、次の検出結果カテゴリのスーパーセットです。したがって、このセクションはこれらの検出結果カテゴリにも適用されます。

  • Defense Evasion: Unexpected ftrace handler
  • Defense Evasion: Unexpected interrupt handler
  • Defense Evasion: Unexpected kernel modules
  • Defense Evasion: Unexpected kernel read-only data modification
  • Defense Evasion: Unexpected kprobe handler
  • Defense Evasion: Unexpected processes in runqueue
  • Defense Evasion: Unexpected system call handler

対処方法

この検出結果に対応する手順は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、検出結果を開きます。検出結果の詳細パネルが開き、[概要] タブが表示されます。

  2. [概要] タブで、次のセクションの情報を確認します。

    • 検出された内容（特に次のフィールド）:

      • カーネル ルートキット名: 検出されたルートキットのファミリー名（例: Diamorphine）。
      • 予期しないカーネルコード ページ: カーネルコード ページが、想定されていないカーネルコード領域またはモジュール コード領域に存在するかどうか。
      • 予期しないシステムコール ハンドラ: システムコール ハンドラが、想定されていないカーネルコード領域またはモジュール コード領域に存在するかどうか。

    • 影響を受けているリソース（特に次のフィールド）:

      • リソースの完全な名前: 影響を受ける VM インスタンスの完全なリソース名。この VM を含むプロジェクトの ID が含まれます。

  3. この検出結果の完全な JSON を表示するには、検出結果の詳細ビューで [JSON] タブをクリックします。

ステップ 2: ログを確認する

  1. Google Cloud コンソールで、[ログ エクスプローラ] に移動します。

    [ログ エクスプローラ] に移動

  2. Google Cloud コンソールのツールバーで、検出結果の詳細の [概要] タブにある [リソースの完全な名前] 行の VM インスタンスを含むプロジェクトを選択します。

  3. ログで、該当する VM インスタンスの侵入の兆候を確認します。たとえば、不審なアクティビティや不明なアクティビティ、不正使用された認証情報の兆候を探します。

ステップ 3: 権限と設定を確認する

  1. 検出結果の詳細の [概要] タブの [リソースの完全な名前] フィールドで、リンクをクリックします。
  2. ネットワークやアクセスの設定など、VM インスタンスの詳細を確認します。

ステップ 4: 影響を受ける VM を検査する

カーネルメモリの改ざんの兆候について VM を検査するの手順に沿って操作します。

ステップ 5: 攻撃とレスポンスの手法を調査する

  1. 防御回避の MITRE ATT&CK フレームワーク エントリを確認します。
  2. 対応計画を策定するには、独自の調査結果と MITRE の調査を組み合わせる必要があります。

ステップ 6: レスポンスを実装する

次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。

  1. VM のオーナーに連絡します。

  2. 必要に応じて、不正使用されたインスタンスを停止し、新しいインスタンスに置き換えます。

  3. フォレンジック分析を行う場合は、仮想マシンと永続ディスクのバックアップを検討してください。詳細については、Compute Engine のドキュメントのデータ保護オプションをご覧ください。

  4. VM インスタンスを削除します。

  5. さらに調査するには、Mandiant などのインシデント対応サービスの利用をご検討ください。

次のステップ