防御回避: 予期しない kprobe ハンドラ

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。脅威の検出結果の完全なリストについては、脅威の検出結果のインデックスをご覧ください。

概要

VM 脅威検出が kprobe ポイントが想定されるカーネルまたはモジュール コード範囲にないリージョンを参照するコールバックとともに存在していることを検出しました。

対処方法

この検出結果の対処方法は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、検出結果を開きます。検出結果の詳細パネルが開き、[概要] タブが表示されます。

  2. [概要] タブで、次のセクションの情報を確認します。

    • 検出された内容（特に次のフィールド）:

      • カーネル ルートキット名: 検出されたルートキットのファミリーの名前（Diamorphine など）。
      • 予期しないカーネルコード ページ: カーネルコード ページが予期しないカーネルまたはモジュール コード リージョンに存在するかどうか。
      • 予期しないシステムコール ハンドラ: システムコール ハンドラが予期しないカーネルまたはモジュール コード リージョンに存在するかどうか。

    • 影響を受けているリソース（特に次のフィールド）:

      • リソースの完全な名前: 影響を受ける VM インスタンスの完全なリソース名。プロジェクトの ID も含まれます。

  3. この検出結果の完全な JSON を表示するには、検出結果の詳細ビューで [JSON] タブをクリックします。

ステップ 2: ログを確認する

  1. Google Cloud コンソールで、[ログ エクスプローラ] に移動します。

    [ログ エクスプローラ] に移動

  2. Google Cloud コンソールのツールバーで、検出結果の詳細の [概要] タブにある [リソースの完全な名前] 行の VM インスタンスを含むプロジェクトを選択します。

  3. ログで影響を受けている VM インスタンスへの侵入の兆候を確認します。たとえば、不審なアクティビティ、不明なアクティビティ、認証情報の漏洩の兆候を探します。

ステップ 3: 権限と設定を確認する

  1. 検出結果の詳細の [概要] タブで、[リソースの完全な名前] フィールドのリンクをクリックします。
  2. ネットワークやアクセスの設定など、VM インスタンスの詳細を確認します。

ステップ 4: 影響を受けている VM を検査する

カーネルメモリの改ざんの兆候について VM を検査するの手順に沿って行います。

ステップ 5: 攻撃とレスポンスの手法を調査する

  1. MITRE ATT&CK フレームワーク エントリの防御回避を確認します。
  2. 対応計画は独自の調査結果と MITRE の調査結果の両方を考慮に入れて策定します。

ステップ 6: レスポンスを実装する

次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。

  1. VM のオーナーに連絡します。

  2. 必要に応じて、不正使用されたインスタンスを停止し、新しいインスタンスに置き換えます。

  3. フォレンジック分析を実施する場合は、仮想マシンと永続ディスクのバックアップをおすすめします。詳細については、Compute Engine ドキュメントのデータ保護オプションをご覧ください。

  4. VM インスタンスを削除します。

  5. さらに調査を続けるには、Mandiant などのインシデント対応サービスの利用をおすすめします。

次のステップ