Escalada de privilegios: crear CSR de Kubernetes para el certificado de la instancia maestra

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Para aumentar los privilegios, un agente potencialmente malicioso creó una solicitud de firma de certificado (CSR) de Kubernetes, lo que le dio acceso cluster-admin.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre la Privilege Escalation: Create Kubernetes CSR for master cert detección siguiendo las instrucciones de la sección Revisar las detecciones. Se abrirá el panel de detalles del resultado en la pestaña Resumen.

  2. En la pestaña Resumen, consulte la información de las siguientes secciones:

    • Qué se detectó, especialmente los siguientes campos:
      • Correo principal: la cuenta que ha hecho la llamada.
      • Nombre del método: el método al que se ha llamado.
    • Recurso afectado, especialmente los siguientes campos:
      • Nombre visible del recurso: el clúster de Kubernetes en el que se ha producido la acción.
    • Enlaces relacionados, especialmente los siguientes campos:
      • URI de Cloud Logging: enlace a las entradas de registro.
      • Método MITRE ATT&CK: enlace a la documentación de MITRE ATT&CK.
      • Hallazgos relacionados: enlaces a los hallazgos relacionados.

Paso 2: Consulta los registros

  1. En la pestaña Resumen de los detalles de la detección en la consola de Google Cloud , vaya a Explorador de registros haciendo clic en el enlace del campo URI de Cloud Logging.
  2. Compruebe el valor del campo protoPayload.resourceName para identificar la solicitud de firma de certificado específica.

  3. Comprueba otras acciones realizadas por la entidad de seguridad mediante los siguientes filtros:

    • resource.labels.cluster_name="CLUSTER_NAME"

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"

      Haz los cambios siguientes:

    • CLUSTER_NAME: el valor que has anotado en el campo Nombre visible de recurso de los detalles de la detección.

    • PRINCIPAL_EMAIL: el valor que has anotado en el campo Correo principal de los detalles de la detección.

Paso 3: Investiga los métodos de ataque y respuesta

  1. Revisa las entradas del framework ATT&CK de MITRE para este tipo de hallazgo: Escalada de privilegios.
  2. Investiga si se justificaba dar acceso a cluster-admin.

  3. Si el correo principal no es una cuenta de servicio, ponte en contacto con el propietario de la cuenta para confirmar si el propietario legítimo ha realizado la acción.

    Si el correo principal es una cuenta de servicio (IAM o Kubernetes), identifica el origen de la acción para determinar su legitimidad.

  4. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE.

Siguientes pasos