Escalonamento de privilégios: crie uma CSR do Kubernetes para o certificado mestre.

Este documento descreve um tipo de descoberta de ameaça no Security Command Center. As descobertas de ameaças são geradas por detectores de ameaças quando eles detectam uma ameaça potencial nos seus recursos da nuvem. Para uma lista completa das descobertas de ameaças disponíveis, consulte o índice de descobertas de ameaças.

Visão geral

Para escalonar o privilégio, um usuário possivelmente mal-intencionado criou uma solicitação de assinatura de certificado (CSR), que concede acesso ao cluster-admin do mestre do Kubernetes.

Como responder

Para responder a essa descoberta, faça o seguinte:

Etapa 1: verificar os detalhes da descoberta

  1. Abra uma descoberta Privilege Escalation: Create Kubernetes CSR for master cert, conforme direcionado em Como verificar descobertas. O painel de detalhes da descoberta é aberto na guia Resumo.

  2. Na guia Resumo, confira as informações nas seguintes seções:

    • O que foi detectado, especialmente os seguintes campos:
      • E-mail principal: a conta que fez a chamada.
      • Nome do método: o método que foi chamado.
    • Recurso afetado, especialmente os seguintes campos:
      • Nome de exibição do recurso: o cluster do Kubernetes em que a ação ocorreu.
    • Links relacionados, principalmente os seguintes campos:
      • URI do Cloud Logging: link para as entradas do Logging.
      • Método MITRE ATT&CK: link para a documentação do MITRE ATT&CK.
      • Descobertas relacionadas: links para quaisquer descobertas relacionadas.

Etapa 2: verificar os registros

  1. Na guia Resumo dos detalhes da descoberta no console do Google Cloud , acesse o Explorador de registros clicando no link no campo URI do Cloud Logging.
  2. Verifique o valor no campo protoPayload.resourceName para identificar a solicitação de assinatura de certificado específica.

  3. Verifique se há outras ações realizadas pelo principal usando os seguintes filtros:

    • resource.labels.cluster_name="CLUSTER_NAME"

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"

      Substitua:

    • CLUSTER_NAME: o valor que você anotou no campo Nome de exibição do recurso nos detalhes da descoberta.

    • PRINCIPAL_EMAIL: o valor que você anotou no campo E-mail principal nos detalhes da descoberta.

Etapa 3: pesquisar métodos de ataque e resposta

  1. Revise as entradas do framework MITRE ATT&CK para esse tipo de descoberta: Escalonamento de privilégios.
  2. Investigue se a permissão de acesso ao cluster-admin é garantida.

  3. Se o e-mail principal não for uma conta de serviço, entre em contato com o proprietário da conta para confirmar se o proprietário legítimo realizou a ação.

    Se o e-mail principal for uma conta de serviço (IAM ou Kubernetes), identifique a origem da ação para determinar a legitimidade.

  4. Para desenvolver um plano de resposta, combine os resultados da investigação com a pesquisa do MITRE.

A seguir