権限昇格: 漏洩したブートストラップ認証情報を使用した Kubernetes CSR の取得

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

権限を昇格させるため、悪意のある行為者が漏洩したブートストラップ認証情報を使用して kubectl コマンドを実行し、証明書署名リクエスト（CSR）をクエリしました。

以下に、このルールが検出するコマンドの例を示します。

kubectl --client-certificate kubelet.crt --client-key kubelet.key --server YOUR_SERVER get csr CSR_NAME

対処方法

この検出結果に対応する手順は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、Privilege Escalation: Get Kubernetes CSR with compromised bootstrap credentials の検出結果を開きます。検出結果の詳細パネルが開き、[概要] タブが表示されます。

  2. [概要] タブで、次のセクションの情報を確認します。

    • 検出された内容（特に次のフィールド）:
      • プリンシパルのメール: 連絡をしたアカウント。
      • メソッド名: 呼び出されたメソッド。
    • 影響を受けているリソース:
      • リソースの表示名: アクションが発生した Kubernetes クラスタ。
    • 関連リンク（特に次のフィールド）:
      • Cloud Logging URI: Logging エントリへのリンク。
      • MITRE ATT&CK 方式: MITRE ATT&CK ドキュメントへのリンク。
      • 関連する検出結果: 関連する検出結果へのリンク。

ステップ 2: ログを確認する

検出結果の詳細の [メソッド名] フィールドのメソッド名が GET メソッドの場合は、次の操作を行います。

  1. Google Cloud コンソールの検出結果の詳細の概要タブで、[Cloud Logging URI] フィールドにあるリンクをクリックしてログ エクスプローラに移動します。
  2. protoPayload.resourceName フィールドの値を確認して、特定の証明書署名リクエストを識別します。

ステップ 3: 攻撃とレスポンスの手法を調査する

  1. この検出結果タイプに対応する MITRE ATT&CK フレームワーク エントリ（Privilege Escalation）を確認します。
  2. 特定の CSR がログエントリに存在する場合は、証明書の機密性と、アクションが正当かどうかを調べます。
  3. 対応計画を策定するには、独自の調査結果と MITRE の調査を組み合わせる必要があります。

次のステップ