Apropiación de privilegios: lanzamiento de un contenedor de Kubernetes con privilegios

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Un agente potencialmente malicioso ha creado un pod que contiene contenedores con privilegios o contenedores con funciones de escalada de privilegios.

Un contenedor con privilegios tiene el campo privileged definido como true. Un contenedor con funciones de apropiación de privilegios tiene el campo allowPrivilegeEscalation definido como true. Para obtener más información, consulta la referencia de la API SecurityContext v1 core en la documentación de Kubernetes.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre la Privilege Escalation: Launch of privileged Kubernetes container detección siguiendo las instrucciones de la sección Revisar las detecciones. Se abre el panel de detalles del resultado en la pestaña Resumen.

  2. En la pestaña Resumen, consulte la información de las siguientes secciones:

    • Qué se detectó, especialmente los siguientes campos:
      • Correo principal: la cuenta que ha hecho la llamada.
      • Pods de Kubernetes: el pod recién creado con contenedores privilegiados.
    • Recurso afectado, especialmente los siguientes campos:
      • Nombre visible del recurso: el clúster de Kubernetes en el que se ha producido la acción.
    • Enlaces relacionados, especialmente los siguientes campos:
      • URI de Cloud Logging: enlace a las entradas de registro.
      • Método MITRE ATT&CK: enlace a la documentación de MITRE ATT&CK.
      • Hallazgos relacionados: enlaces a los hallazgos relacionados.

  3. En la pestaña JSON, anota los valores de los campos del hallazgo:

    • findings.kubernetes.pods[].containers: el contenedor con privilegios que se ha detectado en el pod.

Paso 2: Consulta los registros

  1. En la pestaña Resumen de los detalles de la detección en la consola de Google Cloud , vaya a Explorador de registros haciendo clic en el enlace del campo URI de Cloud Logging.

  2. Comprueba otras acciones realizadas por la entidad de seguridad mediante los siguientes filtros:

    • resource.labels.cluster_name="CLUSTER_NAME"

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"

      Haz los cambios siguientes:

    • CLUSTER_NAME: el valor que has anotado en el campo Nombre visible de recurso de los detalles de la detección.

    • PRINCIPAL_EMAIL: el valor que has anotado en el campo Correo principal de los detalles de la detección.

Paso 3: Investiga los métodos de ataque y respuesta

  1. Revisa las entradas del framework ATT&CK de MITRE para este tipo de hallazgo: Escalada de privilegios.
  2. Confirma que el contenedor creado requiere acceso a los recursos del host y a las funciones del kernel.
  3. Determina si hay otros signos de actividad maliciosa por parte de la entidad principal en los registros.

  4. Si el correo principal no es una cuenta de servicio, ponte en contacto con el propietario de la cuenta para confirmar si el propietario legítimo ha realizado la acción.

    Si el correo principal es una cuenta de servicio (IAM o Kubernetes), identifica el origen de la acción para determinar su legitimidad.

  5. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE.

Siguientes pasos