Escalation dei privilegi: avvia un container Kubernetes con privilegi

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.

Panoramica

Un utente potenzialmente malintenzionato ha creato un pod contenente container con privilegi o con funzionalità di escalation dei privilegi.

Il campo privileged di un container con privilegi è impostato su true. Il campo allowPrivilegeEscalation di un container con funzionalità di escalation dei privilegi è impostato su true. Per saperne di più, consulta il riferimento dell'API SecurityContext v1 core nella documentazione di Kubernetes.

Come rispondere

Per rispondere a questo risultato:

Passaggio 1: esamina i dettagli del risultato

  1. Apri il Privilege Escalation: Launch of privileged Kubernetes container risultato come indicato in Revisione dei risultati. Il riquadro dei dettagli del risultato si apre nella scheda Riepilogo.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • Email entità: l'account che ha effettuato la chiamata.
      • Pod Kubernetes: il pod appena creato con container con privilegi.
    • Risorsa interessata, in particolare i seguenti campi:
      • Nome visualizzato risorsa: il cluster Kubernetes in cui si è verificata l'azione.
    • Link correlati, in particolare i seguenti campi:
      • URI Cloud Logging: link alle voci di log.
      • Metodo MITRE ATT&CK: link alla documentazione MITRE ATT&CK.
      • Risultati correlati: link a eventuali risultati correlati.

  3. Nella scheda JSON, annota i valori dei campi del risultato:

    • findings.kubernetes.pods[].containers: il container con privilegi attivato all'interno del pod.

Passaggio 2: controlla i log

  1. Nella scheda Riepilogo dei dettagli del problema nella console Google Cloud , vai a Esplora log facendo clic sul link nel campo URI di Cloud Logging.

  2. Controlla altre azioni intraprese dal principale utilizzando i seguenti filtri:

    • resource.labels.cluster_name="CLUSTER_NAME"

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"

      Sostituisci quanto segue:

    • CLUSTER_NAME: il valore che hai annotato nel campo Nome visualizzato della risorsa nei dettagli del risultato.

    • PRINCIPAL_EMAIL: il valore che hai annotato nel campo Email principale nei dettagli del risultato.

Passaggio 3: ricerca di metodi di attacco e risposta

  1. Esamina le voci del framework MITRE ATT&CK per questo tipo di risultato: Privilege Escalation.
  2. Conferma che il container creato richieda l'accesso alle risorse dell'host e alle funzionalità del kernel.
  3. Determina se esistono altri indicatori di attività dannosa da parte dell'entità nei log.

  4. Se l'email dell'entità non è un service account, contatta il proprietario dell'account per confermare se l'azione è stata eseguita dal legittimo proprietario.

    Se l'email dell'entità è un account di servizio (IAM o Kubernetes), identifica l'origine dell'azione per determinarne la legittimità.

  5. Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.

Passaggi successivi