Escalonamento de privilégios: lançamento de contêiner com privilégios do Kubernetes.

Este documento descreve um tipo de descoberta de ameaça no Security Command Center. As descobertas de ameaças são geradas por detectores de ameaças quando eles detectam uma ameaça potencial nos seus recursos da nuvem. Para uma lista completa das descobertas de ameaças disponíveis, consulte o índice de descobertas de ameaças.

Visão geral

Uma pessoa possivelmente maliciosa criou um pod com contêineres privilegiados ou contêineres com recursos de escalonamento de privilégios.

Um contêiner privilegiado tem o campo privileged definido como true. Um contêiner com recursos de escalonamento de privilégios tem o campo allowPrivilegeEscalation definido como true. Para mais informações, consulte a referência da API SecurityContext v1 core na documentação do Kubernetes.

Como responder

Para responder a essa descoberta, faça o seguinte:

Etapa 1: verificar os detalhes da descoberta

  1. Abra uma descoberta Privilege Escalation: Launch of privileged Kubernetes container, conforme direcionado em Como verificar descobertas. O painel de detalhes da descoberta é aberto na guia Resumo.

  2. Na guia Resumo, confira as informações nas seguintes seções:

    • O que foi detectado, especialmente os seguintes campos:
      • E-mail principal: a conta que fez a chamada.
      • Pods do Kubernetes: o pod recém-criado com contêineres privilegiados.
    • Recurso afetado, especialmente os seguintes campos:
      • Nome de exibição do recurso: o cluster do Kubernetes em que a ação ocorreu.
    • Links relacionados, principalmente os seguintes campos:
      • URI do Cloud Logging: link para as entradas do Logging.
      • Método MITRE ATT&CK: link para a documentação do MITRE ATT&CK.
      • Descobertas relacionadas: links para quaisquer descobertas relacionadas.

  3. Na guia JSON, observe os valores dos campos de descoberta:

    • findings.kubernetes.pods[].: o contêiner privilegiado ativado no pod.

Etapa 2: verificar os registros

  1. Na guia Resumo dos detalhes da descoberta no console do Google Cloud , acesse o Explorador de registros clicando no link no campo URI do Cloud Logging.

  2. Verifique se há outras ações realizadas pelo principal usando os seguintes filtros:

    • resource.labels.cluster_name="CLUSTER_NAME"

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"

      Substitua:

    • CLUSTER_NAME: o valor que você anotou no campo Nome de exibição do recurso nos detalhes da descoberta.

    • PRINCIPAL_EMAIL: o valor que você anotou no campo E-mail principal nos detalhes da descoberta.

Etapa 3: pesquisar métodos de ataque e resposta

  1. Revise as entradas do framework MITRE ATT&CK para esse tipo de descoberta: Escalonamento de privilégios.
  2. Confirme se o contêiner criado requer acesso a recursos do host e recursos do kernel.
  3. Determine se há outros sinais de atividade maliciosa pelo principal nos registros.

  4. Se o e-mail principal não for uma conta de serviço, entre em contato com o proprietário dela para confirmar se foi essa pessoa que realizou a ação.

    Se o e-mail principal for uma conta de serviço (IAM ou Kubernetes), identifique a origem da ação para determinar a legitimidade.

  5. Para desenvolver um plano de resposta, combine os resultados da investigação com a pesquisa do MITRE.

A seguir