このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。
概要
誰かが、一般的な暗号通貨マイナーと同様の命名規則で Pod をデプロイしました。これは、クラスタへの初期アクセスを達成した攻撃者が、クラスタのリソースを暗号通貨マイニングに使用しようとしている可能性があります。詳細については、このアラートのログメッセージをご覧ください。
顧客への対処方法
次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。
この検出結果に対応する手順は次のとおりです。
- Pod が正当であることを確認します。
- Cloud Logging の監査ログを参照して、Pod またはプリンシパルによる悪意のあるアクティビティを示す徴候が他にないか確認します。
- プリンシパルがサービス アカウント（IAM または Kubernetes）でない場合は、サービス アカウントのオーナーに連絡して、正当なオーナーがそのアクションを実行したかどうかを確認します。
- プリンシパルがサービス アカウント（IAM または Kubernetes）である場合は、アクションのソースを特定して、正当性を判断します。
- Pod が正当ではない場合は、その Pod、関連するすべての RBAC バインディング、ワークロードが使用したサービス アカウント、その作成を許可したサービス アカウントを削除します。
次のステップ
- Security Command Center で脅威の検出結果を操作する方法を学習する。
- 脅威の検出結果のインデックスを参照してください。
- Google Cloud コンソールで検出結果を確認する方法を学習する。
- 脅威の検出結果を生成するサービスについて学習する。