このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。
概要
誰かが、exec コマンドまたは attach コマンドを使用して、シェルを取得した、または、kube-system Namespace で実行されているコンテナに対してコマンドを実行しました。これらのメソッドは、正当なデバッグ目的で使用されることもあります。ただし、kube-system
namespace は Kubernetes によって作成されたシステム オブジェクトを対象としており、予期しないコマンド実行やシェル作成を確認する必要があります。詳細については、このアラートのログ メッセージをご覧ください。
対処方法
この検出結果に対応する手順は次のとおりです。
- Cloud Logging で監査ログを確認して、これがプリンシパルによる想定されているアクティビティであるかどうかを判断します。
- ログを参照して、プリンシパルによる悪意のあるアクティビティを示す徴候がほかにあるかどうかを確認します。
このアクセスを許可したロールベース アクセス制御のロールとクラスタロールに対する最小権限の原則の使用に関するガイダンスを確認してください。
次のステップ
- Security Command Center で脅威の検出結果を操作する方法を学習する。
- 脅威の検出結果のインデックスを参照する。
- Google Cloud コンソールで検出結果を確認する方法を学習する。
- 脅威の検出結果を生成するサービスについて学習する。