URL dannoso rilevato

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.

Panoramica

Container Threat Detection ha rilevato un URL dannoso nell'elenco degli argomenti di un processo eseguibile. Gli autori degli attacchi possono caricare malware o librerie dannose tramite URL dannosi.

Come rispondere

Per rispondere a questo risultato:

Passaggio 1: esamina i dettagli del risultato

  1. Apri un risultato Malicious URL Observed come indicato in Revisione dei risultati. Il riquadro dei dettagli del risultato si apre nella scheda Riepilogo.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • URI: l'URI dannoso osservato.
      • File binario aggiunto: il percorso completo del file binario del processo che ha ricevuto gli argomenti che contengono l'URL dannoso.
      • Argomenti: gli argomenti forniti durante la chiamata del binario del processo.
      • Variabili di ambiente: le variabili di ambiente in vigore quando è stato richiamato il binario del processo.
      • Contenitori: il nome del contenitore.
      • Pod Kubernetes: il nome e lo spazio dei nomi del pod.
    • Risorsa interessata, in particolare i seguenti campi:
      • Nome visualizzato risorsa: il nome della risorsa interessata.
      • Nome completo risorsa: il nome completo risorsa del cluster. Il nome completo della risorsa include le seguenti informazioni:
        • Il progetto che contiene il cluster: projects/PROJECT_ID
        • La località in cui si trova il cluster: zone/ZONE o locations/LOCATION
        • Il nome del cluster: projects/CLUSTER_NAME
    • Link correlati, in particolare i seguenti campi:
      • Indicatore VirusTotal: link alla pagina di analisi di VirusTotal.

  3. Nella scheda JSON, nell'attributo sourceProperties, annota il valore della proprietà VM_Instance_Name.

Passaggio 2: esamina il cluster e il nodo

  1. Nella console Google Cloud , vai alla pagina Cluster Kubernetes.

    Vai ai cluster Kubernetes

  2. Nella barra degli strumenti della console Google Cloud , seleziona il progetto visualizzato in Nome completo risorsa (resource.name), se necessario. Il nome del progetto viene visualizzato dopo /projects/ nel nome completo della risorsa.

  3. Fai clic sul nome del cluster che hai annotato in Nome visualizzato risorsa (resource.display_name) del riepilogo del problema. Viene visualizzata la pagina Cluster.

  4. Nella sezione Metadati della pagina **Dettagli cluster, annota tutte le informazioni definite dall'utente che potrebbero essere utili per risolvere la minaccia, ad esempio le informazioni che identificano il proprietario del cluster.

  5. Fai clic sulla scheda Nodi.

  6. Seleziona dall'elenco dei nodi quello che corrisponde al valore di VM_Instance_Name annotato in precedenza nel JSON del risultato.

  7. Nella scheda Dettagli della pagina Dettagli nodo, nella sezione Annotazioni, prendi nota del valore dell'annotazione container.googleapis.com/instance_id.

Passaggio 3: rivedi il pod

  1. Nella console Google Cloud , vai alla pagina Workload Kubernetes.

    Vai a Carichi di lavoro Kubernetes

  2. Nella barra degli strumenti della console Google Cloud , seleziona il progetto che hai annotato nel Nome completo risorsa (resource.name) del cluster nel riepilogo del risultato, se necessario.

  3. Fai clic su Mostra workload del sistema.

  4. Filtra l'elenco dei carichi di lavoro in base al nome del cluster annotato in Nome completo della risorsa (resource.name) del riepilogo del risultato e, se necessario, lo spazio dei nomi (kubernetes.pods.ns) del pod annotato.

  5. Fai clic sul nome del carico di lavoro che corrisponde al valore della proprietà VM_Instance_Name che hai annotato in precedenza nel JSON del risultato. Viene visualizzata la pagina Dettagli pod.

  6. Nella pagina Dettagli pod, prendi nota di eventuali informazioni sul pod che potrebbero aiutarti a risolvere la minaccia.

Passaggio 4: controlla i log

  1. Nella console Google Cloud , vai a Esplora log.

    Vai a Esplora log

  2. Nella barra degli strumenti della console Google Cloud , seleziona il progetto visualizzato in Nome completo risorsa (resource.name), se necessario.

  3. Imposta Seleziona intervallo di tempo sul periodo di interesse.

  4. Nella pagina che viene caricata, segui questi passaggi:

    1. Trova i log del pod (kubernetes.pods.name) utilizzando il seguente filtro:
      • resource.type="k8s_container"
      • resource.labels.project_id="PROJECT_ID"
      • resource.labels.location="LOCATION"
      • resource.labels.cluster_name="CLUSTER_NAME"
      • resource.labels.namespace_name="NAMESPACE_NAME"
      • resource.labels.pod_name="POD_NAME"
    2. Trova i log di controllo del cluster utilizzando il seguente filtro:
      • logName="projects/PROJECT_NAME/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="PROJECT_ID"
      • resource.labels.location="LOCATION_OR_ZONE"
      • resource.labels.cluster_name="CLUSTER_NAME/var>"
      • POD_NAME
    3. Trova i log della console dei nodi GKE utilizzando il seguente filtro:
      • resource.type="gce_instance"
      • resource.labels.instance_id="INSTANCE_ID"

Passaggio 5: esamina il contenitore in esecuzione

Se il container è ancora in esecuzione, potrebbe essere possibile esaminare direttamente l'ambiente del container.

  1. Nella console Google Cloud , vai alla pagina Cluster Kubernetes.

    Vai ai cluster Kubernetes

  2. Fai clic sul nome del cluster mostrato in resource.labels.cluster_name.

  3. Nella pagina Cluster, fai clic su Connetti e poi su Esegui in Cloud Shell.

    Cloud Shell viene avviata e aggiunge i comandi per il cluster nel terminale.

  4. Premi Invio e, se viene visualizzata la finestra di dialogo Autorizza Cloud Shell, fai clic su Autorizza.

  5. Connettiti all'ambiente container eseguendo il seguente comando:

      kubectl exec --namespace=POD_NAMESPACE -ti POD_NAME -c CONTAINER_NAME -- /bin/sh

    Sostituisci CONTAINER_NAME con il nome del container che hai annotato in precedenza nel riepilogo del risultato.

    Questo comando richiede che nel contenitore sia installata una shell in /bin/sh.

Passaggio 6: ricerca di metodi di attacco e risposta

  1. Controlla lo stato del sito di Navigazione sicura per visualizzare i dettagli sul motivo per cui l'URL è classificato come dannoso.
  2. Esamina le voci del framework MITRE ATT&CK per questo tipo di risultato: Ingress Tool Transfer.
  3. Controlla il valore hash SHA-256 del file binario segnalato come dannoso su VirusTotal facendo clic sul link nell'indicatore VirusTotal. VirusTotal è un servizio di proprietà di Alphabet che fornisce il contesto di file, URL, domini e indirizzi IP potenzialmente dannosi.
  4. Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE e l'analisi di VirusTotal.

Passaggio 7: implementa la risposta

Il seguente piano di risposta potrebbe essere appropriato per questo risultato, ma potrebbe anche influire sulle operazioni. Valuta attentamente le informazioni raccolte durante l'indagine per determinare il modo migliore per risolvere i risultati.

  • Contatta il proprietario del progetto con il container compromesso.
  • Arresta o elimina il container compromesso e sostituiscilo con un nuovo container.

Passaggi successivi