예기치 않은 하위 셸

이 문서에서는 Security Command Center의 위협 발견 항목 유형에 대해 설명합니다. 위협 발견 항목은 위협 감지기가 클라우드 리소스에서 잠재적인 위협을 감지할 때 생성됩니다. 사용 가능한 위협 발견 항목의 전체 목록은 위협 발견 항목 색인을 참고하세요.

개요

Container Threat Detection에서 예기치 않게 하위 셸 프로세스가 생성된 프로세스를 관찰했습니다. 이 이벤트는 공격자가 셸 명령어 및 스크립트를 악용하려고 시도 중임을 나타낼 수 있습니다.

Container Threat Detection이 이 발견 항목의 소스입니다.

대응 방법

이 발견 항목에 대응하려면 다음을 수행하세요.

1단계: 발견 항목 세부정보 검토하기

  1. 발견 항목 검토의 지시에 따라 Unexpected Child Shell 발견 항목을 엽니다. 발견 항목의 세부정보 패널의 요약 탭이 열립니다.

  2. 요약 탭에서 다음 섹션의 정보를 검토합니다.

    • 특히 다음 필드를 포함하는 감지된 항목:
      • 상위 프로세스: 예기치 않게 하위 셸 프로세스가 생성된 프로세스입니다.
      • 하위 프로세스: 하위 셸 프로세스
      • 인수: 하위 셸 프로세스 바이너리에 제공된 인수
      • 환경 변수: 하위 셸 프로세스 바이너리의 환경 변수
      • 컨테이너: 컨테이너 이름입니다.
      • 컨테이너 URI: 컨테이너의 이미지 URI
      • Kubernetes 포드: 포드 이름 및 네임스페이스입니다.
    • 특히 다음 필드를 포함하는 영향을 받는 리소스:
      • 리소스 표시 이름: 영향을 받는 리소스의 이름
      • 리소스 전체 이름: 클러스터의 전체 리소스 이름 전체 리소스 이름에는 다음 정보가 포함됩니다.
        • 클러스터를 포함하는 프로젝트: projects/PROJECT_ID
        • 클러스터가 있는 위치: zone/ZONE 또는 locations/LOCATION
        • 클러스터의 이름: projects/CLUSTER_NAME
    • 특히 다음 필드를 포함하는 관련 링크:
      • VirusTotal 표시기: VirusTotal 분석 페이지 링크

  3. JSON 탭을 클릭하고 다음 필드를 확인합니다.

+processes: 발견 항목과 관련된 모든 프로세스가 포함된 배열. 이 배열에는 하위 셸 프로세스와 상위 프로세스가 포함됩니다. +resource: +project_display_name: 애셋이 포함된 프로젝트의 이름 +sourceProperties: +VM_Instance_Name: 포드가 실행된 GKE 노드의 이름입니다.

2단계: 클러스터 및 노드 검토하기

  1. Google Cloud 콘솔에서 Kubernetes 클러스터 페이지로 이동합니다.

    Kubernetes 클러스터로 이동

  2. 필요한 경우 Google Cloud 콘솔 툴바에서 resource.project_display_name에 나열된 프로젝트를 선택합니다.

  3. resource.name에 나열된 클러스터를 선택합니다. 클러스터 및 해당 소유자의 모든 메타데이터를 확인합니다.

  4. 노드 탭을 클릭합니다. VM_Instance_Name에 나열된 노드를 선택합니다.

  5. 세부정보 탭을 클릭하고 container.googleapis.com/instance_id 주석을 확인합니다.

3단계: 포드 검토하기

  1. Google Cloud 콘솔에서 Kubernetes 워크로드 페이지로 이동합니다.

    Kubernetes 워크로드로 이동

  2. 필요한 경우 Google Cloud 콘솔 툴바에서 발견 항목 요약의 클러스터 리소스 전체 이름(resource.name)에서 기록한 프로젝트를 선택합니다.

  3. 시스템 워크로드 표시를 클릭합니다.

  4. 발견 항목 요약의 리소스 전체 이름(resource.name)에 기록한 클러스터 이름과 필요한 경우 기록한 포드 네임스페이스(kubernetes.pods.ns)를 기준으로 워크로드 목록을 필터링합니다.

  5. 앞의 발견 항목 JSON에서 확인한 VM_Instance_Name 속성 값과 일치하는 워크로드 이름을 클릭합니다. 포드 세부정보 페이지가 열립니다.

  6. 포드 세부정보 페이지에서 위협 해결에 도움이 되는 포드에 대한 모든 정보를 기록합니다.

4단계: 로그 확인하기

  1. Google Cloud 콘솔에서 로그 탐색기로 이동합니다.

    로그 탐색기로 이동

  2. Google Cloud 콘솔 툴바에서 resource.project_display_name에 나열된 프로젝트를 선택합니다.

  3. 기간 선택을 원하는 기간으로 설정합니다.

  4. 로드되는 페이지에서 다음을 수행합니다.

    1. 다음 필터를 사용하여 Pod_Name의 포드 로그를 찾습니다.
      • resource.type="k8s_container"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • resource.labels.namespace_name="Pod_Namespace"
      • resource.labels.pod_name="Pod_Name"
    2. 다음 필터를 사용하여 클러스터 감사 로그를 찾습니다.
      • logName="projects/resource.project_display_name/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • Pod_Name
    3. 다음 필터를 사용하여 GKE 노드 콘솔 로그를 찾습니다.
      • resource.type="gce_instance"
      • resource.labels.instance_id="instance_id"

5단계: 실행 중인 컨테이너 조사하기

컨테이너가 계속 실행 중이면 컨테이너 환경을 직접 조사할 수 있습니다.

  1. Google Cloud 콘솔로 이동합니다.

    Google Cloud 콘솔 열기

  2. Google Cloud 콘솔 툴바에서 resource.project_display_name에 나열된 프로젝트를 선택합니다.

  3. Cloud Shell 활성화를 클릭합니다.

  4. 다음 명령어를 실행하여 클러스터의 GKE 사용자 인증 정보를 가져옵니다.

    영역 클러스터의 경우 다음을 실행합니다.

      gcloud container clusters get-credentials cluster_name --zone location --project resource.project_display_name

    리전 클러스터의 경우 다음을 실행합니다.

      gcloud container clusters get-credentials cluster_name --region location --project resource.project_display_name

  5. 컨테이너 환경 내에서 셸을 실행하려면 다음을 실행합니다.

      kubectl exec --namespace=Pod_Namespace -ti Pod_Name -c Container_Name -- /bin/sh

    이 명령어를 실행하려면 컨테이너의 셸이 /bin/sh에 설치되어 있어야 합니다.

    컨테이너에서 실행되는 모든 프로세스를 보려면 컨테이너 셸에서 다음 명령어를 실행합니다.

      ps axjf

    이 명령어를 실행하려면 컨테이너에 /bin/ps가 설치되어 있어야 합니다.

6단계: 공격 및 대응 방법 조사하기

  1. 이 발견 항목 유형(명령어 및 스크립트 해석: Unix 셸)의 MITRE ATT&CK 프레임워크 항목을 검토합니다.
  2. VirusTotal 표시기에서 링크를 클릭하여 VirusTotal에서 악성으로 표시된 바이너리의 SHA-256 해시 값을 확인합니다. VirusTotal은 Alphabet 소유 서비스로 잠재적 악성 파일, URL, 도메인 및 IP 주소에 관한 컨텍스트를 제공합니다.
  3. 대응 계획을 개발하려면 조사 결과를 MITRE 연구 및 VirusTotal 분석과 결합합니다.

7단계: 대응 구현하기

다음의 응답 계획이 이 발견 항목에 적합할 수 있지만 작업에도 영향을 줄 수 있습니다. 조사에서 수집한 정보를 신중하게 평가하여 발견 항목을 해결할 최선의 방법을 결정해야 합니다.

  • 침해된 컨테이너가 있는 프로젝트 소유자에게 문의하세요.
  • 침해된 컨테이너를 중지 또는 삭제하고 새 컨테이너로 바꿉니다.

다음 단계