このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。
概要
誰かが bind、escalate、impersonate のいずれかの動詞を含むロールベース アクセス制御 ClusterRole を作成しました。これらの動詞を使用してロールにバインドされたサブジェクトは、より高い権限を持つ他のユーザーの権限の借用、追加の権限を含む追加の Role オブジェクトまたは ClusterRole オブジェクトへのバインド、自身の ClusterRole 権限の変更などを行えます。これにより、これらのサブジェクトが cluster-admin 権限を取得する可能性があります。詳細については、このアラートのログ メッセージをご覧ください。
対処方法
この検出結果に対応する手順は次のとおりです。
ClusterRoleと関連するClusterRoleBindingsを見直して、サブジェクトが実際にこれらの権限を必要とするかどうかを確認します。- 可能であれば、
bind、escalate、impersonate動詞を含むロールを作成しないようにしてください。 - Cloud Logging で監査ログを参照して、プリンシパルによる悪意のあるアクティビティを示す徴候が他にないか判断します。
- ロールベース アクセス制御ロールで権限を割り当てる場合は、最小権限の原則に沿って、タスクの実行に必要な最小限の権限を付与します。最小権限の原則を使用すると、クラスタが侵害された場合の権限昇格のリスクが軽減され、過剰なアクセスによってセキュリティ インシデントが発生する可能性が低くなります。
次のステップ
- Security Command Center で脅威の検出結果を操作する方法を学習する。
- 脅威の検出結果のインデックスを確認する。
- Google Cloud コンソールで検出結果を確認する方法を学習する。
- 脅威の検出結果を生成するサービスについて学習する。