Die Cloud Run-Bedrohungserkennung ist ein integrierter Dienst von Security Command Center, der den Zustand unterstützter Cloud Run-Ressourcen kontinuierlich überwacht, um die gängigsten Laufzeitangriffe zu erkennen. Wenn die Cloud Run-Bedrohungserkennung einen Angriff erkennt, wird in Security Command Center nahezu in Echtzeit ein Ergebnis generiert.
Die Laufzeitdetektoren von Cloud Run Threat Detection überwachen Cloud Run-Ressourcen auf verdächtige Binärdateien und Bibliotheken und erkennen schädlichen Bash- und Python-Code mithilfe von Natural Language Processing (NLP).
Außerdem sind Control Plane-Detektoren über Event Threat Detection verfügbar. Diese Detektoren überwachen den Cloud Logging-Stream Ihrer Organisation oder Projekte, um potenzielle Angriffe auf die Steuerungsebene Ihrer Cloud Run-Ressourcen zu erkennen.
Unterstützte Ressourcen
Cloud Run Threat Detection überwacht die folgenden Ressourcen:
Unterstützte Ausführungsumgebungen
Die unterstützten Ausführungsumgebungen unterscheiden sich für Laufzeit- und Steuerungsebenendetektoren.
Unterstützte Ausführungsumgebungen für Laufzeitdetektoren
Die Laufzeit-Detectors von Cloud Run Threat Detection unterstützen nur Cloud Run-Ressourcen, die in der Ausführungsumgebung der zweiten Generation ausgeführt werden. Beachten Sie Folgendes, bevor Sie Cloud Run Threat Detection aktivieren:
Wenn Sie die Cloud Run-Bedrohungserkennung aktivieren, können Sie keinen Cloud Run-Dienst oder keine Dienstüberarbeitung erstellen, die in der Ausführungsumgebung der ersten Generation ausgeführt wird. Der Cloud Run-Dienst muss die Ausführungsumgebung der zweiten Generation verwenden. Wir empfehlen Ihnen, Ihre Arbeitslasten in der Ausführungsumgebung der zweiten Generation zu testen, bevor Sie die Cloud Run-Bedrohungserkennung aktivieren.
Wenn Sie die Laufzeit-Bedrohungserkennung für einen Dienst aktivieren möchten, stellen Sie eine Überarbeitung bereit, in der die Ausführungsumgebung des Dienstes entweder auf die Ausführungsumgebung der zweiten Generation oder auf die Standardausführungsumgebung festgelegt wird.
Unterstützte Ausführungsumgebungen für Detektoren der Steuerungsebene
Die Detectors für die Steuerungsebene unterstützen sowohl Ausführungsumgebungen der ersten als auch der zweiten Generation.
Funktionsweise der Laufzeit-Bedrohungserkennung von Cloud Run Threat Detection
Wenn Sie die Cloud Run-Bedrohungserkennung aktivieren, werden Telemetriedaten von den unterstützten Cloud Run-Ressourcen erfasst, um Prozesse, Skripts und Bibliotheken zu analysieren, die auf einen Laufzeitangriff hindeuten könnten. Wenn Ereignisse erkannt werden, sieht der Ausführungspfad so aus:
- Bei der Cloud Run-Bedrohungserkennung wird ein Watcher-Prozess verwendet, um Container- und Ereignisinformationen für die gesamte Dauer einer Cloud Run-Arbeitslast zu erfassen.
Cloud Run Threat Detection analysiert die erfassten Ereignisinformationen, um festzustellen, ob ein Ereignis auf einen Vorfall hindeutet. Dabei wird NLP verwendet, um Bash- und Python-Skripts auf schädlichen Code zu analysieren.
Wenn Cloud Run Threat Detection einen Vorfall identifiziert, wird er als Ergebnis in Security Command Center gemeldet.
Wenn Cloud Run Threat Detection keinen Vorfall identifiziert, werden keine Informationen gespeichert.
Alle erhobenen Daten sind sitzungsspezifisch und werden nicht dauerhaft gespeichert.
Informationen zum Prüfen von Cloud Run Threat Detection-Ergebnissen in derGoogle Cloud Console finden Sie unter Ergebnisse prüfen.
Bekannte Probleme
- Wenn der Watcher-Prozess in einer laufenden Instanz Ihres Cloud Run-Dienstes oder -Jobs vorzeitig beendet wird, wird er nicht neu gestartet. Die Instanz sendet keine Telemetrieinformationen mehr an Cloud Run Threat Detection. Cloud Run Threat Detection-Logs sind in den Instanz-Logs nicht vorhanden. Es gibt keinen Hinweis darauf, dass ein Watcher-Prozess beendet wurde.
Detektoren
In diesem Abschnitt werden die verfügbaren Laufzeit- und Steuerungsebenendetektoren aufgeführt. Wir fügen regelmäßig neue Detektoren hinzu, wenn neue Cloud-Bedrohungen auftreten.
Laufzeitdetektoren
Cloud Run Threat Detection umfasst die folgenden Laufzeitdetektoren:
| Anzeigename | API-Name | Beschreibung |
|---|---|---|
| Command-and-Control-Aktivitäten: Steganographie-Tool erkannt | CLOUD_RUN_STEGANOGRAPHY_TOOL_DETECTED |
Es wurde ein Programm ausgeführt, das als Steganografietool identifiziert wurde, das häufig in Unix-ähnlichen Umgebungen zu finden ist. Dies deutet auf einen möglichen Versuch hin, die Kommunikation oder den Datentransfer zu verschleiern. Angreifer können steganografische Techniken nutzen, um schädliche C2-Anweisungen (Command-and-Control) oder exfiltrierte Daten in scheinbar harmlosen digitalen Dateien einzubetten, um die standardmäßige Sicherheitsüberwachung und ‑erkennung zu umgehen. Die Verwendung solcher Tools ist entscheidend, um verborgene schädliche Aktivitäten aufzudecken. |
| Zugriff auf Anmeldedaten: Suche Google Cloud Anmeldedaten | CLOUD_RUN_FIND_GCP_CREDENTIALS |
Es wurde ein Befehl ausgeführt, um im Container nach Google Cloud privaten Schlüsseln, Passwörtern oder anderen vertraulichen Anmeldedaten zu suchen. Ein Angreifer könnte gestohlene Google Cloud Anmeldedaten verwenden, um sich unrechtmäßigen Zugriff auf vertrauliche Daten oder Ressourcen in der Zielumgebung Google Cloud zu verschaffen. |
| Zugriff auf Anmeldedaten: Ausspähung von GPG-Schlüsseln | CLOUD_RUN_GPG_KEY_RECONNAISSANCE |
Es wurde ein Befehl ausgeführt, um nach GPG-Sicherheitsschlüsseln zu suchen. Ein Angreifer könnte gestohlene GPG-Sicherheitsschlüssel verwenden, um sich unbefugten Zugriff auf verschlüsselte Kommunikation oder Dateien zu verschaffen. |
| Zugriff auf Anmeldedaten: Suche nach privaten Schlüsseln oder Passwörtern | CLOUD_RUN_SEARCH_PRIVATE_KEYS_OR_PASSWORDS |
Es wurde ein Befehl ausgeführt, um im Container nach privaten Schlüsseln, Passwörtern oder anderen vertraulichen Anmeldedaten zu suchen. Dies deutet auf einen möglichen Versuch hin, Authentifizierungsdaten zu sammeln. Angreifer suchen häufig nach Anmeldedatendateien, um unbefugten Zugriff auf Systeme zu erhalten, Berechtigungen zu eskalieren oder sich lateral in der Umgebung zu bewegen. Die Erkennung solcher Aktivitäten ist entscheidend, um Sicherheitsverstöße zu verhindern. |
| Defense Evasion: Base64 ELF File Command Line | CLOUD_RUN_BASE64_ELF_FILE_CMDLINE |
Es wurde ein Prozess ausgeführt, der ein Argument enthält, das eine ELF-Datei (Executable and Linkable Format) ist. Wenn die Ausführung einer codierten ELF-Datei erkannt wird, ist das ein Signal dafür, dass ein Angreifer versucht, Binärprogrammdaten für die Übertragung an reine ASCII-Befehlszeilen zu codieren. Angreifer könnten mit dieser Technik die Erkennung umgehen und schädlichen Code ausführen, der in eine ELF-Datei eingebettet ist. |
| Defense Evasion: Base64 Encoded Python Script Executed | CLOUD_RUN_BASE64_ENCODED_PYTHON_SCRIPT_EXECUTED |
Es wurde ein Prozess ausgeführt, der ein Argument enthält, das ein base64-codiertes Python-Script ist. Wenn die Ausführung eines codierten Python-Skripts erkannt wird, ist das ein Signal dafür, dass ein Angreifer versucht, Binärprogrammdaten für die Übertragung an reine ASCII-Befehlszeilen zu codieren. Angreifer könnten mit dieser Technik die Erkennung umgehen und schädlichen Code ausführen, der in ein Python-Script eingebettet ist. |
| Defense Evasion: Base64 Encoded Shell Script Executed | CLOUD_RUN_BASE64_ENCODED_SHELL_SCRIPT_EXECUTED |
Es wurde ein Prozess ausgeführt, der ein Argument enthält, das ein base64-codiertes Shell-Script ist. Wenn die Ausführung eines codierten Shell-Skripts erkannt wird, ist das ein Signal dafür, dass ein Angreifer versucht, Binärprogrammdaten für die Übertragung an reine ASCII-Befehlszeilen zu codieren. Angreifer könnten mit dieser Technik die Erkennung umgehen und schädlichen Code ausführen, der in ein Shell-Script eingebettet ist. |
| Defense Evasion: Compiler-Tool für Code im Container gestartet | CLOUD_RUN_LAUNCH_CODE_COMPILER_TOOL_IN_CONTAINER |
Es wurde ein Prozess zum Starten eines Code-Compiler-Tools in der Containerumgebung initiiert. Dies deutet auf einen potenziellen Versuch hin, ausführbaren Code in einem isolierten Kontext zu erstellen oder zu ändern. Angreifer können Code-Compiler in Containern verwenden, um schädliche Nutzlasten zu entwickeln, Code in vorhandene Binärdateien einzufügen oder Tools zu erstellen, um Sicherheitskontrollen zu umgehen. Dabei agieren sie in einer weniger genau überwachten Umgebung, um die Erkennung auf dem Hostsystem zu umgehen. |
| Ausführung: hinzugefügtes schädliches Binärprogramm ausgeführt | CLOUD_RUN_ADDED_MALICIOUS_BINARY_EXECUTED |
Eine Binärdatei, die die folgenden Bedingungen erfüllt, wurde ausgeführt:
Wenn eine hinzugefügte schädliche Binärdatei ausgeführt wird, ist dies ein starkes Zeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt. |
| Ausführung: hinzugefügte schädliche Bibliothek geladen | CLOUD_RUN_ADDED_MALICIOUS_LIBRARY_LOADED |
Es wurde eine Bibliothek geladen, die die folgenden Bedingungen erfüllt:
Wenn eine hinzugefügte schädliche Bibliothek geladen wird, ist dies ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt. |
| Ausführung: Integriertes schädliches Binärprogramm ausgeführt | CLOUD_RUN_BUILT_IN_MALICIOUS_BINARY_EXECUTED |
Eine Binärdatei, die die folgenden Bedingungen erfüllt, wurde ausgeführt:
Wenn eine integrierte schädliche Binärdatei ausgeführt wird, ist dies ein Zeichen dafür, dass der Angreifer schädliche Container bereitstellt. Sie haben möglicherweise die Kontrolle über ein legitimes Image-Repository oder eine Container-Build-Pipeline erlangt und ein schädliches Binärprogramm in das Container-Image eingefügt. |
| Ausführung: Container-Escape | CLOUD_RUN_CONTAINER_ESCAPE |
Im Container wurde ein Prozess ausgeführt, der versucht hat, die Isolation des Containers mithilfe bekannter Escape-Techniken oder Binärdateien zu durchbrechen. Diese Art von Angriff kann dem Angreifer Zugriff auf das Hostsystem verschaffen. Diese Prozesse werden anhand von Informationen als potenzielle Bedrohungen identifiziert. Wenn ein Container-Escape-Versuch erkannt wird, deutet dies möglicherweise darauf hin, dass ein Angreifer Sicherheitslücken ausnutzt, um aus dem Container auszubrechen. Dadurch kann der Angreifer unbefugten Zugriff auf das Hostsystem oder die gesamte Infrastruktur erhalten und die gesamte Umgebung gefährden. |
| Ausführung: Dateilose Ausführung in /memfd: | CLOUD_RUN_FILELESS_EXECUTION_DETECTION_MEMFD |
Ein Prozess wurde mit einem speicherinternen Dateideskriptor ausgeführt. Wenn ein Prozess über eine Datei im Arbeitsspeicher gestartet wird, deutet dies möglicherweise darauf hin, dass ein Angreifer versucht, andere Erkennungsmethoden zu umgehen, um schädlichen Code auszuführen. |
| Execution: Kubernetes Attack Tool Execution | CLOUD_RUN_KUBERNETES_ATTACK_TOOL_EXECUTION |
Ein Kubernetes-spezifisches Angriffstool wurde in der Umgebung ausgeführt. Dies kann darauf hindeuten, dass ein Angreifer auf Kubernetes-Clusterkomponenten abzielt. Diese Angriffstools werden anhand von Informationen als potenzielle Bedrohungen identifiziert. Wenn ein Angriffstool in der Kubernetes-Umgebung ausgeführt wird, kann dies darauf hindeuten, dass ein Angreifer Zugriff auf den Cluster erhalten hat und das Tool verwendet, um Kubernetes-spezifische Sicherheitslücken oder Konfigurationen auszunutzen. |
| Ausführung: Ausführung eines lokalen Ausspähtools | CLOUD_RUN_LOCAL_RECONNAISSANCE_TOOL_EXECUTION |
Ein lokales Aufklärungstool, das normalerweise nicht mit dem Container oder der Umgebung verknüpft ist, wurde ausgeführt. Dies deutet auf einen Versuch hin, interne Systeminformationen zu sammeln. Diese Aufklärungstools werden anhand von Informationen als potenzielle Bedrohungen identifiziert. Wenn ein Aufklärungstool ausgeführt wird, deutet dies darauf hin, dass der Angreifer möglicherweise versucht, die Infrastruktur zu kartieren, Schwachstellen zu identifizieren oder Daten zu Systemkonfigurationen zu sammeln, um seine nächsten Schritte zu planen. |
| Ausführung: Schädlicher Python-Code ausgeführt | CLOUD_RUN_MALICIOUS_PYTHON_EXECUTED |
Ein ML-Modell (maschinelles Lernen) hat den angegebenen Python-Code als schädlich identifiziert. Angreifer können Python verwenden, um Tools oder andere Dateien von einem externen System in eine manipulierte Umgebung zu übertragen und Befehle ohne Binärdateien auszuführen. Der Detektor verwendet NLP-Techniken, um den Inhalt von ausgeführtem Python-Code zu bewerten. Da dieser Ansatz nicht auf Signaturen basiert, können Detektoren bekannten und neuen Python-Code identifizieren. |
| Ausführung: Geändertes schädliches Binärprogramm ausgeführt | CLOUD_RUN_MODIFIED_MALICIOUS_BINARY_EXECUTED |
Eine Binärdatei, die die folgenden Bedingungen erfüllt, wurde ausgeführt:
Wenn eine modifizierte schädliche Binärdatei ausgeführt wird, ist dies ein starkes Zeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und Schadsoftware ausführt. |
| Ausführung: Geänderte schädliche Bibliothek geladen | CLOUD_RUN_MODIFIED_MALICIOUS_LIBRARY_LOADED |
Es wurde eine Bibliothek geladen, die die folgenden Bedingungen erfüllt:
Wenn eine modifizierte schädliche Bibliothek geladen wird, ist dies ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt. |
| Ausführung: Netcat-Remote-Codeausführung im Container | CLOUD_RUN_NETCAT_REMOTE_CODE_EXECUTION_IN_CONTAINER |
Netcat, ein vielseitiges Netzwerkdienstprogramm, wurde in der Containerumgebung ausgeführt. Dies deutet möglicherweise auf einen Versuch hin, unbefugten Remotezugriff einzurichten oder Daten zu exfiltrieren. Die Verwendung von Netcat in einer containerisierten Umgebung kann darauf hindeuten, dass ein Angreifer versucht, eine Reverse Shell zu erstellen, die laterale Bewegung zu ermöglichen oder beliebige Befehle auszuführen, was die Systemintegrität gefährden könnte. |
| Ausführung: Mögliche Ausführung beliebiger Befehle über CUPS (CVE-2024-47177) | CLOUD_RUN_POSSIBLE_ARBITRARY_COMMAND_EXECUTION_THROUGH_CUPS |
Mit dieser Regel wird erkannt, wenn der Prozess |
| Ausführung: Mögliche Remote-Befehlsausführung erkannt | CLOUD_RUN_POSSIBLE_REMOTE_COMMAND_EXECUTION_DETECTED |
Es wurde ein Prozess erkannt, der über eine Netzwerk-Socket-Verbindung allgemeine UNIX-Befehle ausführt. Dies deutet auf einen möglichen Versuch hin, unbefugte Remote-Befehlsausführungsfunktionen einzurichten. Angreifer nutzen häufig Techniken, die Reverse Shells ähneln, um interaktive Kontrolle über ein gehacktes System zu erlangen. So können sie beliebige Befehle aus der Ferne ausführen und standardmäßige Netzwerksicherheitsmaßnahmen wie Firewallbeschränkungen umgehen. Die Erkennung der Befehlsausführung über einen Socket ist ein starker Hinweis auf böswilligen Remotezugriff. |
| Ausführung: Programmausführung mit nicht zulässiger HTTP-Proxy-Umgebung | CLOUD_RUN_PROGRAM_RUN_WITH_DISALLOWED_HTTP_PROXY_ENV |
Ein Programm wurde mit einer nicht zulässigen HTTP-Proxy-Umgebungsvariable ausgeführt. Dies kann auf einen Versuch hindeuten, Sicherheitskontrollen zu umgehen, Traffic für schädliche Zwecke umzuleiten oder Daten über nicht autorisierte Kanäle zu exfiltrieren. Angreifer können nicht zulässige HTTP-Proxys konfigurieren, um vertrauliche Informationen abzufangen, Traffic über bösartige Server weiterzuleiten oder verdeckte Kommunikationskanäle einzurichten. Die Erkennung der Ausführung von Programmen mit diesen Umgebungsvariablen ist entscheidend für die Aufrechterhaltung der Netzwerksicherheit und die Verhinderung von Datenpannen. |
| Ausführung: Socat-Reverse-Shell erkannt | CLOUD_RUN_SOCAT_REVERSE_SHELL_DETECTED |
Der Befehl
Diese Regel erkennt die Ausführung von |
| Ausführung: Verdächtiges freigegebenes OpenSSL-Objekt geladen | CLOUD_RUN_SUSPICIOUS_OPENSSL_SHARED_OBJECT_LOADED |
OpenSSL wurde ausgeführt, um ein benutzerdefiniertes freigegebenes Objekt zu laden. Angreifer können benutzerdefinierte Bibliotheken laden und vorhandene Bibliotheken ersetzen, die von OpenSSL verwendet werden, um schädlichen Code auszuführen. Die Verwendung in der Produktion ist ungewöhnlich und sollte sofort untersucht werden. |
| Exfiltration: Remote-Tools zum Kopieren von Dateien im Container gestartet | CLOUD_RUN_LAUNCH_REMOTE_FILE_COPY_TOOLS_IN_CONTAINER |
Im Container wurde die Ausführung eines Tools zum Kopieren von Remotedateien erkannt. Dies deutet auf potenziellen Datenabfluss, Lateral Movement oder die Bereitstellung schädlicher Nutzlasten hin. Angreifer verwenden diese Tools häufig, um vertrauliche Daten aus dem Container zu übertragen, sich lateral im Netzwerk zu bewegen, um andere Systeme zu manipulieren, oder Malware für weitere schädliche Aktivitäten einzuschleusen. Die Erkennung der Verwendung von Tools zum Kopieren von Dateien per Fernzugriff ist entscheidend, um Datenpannen, unbefugten Zugriff und weitere Gefährdungen des Containers und möglicherweise des Hostsystems zu verhindern. |
| Auswirkungen: Erkennung schädlicher Cmdline-Dateien | CLOUD_RUN_DETECT_MALICIOUS_CMDLINES |
Ein Befehl wurde mit Argumenten ausgeführt, die bekanntermaßen potenziell schädlich sind, z. B. Versuche, wichtige Systemdateien zu löschen oder passwortbezogene Konfigurationen zu ändern. Angreifer können schädliche Befehlszeilen ausgeben, um Systeminstabilität zu verursachen, die Wiederherstellung zu verhindern, indem sie wichtige Dateien löschen, oder unbefugten Zugriff zu erlangen, indem sie Nutzeranmeldedaten manipulieren. Das Erkennen dieser spezifischen Befehlsmuster ist entscheidend, um erhebliche Auswirkungen auf das System zu verhindern. |
| Auswirkungen: Bulk-Entfernung von Daten von Laufwerk | CLOUD_RUN_REMOVE_BULK_DATA_FROM_DISK |
Es wurde ein Prozess erkannt, der Massenlöschvorgänge für Daten ausführt. Dies könnte auf einen Versuch hindeuten, Beweise zu vernichten, Dienste zu stören oder einen Angriff zum Löschen von Daten in der Containerumgebung auszuführen. Angreifer entfernen möglicherweise große Datenmengen, um ihre Spuren zu verwischen, Abläufe zu sabotieren oder sich auf den Einsatz von Ransomware vorzubereiten. Das Erkennen solcher Aktivitäten hilft, potenzielle Bedrohungen zu identifizieren, bevor es zu kritischen Datenverlusten kommt. |
| Auswirkung: Verdächtige Cryptomining-Aktivität mit Stratum-Protokoll | CLOUD_RUN_SUSPICIOUS_CRYPTO_MINING_ACTIVITY_USING_STRATUM_PROTOCOL |
Es wurde ein Prozess erkannt, der über das Stratum-Protokoll kommuniziert. Dieses Protokoll wird häufig von Kryptowährungs-Mining-Software verwendet. Diese Aktivität deutet auf potenziell unautorisierte Mining-Vorgänge in der Containerumgebung hin. Angreifer setzen häufig Kryptowährungs-Miner ein, um Systemressourcen für finanzielle Vorteile zu nutzen. Dies führt zu einer schlechteren Leistung, höheren Betriebskosten und potenziellen Sicherheitsrisiken. Das Erkennen solcher Aktivitäten trägt dazu bei, Ressourcenmissbrauch und unbefugten Zugriff zu verhindern. |
| Schädliches Script ausgeführt | CLOUD_RUN_MALICIOUS_SCRIPT_EXECUTED |
Ein ML-Modell (maschinelles Lernen) hat den angegebenen Bash-Code als schädlich identifiziert. Angreifer können Bash verwenden, um Tools oder andere Dateien von einem externen System in eine manipulierte Umgebung zu übertragen und Befehle ohne Binärdateien auszuführen. Der Detektor verwendet NLP-Techniken, um den Inhalt von ausgeführtem Bash-Code zu bewerten. Da dieser Ansatz nicht auf Signaturen basiert, können Detektoren bekannten und neuen schädlichen Bash-Code identifizieren. |
| Schädliche URL beobachtet | CLOUD_RUN_MALICIOUS_URL_OBSERVED |
Cloud Run Threat Detection hat in der Argumentliste eines laufenden Prozesses eine schädliche URL erkannt. Der Detector gleicht URLs, die in der Argumentliste laufender Prozesse beobachtet werden, mit den Listen unsicherer Webressourcen ab, die vom Google-Dienst Safe Browsing verwaltet werden. Wenn eine URL fälschlicherweise als Phishing-Website oder Malware eingestuft wird, melden Sie sie unter Unvollständige Daten melden. |
| Rechteausweitung: Missbrauch von Sudo zur Rechteausweitung (CVE-2019-14287) | CLOUD_RUN_ABUSE_SUDO_FOR_PRIVILEGE_ESCALATION |
Diese Erkennung weist auf einen Versuch hin, die Sicherheitslücke CVE-2019-14287 auszunutzen, die eine Rechteausweitung durch Missbrauch des Befehls |
| Rechteausweitung: Dateilose Ausführung in /dev/shm | CLOUD_RUN_FILELESS_EXECUTION_DETECTION_SHM |
Ein Prozess wurde über einen Pfad in
Wenn ein Angreifer eine Datei aus |
| Rechteausweitung: Sicherheitslücke bei der lokalen Rechteausweitung in Polkit (CVE-2021-4034) | CLOUD_RUN_POLKIT_LOCAL_PRIVILEGE_ESCALATION_VULNERABILITY |
Ein Nutzer ohne Rootberechtigung hat
Mit dieser Regel wird ein Versuch erkannt, eine Sicherheitslücke zur Rechteausweitung (CVE-2021-4034) in |
| Rechteausweitung: Mögliche Rechteausweitung durch Sudo (CVE-2021-3156) | CLOUD_RUN_SUDO_POTENTIAL_PRIVILEGE_ESCALATION |
Ein Nutzer ohne Rootberechtigung hat
Erkennt einen Versuch, eine Sicherheitslücke auszunutzen, die |
| Reverse Shell | CLOUD_RUN_REVERSE_SHELL |
Ein Prozess, bei dem die Stream-Weiterleitung an einen Remote-Socket gestartet wurde. Der Detektor sucht nach Mit einer Reverse-Shell kann ein Angreifer von einer manipulierten Arbeitslast aus mit einer vom Angreifer kontrollierten Maschine kommunizieren. Der Angreifer kann dann die Arbeitslast ausführen und steuern, z. B. als Teil eines Botnets. |
| Unerwartete untergeordnete Shell | CLOUD_RUN_UNEXPECTED_CHILD_SHELL |
Ein Prozess, der normalerweise keine Shells aufruft, hat einen Shellprozess gestartet. Der Detektor überwacht alle Prozessausführungen. Wenn eine Shell aufgerufen wird, generiert der Detektor ein Ergebnis, wenn der übergeordnete Prozess normalerweise keine Shells aufruft. |
Detectors der Steuerungsebene
Die folgenden Detektoren für die Steuerungsebene sind über Event Threat Detection verfügbar. Diese Detektoren sind standardmäßig aktiviert. Sie verwalten diese Detektoren auf dieselbe Weise wie andere Event Threat Detection-Detektoren. Weitere Informationen finden Sie unter Event Threat Detection verwenden.
| Anzeigename | API-Name | Logquelltypen | Beschreibung |
|---|---|---|---|
| Auswirkungen: Cryptomining-Befehle | CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS |
Cloud-Audit-Logs: IAM System Event-Audit-Logs |
Während der Ausführung wurden einem Cloud Run-Job bestimmte Cryptomining-Befehle angehängt. Ergebnisse werden standardmäßig als Hoch eingestuft. |
| Ausführung: Docker-Image für Cryptomining | CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES |
Cloud-Audit-Logs: IAM System Event-Audit-Logs |
Bestimmte bekannte fehlerhafte Docker-Images wurden an einen neuen oder vorhandenen Cloud Run-Dienst oder -Job angehängt. Ergebnisse werden standardmäßig als Hoch eingestuft. |
| Rechteausweitung: Standarddienstkonto für Compute Engine SetIAMPolicy | CLOUD_RUN_SERVICES_SET_IAM_POLICY |
Cloud-Audit-Logs: Administratoraktivitätslogs |
Das Compute Engine-Standarddienstkonto wurde verwendet, um die IAM-Richtlinie für einen Cloud Run-Dienst festzulegen. Dies ist eine mögliche Aktion nach einem Exploit, wenn ein Compute Engine-Token von einem serverlosen Dienst kompromittiert wird. Ergebnisse werden standardmäßig als Niedrig eingestuft. |
Nächste Schritte
- Cloud Run Threat Detection verwenden
- Event Threat Detection verwenden
- Informationen zum Reagieren auf Cloud Run-Bedrohungsbefunde
- Weitere Informationen finden Sie im Index der Bedrohungsergebnisse.