Cloud Run Threat Detection – Übersicht

Die Cloud Run-Bedrohungserkennung ist ein integrierter Dienst von Security Command Center, der den Zustand unterstützter Cloud Run-Ressourcen kontinuierlich überwacht, um die gängigsten Laufzeitangriffe zu erkennen. Wenn die Cloud Run-Bedrohungserkennung einen Angriff erkennt, wird in Security Command Center nahezu in Echtzeit ein Ergebnis generiert.

Die Laufzeitdetektoren von Cloud Run Threat Detection überwachen Cloud Run-Ressourcen auf verdächtige Binärdateien und Bibliotheken und erkennen schädlichen Bash- und Python-Code mithilfe von Natural Language Processing (NLP).

Außerdem sind Control Plane-Detektoren über Event Threat Detection verfügbar. Diese Detektoren überwachen den Cloud Logging-Stream Ihrer Organisation oder Projekte, um potenzielle Angriffe auf die Steuerungsebene Ihrer Cloud Run-Ressourcen zu erkennen.

Unterstützte Ressourcen

Cloud Run Threat Detection überwacht die folgenden Ressourcen:

Unterstützte Ausführungsumgebungen

Die unterstützten Ausführungsumgebungen unterscheiden sich für Laufzeit- und Steuerungsebenendetektoren.

Unterstützte Ausführungsumgebungen für Laufzeitdetektoren

Die Laufzeit-Detectors von Cloud Run Threat Detection unterstützen nur Cloud Run-Ressourcen, die in der Ausführungsumgebung der zweiten Generation ausgeführt werden. Beachten Sie Folgendes, bevor Sie Cloud Run Threat Detection aktivieren:

  • Wenn Sie die Cloud Run-Bedrohungserkennung aktivieren, können Sie keinen Cloud Run-Dienst oder keine Dienstüberarbeitung erstellen, die in der Ausführungsumgebung der ersten Generation ausgeführt wird. Der Cloud Run-Dienst muss die Ausführungsumgebung der zweiten Generation verwenden. Wir empfehlen Ihnen, Ihre Arbeitslasten in der Ausführungsumgebung der zweiten Generation zu testen, bevor Sie die Cloud Run-Bedrohungserkennung aktivieren.

  • Wenn Sie die Laufzeit-Bedrohungserkennung für einen Dienst aktivieren möchten, stellen Sie eine Überarbeitung bereit, in der die Ausführungsumgebung des Dienstes entweder auf die Ausführungsumgebung der zweiten Generation oder auf die Standardausführungsumgebung festgelegt wird.

Unterstützte Ausführungsumgebungen für Detektoren der Steuerungsebene

Die Detectors für die Steuerungsebene unterstützen sowohl Ausführungsumgebungen der ersten als auch der zweiten Generation.

Funktionsweise der Laufzeit-Bedrohungserkennung von Cloud Run Threat Detection

Wenn Sie die Cloud Run-Bedrohungserkennung aktivieren, werden Telemetriedaten von den unterstützten Cloud Run-Ressourcen erfasst, um Prozesse, Skripts und Bibliotheken zu analysieren, die auf einen Laufzeitangriff hindeuten könnten. Wenn Ereignisse erkannt werden, sieht der Ausführungspfad so aus:

  1. Bei der Cloud Run-Bedrohungserkennung wird ein Watcher-Prozess verwendet, um Container- und Ereignisinformationen für die gesamte Dauer einer Cloud Run-Arbeitslast zu erfassen.
  2. Cloud Run Threat Detection analysiert die erfassten Ereignisinformationen, um festzustellen, ob ein Ereignis auf einen Vorfall hindeutet. Dabei wird NLP verwendet, um Bash- und Python-Skripts auf schädlichen Code zu analysieren.

    • Wenn Cloud Run Threat Detection einen Vorfall identifiziert, wird er als Ergebnis in Security Command Center gemeldet.

    • Wenn Cloud Run Threat Detection keinen Vorfall identifiziert, werden keine Informationen gespeichert.

    • Alle erhobenen Daten sind sitzungsspezifisch und werden nicht dauerhaft gespeichert.

Informationen zum Prüfen von Cloud Run Threat Detection-Ergebnissen in derGoogle Cloud Console finden Sie unter Ergebnisse prüfen.

Bekannte Probleme

  • Wenn der Watcher-Prozess in einer laufenden Instanz Ihres Cloud Run-Dienstes oder -Jobs vorzeitig beendet wird, wird er nicht neu gestartet. Die Instanz sendet keine Telemetrieinformationen mehr an Cloud Run Threat Detection. Cloud Run Threat Detection-Logs sind in den Instanz-Logs nicht vorhanden. Es gibt keinen Hinweis darauf, dass ein Watcher-Prozess beendet wurde.

Detektoren

In diesem Abschnitt werden die verfügbaren Laufzeit- und Steuerungsebenendetektoren aufgeführt. Wir fügen regelmäßig neue Detektoren hinzu, wenn neue Cloud-Bedrohungen auftreten.

Laufzeitdetektoren

Cloud Run Threat Detection umfasst die folgenden Laufzeitdetektoren:

Anzeigename API-Name Beschreibung
Command-and-Control-Aktivitäten: Steganographie-Tool erkannt CLOUD_RUN_STEGANOGRAPHY_TOOL_DETECTED

Es wurde ein Programm ausgeführt, das als Steganografietool identifiziert wurde, das häufig in Unix-ähnlichen Umgebungen zu finden ist. Dies deutet auf einen möglichen Versuch hin, die Kommunikation oder den Datentransfer zu verschleiern.

Angreifer können steganografische Techniken nutzen, um schädliche C2-Anweisungen (Command-and-Control) oder exfiltrierte Daten in scheinbar harmlosen digitalen Dateien einzubetten, um die standardmäßige Sicherheitsüberwachung und ‑erkennung zu umgehen. Die Verwendung solcher Tools ist entscheidend, um verborgene schädliche Aktivitäten aufzudecken.

Zugriff auf Anmeldedaten: Suche Google Cloud Anmeldedaten CLOUD_RUN_FIND_GCP_CREDENTIALS

Es wurde ein Befehl ausgeführt, um im Container nach Google Cloud privaten Schlüsseln, Passwörtern oder anderen vertraulichen Anmeldedaten zu suchen.

Ein Angreifer könnte gestohlene Google Cloud Anmeldedaten verwenden, um sich unrechtmäßigen Zugriff auf vertrauliche Daten oder Ressourcen in der Zielumgebung Google Cloud zu verschaffen.

Zugriff auf Anmeldedaten: Ausspähung von GPG-Schlüsseln CLOUD_RUN_GPG_KEY_RECONNAISSANCE

Es wurde ein Befehl ausgeführt, um nach GPG-Sicherheitsschlüsseln zu suchen.

Ein Angreifer könnte gestohlene GPG-Sicherheitsschlüssel verwenden, um sich unbefugten Zugriff auf verschlüsselte Kommunikation oder Dateien zu verschaffen.

Zugriff auf Anmeldedaten: Suche nach privaten Schlüsseln oder Passwörtern CLOUD_RUN_SEARCH_PRIVATE_KEYS_OR_PASSWORDS

Es wurde ein Befehl ausgeführt, um im Container nach privaten Schlüsseln, Passwörtern oder anderen vertraulichen Anmeldedaten zu suchen. Dies deutet auf einen möglichen Versuch hin, Authentifizierungsdaten zu sammeln.

Angreifer suchen häufig nach Anmeldedatendateien, um unbefugten Zugriff auf Systeme zu erhalten, Berechtigungen zu eskalieren oder sich lateral in der Umgebung zu bewegen. Die Erkennung solcher Aktivitäten ist entscheidend, um Sicherheitsverstöße zu verhindern.

Defense Evasion: Base64 ELF File Command Line CLOUD_RUN_BASE64_ELF_FILE_CMDLINE

Es wurde ein Prozess ausgeführt, der ein Argument enthält, das eine ELF-Datei (Executable and Linkable Format) ist.

Wenn die Ausführung einer codierten ELF-Datei erkannt wird, ist das ein Signal dafür, dass ein Angreifer versucht, Binärprogrammdaten für die Übertragung an reine ASCII-Befehlszeilen zu codieren. Angreifer könnten mit dieser Technik die Erkennung umgehen und schädlichen Code ausführen, der in eine ELF-Datei eingebettet ist.

Defense Evasion: Base64 Encoded Python Script Executed CLOUD_RUN_BASE64_ENCODED_PYTHON_SCRIPT_EXECUTED

Es wurde ein Prozess ausgeführt, der ein Argument enthält, das ein base64-codiertes Python-Script ist.

Wenn die Ausführung eines codierten Python-Skripts erkannt wird, ist das ein Signal dafür, dass ein Angreifer versucht, Binärprogrammdaten für die Übertragung an reine ASCII-Befehlszeilen zu codieren. Angreifer könnten mit dieser Technik die Erkennung umgehen und schädlichen Code ausführen, der in ein Python-Script eingebettet ist.

Defense Evasion: Base64 Encoded Shell Script Executed CLOUD_RUN_BASE64_ENCODED_SHELL_SCRIPT_EXECUTED

Es wurde ein Prozess ausgeführt, der ein Argument enthält, das ein base64-codiertes Shell-Script ist.

Wenn die Ausführung eines codierten Shell-Skripts erkannt wird, ist das ein Signal dafür, dass ein Angreifer versucht, Binärprogrammdaten für die Übertragung an reine ASCII-Befehlszeilen zu codieren. Angreifer könnten mit dieser Technik die Erkennung umgehen und schädlichen Code ausführen, der in ein Shell-Script eingebettet ist.

Defense Evasion: Compiler-Tool für Code im Container gestartet CLOUD_RUN_LAUNCH_CODE_COMPILER_TOOL_IN_CONTAINER

Es wurde ein Prozess zum Starten eines Code-Compiler-Tools in der Containerumgebung initiiert. Dies deutet auf einen potenziellen Versuch hin, ausführbaren Code in einem isolierten Kontext zu erstellen oder zu ändern.

Angreifer können Code-Compiler in Containern verwenden, um schädliche Nutzlasten zu entwickeln, Code in vorhandene Binärdateien einzufügen oder Tools zu erstellen, um Sicherheitskontrollen zu umgehen. Dabei agieren sie in einer weniger genau überwachten Umgebung, um die Erkennung auf dem Hostsystem zu umgehen.

Ausführung: hinzugefügtes schädliches Binärprogramm ausgeführt CLOUD_RUN_ADDED_MALICIOUS_BINARY_EXECUTED

Eine Binärdatei, die die folgenden Bedingungen erfüllt, wurde ausgeführt:

  • Auf Grundlage von Threat Intelligence als schädlich eingestuft
  • Nicht Teil des ursprünglichen Container-Image

Wenn eine hinzugefügte schädliche Binärdatei ausgeführt wird, ist dies ein starkes Zeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt.

Ausführung: hinzugefügte schädliche Bibliothek geladen CLOUD_RUN_ADDED_MALICIOUS_LIBRARY_LOADED

Es wurde eine Bibliothek geladen, die die folgenden Bedingungen erfüllt:

  • Auf Grundlage von Threat Intelligence als schädlich eingestuft
  • Nicht Teil des ursprünglichen Container-Image

Wenn eine hinzugefügte schädliche Bibliothek geladen wird, ist dies ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt.

Ausführung: Integriertes schädliches Binärprogramm ausgeführt CLOUD_RUN_BUILT_IN_MALICIOUS_BINARY_EXECUTED

Eine Binärdatei, die die folgenden Bedingungen erfüllt, wurde ausgeführt:

  • Auf Grundlage von Threat Intelligence als schädlich eingestuft
  • Im ursprünglichen Container-Image enthalten

Wenn eine integrierte schädliche Binärdatei ausgeführt wird, ist dies ein Zeichen dafür, dass der Angreifer schädliche Container bereitstellt. Sie haben möglicherweise die Kontrolle über ein legitimes Image-Repository oder eine Container-Build-Pipeline erlangt und ein schädliches Binärprogramm in das Container-Image eingefügt.

Ausführung: Container-Escape CLOUD_RUN_CONTAINER_ESCAPE

Im Container wurde ein Prozess ausgeführt, der versucht hat, die Isolation des Containers mithilfe bekannter Escape-Techniken oder Binärdateien zu durchbrechen. Diese Art von Angriff kann dem Angreifer Zugriff auf das Hostsystem verschaffen. Diese Prozesse werden anhand von Informationen als potenzielle Bedrohungen identifiziert.

Wenn ein Container-Escape-Versuch erkannt wird, deutet dies möglicherweise darauf hin, dass ein Angreifer Sicherheitslücken ausnutzt, um aus dem Container auszubrechen. Dadurch kann der Angreifer unbefugten Zugriff auf das Hostsystem oder die gesamte Infrastruktur erhalten und die gesamte Umgebung gefährden.

Ausführung: Dateilose Ausführung in /memfd: CLOUD_RUN_FILELESS_EXECUTION_DETECTION_MEMFD

Ein Prozess wurde mit einem speicherinternen Dateideskriptor ausgeführt.

Wenn ein Prozess über eine Datei im Arbeitsspeicher gestartet wird, deutet dies möglicherweise darauf hin, dass ein Angreifer versucht, andere Erkennungsmethoden zu umgehen, um schädlichen Code auszuführen.

Execution: Kubernetes Attack Tool Execution CLOUD_RUN_KUBERNETES_ATTACK_TOOL_EXECUTION

Ein Kubernetes-spezifisches Angriffstool wurde in der Umgebung ausgeführt. Dies kann darauf hindeuten, dass ein Angreifer auf Kubernetes-Clusterkomponenten abzielt. Diese Angriffstools werden anhand von Informationen als potenzielle Bedrohungen identifiziert.

Wenn ein Angriffstool in der Kubernetes-Umgebung ausgeführt wird, kann dies darauf hindeuten, dass ein Angreifer Zugriff auf den Cluster erhalten hat und das Tool verwendet, um Kubernetes-spezifische Sicherheitslücken oder Konfigurationen auszunutzen.

Ausführung: Ausführung eines lokalen Ausspähtools CLOUD_RUN_LOCAL_RECONNAISSANCE_TOOL_EXECUTION

Ein lokales Aufklärungstool, das normalerweise nicht mit dem Container oder der Umgebung verknüpft ist, wurde ausgeführt. Dies deutet auf einen Versuch hin, interne Systeminformationen zu sammeln. Diese Aufklärungstools werden anhand von Informationen als potenzielle Bedrohungen identifiziert.

Wenn ein Aufklärungstool ausgeführt wird, deutet dies darauf hin, dass der Angreifer möglicherweise versucht, die Infrastruktur zu kartieren, Schwachstellen zu identifizieren oder Daten zu Systemkonfigurationen zu sammeln, um seine nächsten Schritte zu planen.

Ausführung: Schädlicher Python-Code ausgeführt CLOUD_RUN_MALICIOUS_PYTHON_EXECUTED

Ein ML-Modell (maschinelles Lernen) hat den angegebenen Python-Code als schädlich identifiziert. Angreifer können Python verwenden, um Tools oder andere Dateien von einem externen System in eine manipulierte Umgebung zu übertragen und Befehle ohne Binärdateien auszuführen.

Der Detektor verwendet NLP-Techniken, um den Inhalt von ausgeführtem Python-Code zu bewerten. Da dieser Ansatz nicht auf Signaturen basiert, können Detektoren bekannten und neuen Python-Code identifizieren.

Ausführung: Geändertes schädliches Binärprogramm ausgeführt CLOUD_RUN_MODIFIED_MALICIOUS_BINARY_EXECUTED

Eine Binärdatei, die die folgenden Bedingungen erfüllt, wurde ausgeführt:

  • Auf Grundlage von Threat Intelligence als schädlich eingestuft
  • Im ursprünglichen Container-Image enthalten
  • Während der Laufzeit aus dem ursprünglichen Container-Image geändert

Wenn eine modifizierte schädliche Binärdatei ausgeführt wird, ist dies ein starkes Zeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und Schadsoftware ausführt.

Ausführung: Geänderte schädliche Bibliothek geladen CLOUD_RUN_MODIFIED_MALICIOUS_LIBRARY_LOADED

Es wurde eine Bibliothek geladen, die die folgenden Bedingungen erfüllt:

  • Auf Grundlage von Threat Intelligence als schädlich eingestuft
  • Im ursprünglichen Container-Image enthalten
  • Während der Laufzeit aus dem ursprünglichen Container-Image geändert

Wenn eine modifizierte schädliche Bibliothek geladen wird, ist dies ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt.

Ausführung: Netcat-Remote-Codeausführung im Container CLOUD_RUN_NETCAT_REMOTE_CODE_EXECUTION_IN_CONTAINER

Netcat, ein vielseitiges Netzwerkdienstprogramm, wurde in der Containerumgebung ausgeführt. Dies deutet möglicherweise auf einen Versuch hin, unbefugten Remotezugriff einzurichten oder Daten zu exfiltrieren.

Die Verwendung von Netcat in einer containerisierten Umgebung kann darauf hindeuten, dass ein Angreifer versucht, eine Reverse Shell zu erstellen, die laterale Bewegung zu ermöglichen oder beliebige Befehle auszuführen, was die Systemintegrität gefährden könnte.

Ausführung: Mögliche Ausführung beliebiger Befehle über CUPS (CVE-2024-47177) CLOUD_RUN_POSSIBLE_ARBITRARY_COMMAND_EXECUTION_THROUGH_CUPS

Mit dieser Regel wird erkannt, wenn der Prozess foomatic-rip allgemeine Shell-Programme ausführt. Das kann darauf hindeuten, dass ein Angreifer CVE-2024-47177 ausgenutzt hat. Der foomatic-rip ist Teil von OpenPrinting CUPS, einem Open-Source-Druckdienst, der in vielen Linux-Distributionen enthalten ist. Bei den meisten Container-Images ist dieser Druckdienst deaktiviert oder entfernt. Wenn diese Erkennung vorhanden ist, prüfen Sie, ob es sich um ein beabsichtigtes Verhalten handelt, oder deaktivieren Sie den Dienst sofort.

Ausführung: Mögliche Remote-Befehlsausführung erkannt CLOUD_RUN_POSSIBLE_REMOTE_COMMAND_EXECUTION_DETECTED

Es wurde ein Prozess erkannt, der über eine Netzwerk-Socket-Verbindung allgemeine UNIX-Befehle ausführt. Dies deutet auf einen möglichen Versuch hin, unbefugte Remote-Befehlsausführungsfunktionen einzurichten.

Angreifer nutzen häufig Techniken, die Reverse Shells ähneln, um interaktive Kontrolle über ein gehacktes System zu erlangen. So können sie beliebige Befehle aus der Ferne ausführen und standardmäßige Netzwerksicherheitsmaßnahmen wie Firewallbeschränkungen umgehen. Die Erkennung der Befehlsausführung über einen Socket ist ein starker Hinweis auf böswilligen Remotezugriff.

Ausführung: Programmausführung mit nicht zulässiger HTTP-Proxy-Umgebung CLOUD_RUN_PROGRAM_RUN_WITH_DISALLOWED_HTTP_PROXY_ENV

Ein Programm wurde mit einer nicht zulässigen HTTP-Proxy-Umgebungsvariable ausgeführt. Dies kann auf einen Versuch hindeuten, Sicherheitskontrollen zu umgehen, Traffic für schädliche Zwecke umzuleiten oder Daten über nicht autorisierte Kanäle zu exfiltrieren.

Angreifer können nicht zulässige HTTP-Proxys konfigurieren, um vertrauliche Informationen abzufangen, Traffic über bösartige Server weiterzuleiten oder verdeckte Kommunikationskanäle einzurichten. Die Erkennung der Ausführung von Programmen mit diesen Umgebungsvariablen ist entscheidend für die Aufrechterhaltung der Netzwerksicherheit und die Verhinderung von Datenpannen.

Ausführung: Socat-Reverse-Shell erkannt CLOUD_RUN_SOCAT_REVERSE_SHELL_DETECTED

Der Befehl socat wurde verwendet, um eine Reverse Shell zu erstellen.

Diese Regel erkennt die Ausführung von socat, um eine Reverse-Shell zu erstellen, indem die Dateideskriptoren für stdin, stdout und stderr umgeleitet werden. Dies ist eine gängige Methode, die von Angreifern verwendet wird, um Remotezugriff auf ein gehacktes System zu erhalten.

Ausführung: Verdächtiges freigegebenes OpenSSL-Objekt geladen CLOUD_RUN_SUSPICIOUS_OPENSSL_SHARED_OBJECT_LOADED

OpenSSL wurde ausgeführt, um ein benutzerdefiniertes freigegebenes Objekt zu laden.

Angreifer können benutzerdefinierte Bibliotheken laden und vorhandene Bibliotheken ersetzen, die von OpenSSL verwendet werden, um schädlichen Code auszuführen. Die Verwendung in der Produktion ist ungewöhnlich und sollte sofort untersucht werden.

Exfiltration: Remote-Tools zum Kopieren von Dateien im Container gestartet CLOUD_RUN_LAUNCH_REMOTE_FILE_COPY_TOOLS_IN_CONTAINER

Im Container wurde die Ausführung eines Tools zum Kopieren von Remotedateien erkannt. Dies deutet auf potenziellen Datenabfluss, Lateral Movement oder die Bereitstellung schädlicher Nutzlasten hin.

Angreifer verwenden diese Tools häufig, um vertrauliche Daten aus dem Container zu übertragen, sich lateral im Netzwerk zu bewegen, um andere Systeme zu manipulieren, oder Malware für weitere schädliche Aktivitäten einzuschleusen. Die Erkennung der Verwendung von Tools zum Kopieren von Dateien per Fernzugriff ist entscheidend, um Datenpannen, unbefugten Zugriff und weitere Gefährdungen des Containers und möglicherweise des Hostsystems zu verhindern.

Auswirkungen: Erkennung schädlicher Cmdline-Dateien CLOUD_RUN_DETECT_MALICIOUS_CMDLINES

Ein Befehl wurde mit Argumenten ausgeführt, die bekanntermaßen potenziell schädlich sind, z. B. Versuche, wichtige Systemdateien zu löschen oder passwortbezogene Konfigurationen zu ändern.

Angreifer können schädliche Befehlszeilen ausgeben, um Systeminstabilität zu verursachen, die Wiederherstellung zu verhindern, indem sie wichtige Dateien löschen, oder unbefugten Zugriff zu erlangen, indem sie Nutzeranmeldedaten manipulieren. Das Erkennen dieser spezifischen Befehlsmuster ist entscheidend, um erhebliche Auswirkungen auf das System zu verhindern.

Auswirkungen: Bulk-Entfernung von Daten von Laufwerk CLOUD_RUN_REMOVE_BULK_DATA_FROM_DISK

Es wurde ein Prozess erkannt, der Massenlöschvorgänge für Daten ausführt. Dies könnte auf einen Versuch hindeuten, Beweise zu vernichten, Dienste zu stören oder einen Angriff zum Löschen von Daten in der Containerumgebung auszuführen.

Angreifer entfernen möglicherweise große Datenmengen, um ihre Spuren zu verwischen, Abläufe zu sabotieren oder sich auf den Einsatz von Ransomware vorzubereiten. Das Erkennen solcher Aktivitäten hilft, potenzielle Bedrohungen zu identifizieren, bevor es zu kritischen Datenverlusten kommt.

Auswirkung: Verdächtige Cryptomining-Aktivität mit Stratum-Protokoll CLOUD_RUN_SUSPICIOUS_CRYPTO_MINING_ACTIVITY_USING_STRATUM_PROTOCOL

Es wurde ein Prozess erkannt, der über das Stratum-Protokoll kommuniziert. Dieses Protokoll wird häufig von Kryptowährungs-Mining-Software verwendet. Diese Aktivität deutet auf potenziell unautorisierte Mining-Vorgänge in der Containerumgebung hin.

Angreifer setzen häufig Kryptowährungs-Miner ein, um Systemressourcen für finanzielle Vorteile zu nutzen. Dies führt zu einer schlechteren Leistung, höheren Betriebskosten und potenziellen Sicherheitsrisiken. Das Erkennen solcher Aktivitäten trägt dazu bei, Ressourcenmissbrauch und unbefugten Zugriff zu verhindern.

Schädliches Script ausgeführt CLOUD_RUN_MALICIOUS_SCRIPT_EXECUTED

Ein ML-Modell (maschinelles Lernen) hat den angegebenen Bash-Code als schädlich identifiziert. Angreifer können Bash verwenden, um Tools oder andere Dateien von einem externen System in eine manipulierte Umgebung zu übertragen und Befehle ohne Binärdateien auszuführen.

Der Detektor verwendet NLP-Techniken, um den Inhalt von ausgeführtem Bash-Code zu bewerten. Da dieser Ansatz nicht auf Signaturen basiert, können Detektoren bekannten und neuen schädlichen Bash-Code identifizieren.

Schädliche URL beobachtet CLOUD_RUN_MALICIOUS_URL_OBSERVED

Cloud Run Threat Detection hat in der Argumentliste eines laufenden Prozesses eine schädliche URL erkannt.

Der Detector gleicht URLs, die in der Argumentliste laufender Prozesse beobachtet werden, mit den Listen unsicherer Webressourcen ab, die vom Google-Dienst Safe Browsing verwaltet werden. Wenn eine URL fälschlicherweise als Phishing-Website oder Malware eingestuft wird, melden Sie sie unter Unvollständige Daten melden.

Rechteausweitung: Missbrauch von Sudo zur Rechteausweitung (CVE-2019-14287) CLOUD_RUN_ABUSE_SUDO_FOR_PRIVILEGE_ESCALATION

sudo wurde mit Argumenten ausgeführt, mit denen versucht wird, Berechtigungen auszuweiten.

Diese Erkennung weist auf einen Versuch hin, die Sicherheitslücke CVE-2019-14287 auszunutzen, die eine Rechteausweitung durch Missbrauch des Befehls sudo ermöglicht. In sudo-Versionen vor v1.8.28 gab es eine Sicherheitslücke, die es einem Nutzer ohne Rootberechtigung ermöglichte, seine Berechtigungen auf die eines Rootnutzers auszuweiten.

Rechteausweitung: Dateilose Ausführung in /dev/shm CLOUD_RUN_FILELESS_EXECUTION_DETECTION_SHM

Ein Prozess wurde über einen Pfad in /dev/shm ausgeführt.

Wenn ein Angreifer eine Datei aus /dev/shm ausführt, kann er schädlichen Code aus diesem Verzeichnis ausführen, um die Erkennung durch Sicherheitstools zu umgehen. So kann er Angriffe zur Rechteausweitung oder Prozessinjektion durchführen.

Rechteausweitung: Sicherheitslücke bei der lokalen Rechteausweitung in Polkit (CVE-2021-4034) CLOUD_RUN_POLKIT_LOCAL_PRIVILEGE_ESCALATION_VULNERABILITY

Ein Nutzer ohne Rootberechtigung hat pkexec mit Umgebungsvariablen ausgeführt, die versuchen, Berechtigungen zu erweitern.

Mit dieser Regel wird ein Versuch erkannt, eine Sicherheitslücke zur Rechteausweitung (CVE-2021-4034) in pkexec von Polkit auszunutzen. Durch Ausführen von speziell entwickeltem Code kann ein Nutzer ohne Rootberechtigung diese Sicherheitslücke nutzen, um Rootberechtigungen auf einem kompromittierten System zu erhalten.

Rechteausweitung: Mögliche Rechteausweitung durch Sudo (CVE-2021-3156) CLOUD_RUN_SUDO_POTENTIAL_PRIVILEGE_ESCALATION

Ein Nutzer ohne Rootberechtigung hat sudo oder sudoedit mit einer Reihe von Argumenten ausgeführt, mit denen versucht wird, Berechtigungen auszuweiten.

Erkennt einen Versuch, eine Sicherheitslücke auszunutzen, die sudo-Versionen 1.9.5p2 und früher betrifft. Die Ausführung von sudo oder sudoedit mit bestimmten Argumenten, einschließlich eines Arguments, das mit einem einzelnen Backslash endet, als nicht privilegierter Nutzer kann die Berechtigungen des Nutzers auf die eines Root-Nutzers erhöhen.

Reverse Shell CLOUD_RUN_REVERSE_SHELL

Ein Prozess, bei dem die Stream-Weiterleitung an einen Remote-Socket gestartet wurde. Der Detektor sucht nach stdin, gebunden an einen Remote-Socket.

Mit einer Reverse-Shell kann ein Angreifer von einer manipulierten Arbeitslast aus mit einer vom Angreifer kontrollierten Maschine kommunizieren. Der Angreifer kann dann die Arbeitslast ausführen und steuern, z. B. als Teil eines Botnets.

Unerwartete untergeordnete Shell CLOUD_RUN_UNEXPECTED_CHILD_SHELL

Ein Prozess, der normalerweise keine Shells aufruft, hat einen Shellprozess gestartet.

Der Detektor überwacht alle Prozessausführungen. Wenn eine Shell aufgerufen wird, generiert der Detektor ein Ergebnis, wenn der übergeordnete Prozess normalerweise keine Shells aufruft.

Detectors der Steuerungsebene

Die folgenden Detektoren für die Steuerungsebene sind über Event Threat Detection verfügbar. Diese Detektoren sind standardmäßig aktiviert. Sie verwalten diese Detektoren auf dieselbe Weise wie andere Event Threat Detection-Detektoren. Weitere Informationen finden Sie unter Event Threat Detection verwenden.

Anzeigename API-Name Logquelltypen Beschreibung
Auswirkungen: Cryptomining-Befehle CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS Cloud-Audit-Logs:
IAM System Event-Audit-Logs
Während der Ausführung wurden einem Cloud Run-Job bestimmte Cryptomining-Befehle angehängt. Ergebnisse werden standardmäßig als Hoch eingestuft.
Ausführung: Docker-Image für Cryptomining CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES Cloud-Audit-Logs:
IAM System Event-Audit-Logs
Bestimmte bekannte fehlerhafte Docker-Images wurden an einen neuen oder vorhandenen Cloud Run-Dienst oder -Job angehängt. Ergebnisse werden standardmäßig als Hoch eingestuft.
Rechteausweitung: Standarddienstkonto für Compute Engine SetIAMPolicy CLOUD_RUN_SERVICES_SET_IAM_POLICY Cloud-Audit-Logs:
Administratoraktivitätslogs
Das Compute Engine-Standarddienstkonto wurde verwendet, um die IAM-Richtlinie für einen Cloud Run-Dienst festzulegen. Dies ist eine mögliche Aktion nach einem Exploit, wenn ein Compute Engine-Token von einem serverlosen Dienst kompromittiert wird. Ergebnisse werden standardmäßig als Niedrig eingestuft.
Informationen zu eingestellten und deaktivierten Regeln finden Sie unter Einstellung.

Nächste Schritte