Die Cloud Run-Bedrohungserkennung ist ein integrierter Dienst von Security Command Center, der den Status unterstützter Cloud Run-Ressourcen kontinuierlich überwacht, um die häufigsten Laufzeitangriffe zu erkennen. Wenn die Cloud Run-Bedrohungserkennung einen Angriff erkennt, wird nahezu in Echtzeit ein Ergebnis im Security Command Center generiert.
Die Laufzeitdetektoren der Cloud Run-Bedrohungserkennung überwachen Cloud Run-Ressourcen auf verdächtige Binärdateien und Bibliotheken und verwenden Natural Language Processing (NLP), um schädlichen Bash- und Python-Code zu erkennen.
Außerdem sind Detektoren für die Steuerungsebene über Event Threat Detection verfügbar. Diese Detektoren überwachen den Cloud Logging-Stream Ihrer Organisation oder Projekte, um potenzielle Angriffe auf die Steuerungsebene Ihrer Cloud Run-Ressourcen zu erkennen.
Unterstützte Ressourcen
Cloud Run Threat Detection überwacht die folgenden Ressourcen:
Unterstützte Ausführungsumgebungen
Die unterstützten Ausführungsumgebungen unterscheiden sich für Laufzeitdetektoren und Detektoren der Steuerungsebene.
Unterstützte Ausführungsumgebungen für Laufzeitdetektoren
Laufzeitdetektoren von Cloud Run Threat Detection unterstützen nur Cloud Run-Ressourcen, die in der Ausführungsumgebung der zweiten Generation ausgeführt werden. Beachten Sie Folgendes, bevor Sie Cloud Run Threat Detection aktivieren:
Wenn Sie die Cloud Run-Bedrohungserkennung aktivieren, können Sie keinen Cloud Run-Dienst oder keine Dienstversion erstellen, die in der Ausführungsumgebung der ersten Generation ausgeführt wird. Der Cloud Run-Dienst muss die Ausführungsumgebung der zweiten Generation verwenden. Wir empfehlen, Ihre Arbeitslasten in der Ausführungsumgebung der zweiten Generation zu testen, bevor Sie die Cloud Run-Bedrohungserkennung aktivieren.
Wenn Sie die Laufzeit-Bedrohungserkennung für einen Dienst aktivieren möchten, stellen Sie eine Überarbeitung bereit, die die Ausführungsumgebung des Dienstes entweder auf die zweite Generation oder die Standardausführungsumgebung festlegt.
Unterstützte Ausführungsumgebungen für Detektoren der Steuerungsebene
Die Detektoren der Steuerungsebene unterstützen sowohl Ausführungsumgebungen der ersten als auch der zweiten Generation.
Funktionsweise der Laufzeitbedrohungserkennung von Cloud Run Threat Detection
Wenn Sie Cloud Run Threat Detection aktivieren, werden Telemetriedaten von den unterstützten Cloud Run-Ressourcen erfasst, um Prozesse, Skripts und Bibliotheken zu analysieren, die auf einen Laufzeitangriff hindeuten könnten. Der Ausführungspfad bei erkannten Ereignissen sieht so aus:
- Die Cloud Run-Bedrohungserkennung verwendet einen Watcher-Prozess, um Container- und Ereignisinformationen für die gesamte Dauer einer Cloud Run-Arbeitslast zu erfassen.
Cloud Run Threat Detection analysiert die erfassten Ereignisinformationen, um festzustellen, ob ein Ereignis auf einen Vorfall hindeutet. Es verwendet NLP, um Bash- und Python-Skripts auf schädlichen Code zu analysieren.
Wenn Cloud Run Threat Detection einen Vorfall erkennt, wird er als Ergebnis in Security Command Center gemeldet.
Wenn Cloud Run Threat Detection keinen Vorfall erkennt, werden keine Informationen gespeichert.
Alle erhobenen Daten sind sitzungsspezifisch und werden nicht dauerhaft gespeichert.
Informationen zum Prüfen von Cloud Run Threat Detection-Ergebnissen in derGoogle Cloud Console finden Sie unter Ergebnisse prüfen.
Bekannte Probleme
- Wenn der Watcher-Prozess in einer laufenden Instanz Ihres Cloud Run-Dienstes, -Jobs oder -Worker-Pools vorzeitig beendet wird, wird er nicht neu gestartet. Die Instanz sendet keine Telemetriedaten mehr an Cloud Run Threat Detection. Cloud Run Threat Detection-Logs sind in den Instanzlogs nicht vorhanden. Es gibt keinen Hinweis darauf, dass ein Watcher-Prozess beendet wurde.
Detektoren
In diesem Abschnitt sind die verfügbaren Laufzeit- und Steuerungsebenendetektoren aufgeführt. Wir fügen regelmäßig neue Detektoren hinzu, wenn neue Cloud-Bedrohungen auftreten.
Laufzeitdetektoren
Cloud Run Threat Detection umfasst die folgenden Laufzeitdetektoren:
| Anzeigename | API-Name | Beschreibung |
|---|---|---|
| Command and Control: Steganographie-Tool erkannt | CLOUD_RUN_STEGANOGRAPHY_TOOL_DETECTED |
Ein als Steganografietool identifiziertes Programm wurde ausgeführt, was auf einen potenziellen Versuch hindeutet, Kommunikation oder Datenübertragung zu verbergen. Angreifer können steganografische Techniken verwenden, um schädliche Command and Control-Anweisungen (C2) oder exfiltrierte Daten in scheinbar unbedenkliche digitale Dateien einzubetten, um die standardmäßige Sicherheitsüberwachung und ‑erkennung zu umgehen. Die Identifizierung der Verwendung solcher Tools ist entscheidend, um versteckte schädliche Aktivitäten aufzudecken. |
| Zugriff auf Anmeldedaten: Google Cloud -Anmeldedaten finden | CLOUD_RUN_FIND_GCP_CREDENTIALS |
Es wurde ein Befehl ausgeführt, um in der Containerumgebung nach privaten Schlüsseln, Passwörtern oder anderen vertraulichen Anmeldedaten von Google Cloud zu suchen. Ein Angreifer kann gestohlene Google Cloud -Anmeldedaten verwenden, um unbefugten Zugriff auf sensible Daten oder Ressourcen in der Zielumgebung von Google Cloud zu erhalten. |
| Zugriff auf Anmeldedaten: Ausspähung von GPG-Schlüsseln | CLOUD_RUN_GPG_KEY_RECONNAISSANCE |
Es wurde ein Befehl ausgeführt, um nach GPG-Sicherheitsschlüsseln zu suchen. Ein Angreifer kann gestohlene GPG-Sicherheitsschlüssel verwenden, um unbefugten Zugriff auf verschlüsselte Kommunikation oder Dateien zu erhalten. |
| Zugriff auf Anmeldedaten: Suche nach privaten Schlüsseln oder Passwörtern | CLOUD_RUN_SEARCH_PRIVATE_KEYS_OR_PASSWORDS |
Es wurde ein Befehl ausgeführt, um in der Containerumgebung nach privaten Schlüsseln, Passwörtern oder anderen vertraulichen Anmeldedaten zu suchen. Dies deutet auf einen potenziellen Versuch hin, Authentifizierungsdaten zu erfassen. Angreifer suchen häufig nach Dateien mit Anmeldedaten, um unbefugten Zugriff auf Systeme zu erlangen, Berechtigungen zu eskalieren oder sich lateral innerhalb der Umgebung zu bewegen. Das Erkennen solcher Aktivitäten ist entscheidend, um Sicherheitsverstöße zu verhindern. |
| Defense Evasion: Base64 ELF File Command Line | CLOUD_RUN_BASE64_ELF_FILE_CMDLINE |
Es wurde ein Prozess ausgeführt, der ein Argument enthält, das eine ELF-Datei (Executable and Linkable Format) ist. Wenn die Ausführung einer codierten ELF-Datei erkannt wird, ist das ein Signal dafür, dass ein Angreifer versucht, Binärprogrammdaten für die Übertragung an reine ASCII-Befehlszeilen zu codieren. Angreifer könnten mit dieser Technik die Erkennung umgehen und schädlichen Code ausführen, der in eine ELF-Datei eingebettet ist. |
| Defense Evasion: Base64 Encoded Python Script Executed | CLOUD_RUN_BASE64_ENCODED_PYTHON_SCRIPT_EXECUTED |
Es wurde ein Prozess ausgeführt, der ein Argument enthält, das ein base64-codiertes Python-Script ist. Wenn die Ausführung eines codierten Python-Skripts erkannt wird, ist das ein Signal dafür, dass ein Angreifer versucht, Binärprogrammdaten für die Übertragung an reine ASCII-Befehlszeilen zu codieren. Angreifer könnten mit dieser Technik die Erkennung umgehen und schädlichen Code ausführen, der in ein Python-Script eingebettet ist. |
| Defense Evasion: Base64 Encoded Shell Script Executed | CLOUD_RUN_BASE64_ENCODED_SHELL_SCRIPT_EXECUTED |
Es wurde ein Prozess ausgeführt, der ein Argument enthält, das ein base64-codiertes Shell-Script ist. Wenn die Ausführung eines codierten Shell-Skripts erkannt wird, ist das ein Signal dafür, dass ein Angreifer versucht, Binärprogrammdaten für die Übertragung an reine ASCII-Befehlszeilen zu codieren. Angreifer könnten mit dieser Technik die Erkennung umgehen und schädlichen Code ausführen, der in ein Shell-Script eingebettet ist. |
| Defense Evasion: Compiler-Tool für Code im Container gestartet | CLOUD_RUN_LAUNCH_CODE_COMPILER_TOOL_IN_CONTAINER |
Es wurde ein Prozess gestartet, um ein Code-Compiler-Tool in der Containerumgebung zu starten. Dies deutet auf einen potenziellen Versuch hin, ausführbaren Code in einem isolierten Kontext zu erstellen oder zu ändern. Angreifer können Code-Compiler in Containern verwenden, um schädliche Nutzlasten zu entwickeln, Code in vorhandene Binärdateien einzuschleusen oder Tools zu erstellen, mit denen Sicherheitskontrollen umgangen werden. Dabei agieren sie in einer weniger streng überwachten Umgebung, um der Erkennung auf dem Hostsystem zu entgehen. |
| Ausführung: Hinzugefügtes schädliches Binärprogramm ausgeführt | CLOUD_RUN_ADDED_MALICIOUS_BINARY_EXECUTED |
Eine Binärdatei, die die folgenden Bedingungen erfüllt, wurde ausgeführt:
Wenn eine hinzugefügte schädliche Binärdatei ausgeführt wird, ist das ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt. |
| Ausführung: hinzugefügte schädliche Bibliothek geladen | CLOUD_RUN_ADDED_MALICIOUS_LIBRARY_LOADED |
Eine Bibliothek, die die folgenden Bedingungen erfüllt, wurde geladen:
Wenn eine hinzugefügte schädliche Bibliothek geladen wird, ist das ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt. |
| Ausführung: hinzugefügter schädlicher Skill ausgeführt | CLOUD_RUN_ADDED_MALICIOUS_SKILL_EXECUTED |
Ein Skill, der die folgenden Bedingungen erfüllt, wurde ausgeführt:
Wenn ein hinzugefügter bösartiger Skill ausgeführt wird, ist das ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und bösartige Software ausführt. |
| Ausführung: hinzugefügter schädlicher Skill geladen | CLOUD_RUN_ADDED_MALICIOUS_SKILL_LOADED |
Ein Skill, der die folgenden Bedingungen erfüllt, wurde geladen:
Wenn ein hinzugefügter schädlicher Skill geladen wird, ist das ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt. |
| Ausführung: Integriertes schädliches Binärprogramm ausgeführt | CLOUD_RUN_BUILT_IN_MALICIOUS_BINARY_EXECUTED |
Eine Binärdatei, die die folgenden Bedingungen erfüllt, wurde ausgeführt:
Wenn eine integrierte schädliche Binärdatei ausgeführt wird, ist das ein Zeichen dafür, dass der Angreifer schädliche Container bereitstellt. Möglicherweise haben sie die Kontrolle über ein legitimes Image-Repository oder eine Container-Build-Pipeline erlangt und eine schädliche Binärdatei in das Container-Image eingeschleust. |
| Ausführung: Integrierter schädlicher Skill ausgeführt | CLOUD_RUN_BUILT_IN_MALICIOUS_SKILL_EXECUTED |
Ein Skill, der die folgenden Bedingungen erfüllt, wurde ausgeführt:
Wenn ein integrierter schädlicher Skill ausgeführt wird, ist das ein Zeichen dafür, dass der Angreifer schädliche Container bereitstellt. Sie haben möglicherweise die Kontrolle über ein legitimes Image-Repository oder eine Container-Build-Pipeline erlangt und eine bösartige Fähigkeit in das Container-Image eingeschleust. |
| Ausführung: Container-Escape | CLOUD_RUN_CONTAINER_ESCAPE |
Im Container wurde ein Prozess ausgeführt, der versucht hat, die Isolation des Containers mithilfe bekannter Escape-Techniken oder Binärdateien zu umgehen. Diese Art von Angriff kann dem Angreifer Zugriff auf das Hostsystem gewähren. Diese Prozesse werden anhand von Intelligence-Daten als potenzielle Bedrohungen identifiziert. Wenn ein Container-Escape-Versuch erkannt wird, kann dies darauf hindeuten, dass ein Angreifer Sicherheitslücken ausnutzt, um aus dem Container auszubrechen. Dadurch kann der Angreifer unbefugten Zugriff auf das Hostsystem oder die gesamte Infrastruktur erhalten und die gesamte Umgebung gefährden. |
| Ausführung: Dateilose Ausführung in /memfd: | CLOUD_RUN_FILELESS_EXECUTION_DETECTION_MEMFD |
Ein Prozess wurde mit einem In-Memory-Dateideskriptor ausgeführt. Ein Prozess, der aus einer speicherinternen Datei gestartet wird, kann darauf hindeuten, dass ein Angreifer versucht, andere Erkennungsmethoden zu umgehen, um schädlichen Code auszuführen. |
| Execution: Kubernetes Attack Tool Execution | CLOUD_RUN_KUBERNETES_ATTACK_TOOL_EXECUTION |
In der Umgebung wurde ein Kubernetes-spezifisches Angriffstool ausgeführt. Dies kann darauf hindeuten, dass ein Angreifer Kubernetes-Clusterkomponenten im Visier hat. Diese Angriffstools werden anhand von Intelligence-Daten als potenzielle Bedrohungen identifiziert. Wenn ein Angriffstool in der Kubernetes-Umgebung ausgeführt wird, kann dies darauf hindeuten, dass ein Angreifer Zugriff auf den Cluster erhalten hat und das Tool verwendet, um Kubernetes-spezifische Sicherheitslücken oder Konfigurationen auszunutzen. |
| Ausführung: Ausführung eines lokalen Ausspähtools | CLOUD_RUN_LOCAL_RECONNAISSANCE_TOOL_EXECUTION |
Es wurde ein lokales Tool zum Ausspähen ausgeführt, das normalerweise nicht mit dem Container oder der Umgebung verknüpft ist. Dies deutet auf einen Versuch hin, interne Systeminformationen zu erfassen. Diese Aufklärungstools werden anhand von Intelligence-Daten als potenzielle Bedrohungen identifiziert. Wenn ein Ausspähungstool ausgeführt wird, deutet dies darauf hin, dass der Angreifer möglicherweise versucht, die Infrastruktur zu kartieren, Sicherheitslücken zu identifizieren oder Daten zu Systemkonfigurationen zu erfassen, um seine nächsten Schritte zu planen. |
| Ausführung: Schädlicher Python-Code ausgeführt | CLOUD_RUN_MALICIOUS_PYTHON_EXECUTED |
Ein ML-Modell (maschinelles Lernen) hat den angegebenen Python-Code als schädlich identifiziert. Angreifer können Python verwenden, um Tools oder andere Dateien von einem externen System in eine manipulierte Umgebung zu übertragen und Befehle ohne Binärdateien auszuführen. Der Detektor verwendet NLP-Techniken, um den Inhalt des ausgeführten Python-Codes zu bewerten. Da dieser Ansatz nicht auf Signaturen basiert, können Detektoren bekannten und neuen Python-Code identifizieren. |
| Ausführung: Geändertes schädliches Binärprogramm ausgeführt | CLOUD_RUN_MODIFIED_MALICIOUS_BINARY_EXECUTED |
Eine Binärdatei, die die folgenden Bedingungen erfüllt, wurde ausgeführt:
Wenn eine modifizierte schädliche Binärdatei ausgeführt wird, ist das ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt. |
| Ausführung: Geänderte schädliche Bibliothek geladen | CLOUD_RUN_MODIFIED_MALICIOUS_LIBRARY_LOADED |
Eine Bibliothek, die die folgenden Bedingungen erfüllt, wurde geladen:
Wenn eine modifizierte schädliche Bibliothek geladen wird, ist das ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt. |
| Ausführung: Geänderter schädlicher Skill ausgeführt | CLOUD_RUN_MODIFIED_MALICIOUS_SKILL_EXECUTED |
Ein Skill, der die folgenden Bedingungen erfüllt, wurde ausgeführt:
Wenn ein modifizierter schädlicher Skill ausgeführt wird, ist das ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt. |
| Ausführung: Geänderter schädlicher Skill geladen | CLOUD_RUN_MODIFIED_MALICIOUS_SKILL_LOADED |
Ein Skill, der die folgenden Bedingungen erfüllt, wurde geladen:
Wenn ein modifizierter schädlicher Skill geladen wird, ist das ein starkes Anzeichen dafür, dass ein Angreifer die Kontrolle über die Arbeitslast hat und schädliche Software ausführt. |
| Ausführung: Netcat-Remote-Codeausführung im Container | CLOUD_RUN_NETCAT_REMOTE_CODE_EXECUTION_IN_CONTAINER |
Netcat, ein vielseitiges Netzwerkdienstprogramm, wurde in der Containerumgebung ausgeführt. Dies deutet möglicherweise auf einen Versuch hin, unbefugten Remotezugriff einzurichten oder Daten zu exfiltrieren. Die Verwendung von Netcat in einer containerisierten Umgebung kann darauf hindeuten, dass ein Angreifer versucht, eine Reverse-Shell zu erstellen, Lateral Movement zu ermöglichen oder beliebige Befehle auszuführen, was die Systemintegrität gefährden kann. |
| Ausführung: Mögliche Ausführung beliebiger Befehle über CUPS (CVE-2024-47076) | CLOUD_RUN_POSSIBLE_ARBITRARY_COMMAND_EXECUTION_THROUGH_CUPS |
Diese Regel erkennt, wenn der Prozess |
| Ausführung: Mögliche Remote-Befehlsausführung erkannt | CLOUD_RUN_POSSIBLE_REMOTE_COMMAND_EXECUTION_DETECTED |
Es wurde ein Prozess erkannt, der gängige UNIX-Befehle über eine Netzwerk-Socket-Verbindung ausführt. Dies deutet auf einen potenziellen Versuch hin, unbefugte Remote-Befehlsausführungsfunktionen einzurichten. Angreifer verwenden häufig Techniken, die Reverse-Shell-Angriffe imitieren, um die interaktive Kontrolle über ein kompromittiertes System zu erlangen. So können sie beliebige Befehle remote ausführen und standardmäßige Netzwerksicherheitsmaßnahmen wie Firewall-Einschränkungen umgehen. Die Erkennung der Befehlsausführung über einen Socket ist ein starker Indikator für böswilligen Remote-Zugriff. |
| Ausführung: Programmausführung mit nicht zulässiger HTTP-Proxy-Umgebung | CLOUD_RUN_PROGRAM_RUN_WITH_DISALLOWED_HTTP_PROXY_ENV |
Ein Programm wurde mit einer nicht zulässigen HTTP-Proxy-Umgebungsvariablen ausgeführt. Dies kann auf einen Versuch hindeuten, Sicherheitskontrollen zu umgehen, Traffic für böswillige Zwecke umzuleiten oder Daten über nicht autorisierte Kanäle zu exfiltrieren. Angreifer könnten unzulässige HTTP-Proxys konfigurieren, um vertrauliche Informationen abzufangen, Traffic über schädliche Server weiterzuleiten oder verdeckte Kommunikationskanäle einzurichten. Die Erkennung der Ausführung von Programmen mit diesen Umgebungsvariablen ist entscheidend, um die Netzwerksicherheit aufrechtzuerhalten und Datenpannen zu verhindern. |
| Ausführung: Socat-Reverse-Shell erkannt | CLOUD_RUN_SOCAT_REVERSE_SHELL_DETECTED |
Der Befehl
Diese Regel erkennt die Ausführung von |
| Ausführung: Verdächtiges freigegebenes OpenSSL-Objekt geladen | CLOUD_RUN_SUSPICIOUS_OPENSSL_SHARED_OBJECT_LOADED |
OpenSSL wurde ausgeführt, um ein benutzerdefiniertes freigegebenes Objekt zu laden. Angreifer können benutzerdefinierte Bibliotheken laden und vorhandene Bibliotheken ersetzen, die von OpenSSL verwendet werden, um schädlichen Code auszuführen. Die Verwendung in der Produktion ist ungewöhnlich und sollte sofort untersucht werden. |
| Exfiltration: Remote-Tools zum Kopieren von Dateien im Container gestartet | CLOUD_RUN_LAUNCH_REMOTE_FILE_COPY_TOOLS_IN_CONTAINER |
Im Container wurde die Ausführung eines Tools zum Kopieren von Remote-Dateien erkannt. Dies deutet auf eine potenzielle Daten-Exfiltration, Lateral Movement oder die Bereitstellung schädlicher Nutzlasten hin. Angreifer verwenden diese Tools häufig, um sensible Daten aus dem Container zu übertragen, sich lateral im Netzwerk zu bewegen, um andere Systeme zu kompromittieren, oder Malware für weitere schädliche Aktivitäten einzuschleusen. Die Erkennung der Verwendung von Tools zum Kopieren von Remote-Dateien ist entscheidend, um Datenpannen, unbefugten Zugriff und eine weitere Gefährdung des Containers und potenziell des Hostsystems zu verhindern. |
| Auswirkungen: Erkennung schädlicher Cmdline-Dateien | CLOUD_RUN_DETECT_MALICIOUS_CMDLINES |
Ein Befehl wurde mit Argumenten ausgeführt, die bekanntermaßen potenziell destruktiv sind, z. B. Versuche, kritische Systemdateien zu löschen oder passwortbezogene Konfigurationen zu ändern. Angreifer können schädliche Befehlszeilen ausführen, um Systeminstabilität zu verursachen, die Wiederherstellung durch Löschen wichtiger Dateien zu verhindern oder durch Manipulation von Nutzeranmeldedaten unbefugten Zugriff zu erlangen. Das Erkennen dieser spezifischen Befehlsmuster ist entscheidend, um erhebliche Auswirkungen auf das System zu verhindern. |
| Auswirkung: Bulk-Entfernung von Daten von Laufwerk | CLOUD_RUN_REMOVE_BULK_DATA_FROM_DISK |
Es wurde ein Prozess erkannt, der Massenlöschvorgänge für Daten ausführt. Dies kann auf einen Versuch hindeuten, Beweise zu löschen, Dienste zu stören oder einen Datenlöschangriff in der Containerumgebung auszuführen. Angreifer entfernen möglicherweise große Datenmengen, um ihre Spuren zu verwischen, den Betrieb zu sabotieren oder die Bereitstellung von Ransomware vorzubereiten. Durch das Erkennen solcher Aktivitäten können potenzielle Bedrohungen identifiziert werden, bevor es zu einem kritischen Datenverlust kommt. |
| Auswirkung: Verdächtige Cryptomining-Aktivität mit Stratum-Protokoll | CLOUD_RUN_SUSPICIOUS_CRYPTO_MINING_ACTIVITY_USING_STRATUM_PROTOCOL |
Es wurde ein Prozess erkannt, der über das Stratum-Protokoll kommuniziert, das häufig von Kryptowährungs-Mining-Software verwendet wird. Diese Aktivität deutet auf potenzielle nicht autorisierte Mining-Vorgänge in der Containerumgebung hin. Angreifer setzen häufig Kryptowährungs-Miner ein, um Systemressourcen für finanzielle Gewinne zu nutzen. Dies führt zu Leistungseinbußen, erhöhten Betriebskosten und potenziellen Sicherheitsrisiken. Durch das Erkennen solcher Aktivitäten können Ressourcenmissbrauch und unbefugter Zugriff minimiert werden. |
| Schädliches Script ausgeführt | CLOUD_RUN_MALICIOUS_SCRIPT_EXECUTED |
Ein ML-Modell (maschinelles Lernen) hat den angegebenen Bash-Code als schädlich identifiziert. Angreifer können Bash verwenden, um Tools oder andere Dateien von einem externen System in eine kompromittierte Umgebung zu übertragen und Befehle ohne Binärdateien auszuführen. Der Detektor verwendet NLP-Techniken, um den Inhalt des ausgeführten Bash-Codes zu bewerten. Da dieser Ansatz nicht auf Signaturen basiert, können Detektoren bekannten und neuen schädlichen Bash-Code identifizieren. |
| Schädliche URL beobachtet | CLOUD_RUN_MALICIOUS_URL_OBSERVED |
Cloud Run Threat Detection hat eine schädliche URL in der Argumentliste eines laufenden Prozesses erkannt. Der Detektor vergleicht URLs, die in der Argumentliste laufender Prozesse beobachtet werden, mit den Listen unsicherer Webressourcen, die vom Google-Dienst Safe Browsing verwaltet werden. Wenn eine URL fälschlicherweise als Phishing-Website oder Malware eingestuft wird, melden Sie sie unter Unvollständige Daten melden. |
| Rechteausweitung: Missbrauch von Sudo zur Rechteausweitung (CVE-2019-14287) | CLOUD_RUN_ABUSE_SUDO_FOR_PRIVILEGE_ESCALATION |
Diese Regel erkennt einen Versuch, CVE-2019-14287 auszunutzen, eine Sicherheitslücke, die eine Rechteausweitung durch Missbrauch des Befehls |
| Rechteausweitung: Sicherheitslücke bei der lokalen Rechteausweitung in Polkit (CVE-2021-4034) | CLOUD_RUN_POLKIT_LOCAL_PRIVILEGE_ESCALATION_VULNERABILITY |
Ein Nutzer ohne Root-Berechtigung hat
Diese Regel erkennt einen Versuch, eine Sicherheitslücke zur Rechteausweitung (CVE-2021-4034) in |
| Rechteausweitung: Mögliche Rechteausweitung durch Sudo (CVE-2021-3156) | CLOUD_RUN_SUDO_POTENTIAL_PRIVILEGE_ESCALATION |
Ein Nutzer ohne Root-Berechtigung hat
Erkennt einen Versuch, eine Sicherheitslücke auszunutzen, die |
| Reverse-Shell-Angriff | CLOUD_RUN_REVERSE_SHELL |
Ein Prozess, bei dem die Stream-Weiterleitung an einen Remote-Socket gestartet wurde. Der Detektor sucht nach Mit einer Reverse-Shell kann ein Angreifer von einer manipulierten Arbeitslast aus mit einem von ihm kontrollierten Computer kommunizieren. Der Angreifer kann dann die Arbeitslast steuern, z. B. als Teil eines Botnets. |
| Unerwartete untergeordnete Shell | CLOUD_RUN_UNEXPECTED_CHILD_SHELL |
Ein Prozess, der normalerweise keine Shells aufruft, hat einen Shell-Prozess gestartet. Der Detektor überwacht alle Prozessausführungen. Wenn eine Shell aufgerufen wird, generiert der Detektor ein Ergebnis, wenn der übergeordnete Prozess normalerweise keine Shells aufruft. |
Detektoren der Steuerungsebene
Die folgenden Detektoren für die Steuerungsebene sind über Event Threat Detection verfügbar. Diese Detektoren sind standardmäßig aktiviert. Sie verwalten diese Detektoren auf dieselbe Weise wie andere Event Threat Detection-Detektoren. Weitere Informationen finden Sie unter Event Threat Detection verwenden.
| Anzeigename | API-Name | Logquelltypen | Beschreibung |
|---|---|---|---|
| Auswirkungen: Cryptomining-Befehle | CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS |
Cloud-Audit-Logs: IAM-Systemereignis-Audit-Logs |
Während der Ausführung wurden einem Cloud Run-Job bestimmte Cryptomining-Befehle angehängt. Ergebnisse werden standardmäßig als Hoch eingestuft. |
| Ausführung: Docker-Image für Cryptomining | CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES |
Cloud-Audit-Logs: IAM-Systemereignis-Audit-Logs |
Bestimmte bekannte schädliche Docker-Images wurden an einen neuen oder vorhandenen Cloud Run-Dienst oder -Job angehängt. Ergebnisse werden standardmäßig als Hoch eingestuft. |
| Rechteausweitung: SetIAMPolicy für Compute Engine-Standarddienstkonto | CLOUD_RUN_SERVICES_SET_IAM_POLICY |
Cloud-Audit-Logs: Administratoraktivitätslogs |
Das Compute Engine-Standarddienstkonto wurde verwendet, um die IAM-Richtlinie für einen Cloud Run-Dienst festzulegen. Dies ist eine potenzielle Aktion nach einem Exploit, wenn ein Compute Engine-Token von einem serverlosen Dienst manipuliert wird. Ergebnisse werden standardmäßig als Niedrig eingestuft. |
Nächste Schritte
- Cloud Run Threat Detection verwenden
- Cloud Run Threat Detection testen
- Event Threat Detection verwenden
- Auf Cloud Run-Bedrohungsbefunde reagieren
- Weitere Informationen finden Sie im Index der Bedrohungsergebnisse.