‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

סקירה כללית על Cloud Run Threat Detection

‫Cloud Run Threat Detection הוא שירות מובנה של Security Command Center, שעוקב באופן רציף אחרי המצב של משאבי Cloud Run נתמכים כדי לזהות את ההתקפות הנפוצות ביותר בזמן הריצה. אם Cloud Run Threat Detection מזהה מתקפה, הוא יוצר ממצא ב-Security Command Center כמעט בזמן אמת.

גלאי זמן הריצה של Cloud Run Threat Detection עוקבים אחרי קובצי בינארי וספריות חשודים במשאבי Cloud Run, ומשתמשים בעיבוד שפה טבעית (NLP) כדי לזהות קוד זדוני ב-Bash וב-Python.

בנוסף, גלאים של מישור הבקרה זמינים דרך Event Threat Detection. הגלאים האלה עוקבים אחרי הסטרימינג של Cloud Logging בארגון או בפרויקטים שלכם, כדי לזהות התקפות פוטנציאליות על מישור הבקרה של המשאבים ב-Cloud Run.

משאבים נתמכים

השירות Cloud Run Threat Detection עוקב אחרי המשאבים הבאים:

סביבות הפעלה נתמכות

סביבות ההפעלה הנתמכות שונות בין גלאי זמן ריצה לבין גלאי מישור הבקרה.

סביבות הפעלה נתמכות לגלאים בזמן ריצה

גלאי זמן הריצה של Cloud Run Threat Detection תומכים רק במשאבי Cloud Run שפועלים בסביבת ההפעלה מהדור השני. לפני שמפעילים את Cloud Run Threat Detection, חשוב לשים לב לנקודות הבאות:

כשמפעילים את Cloud Run Threat Detection, אי אפשר ליצור שירות Cloud Run או גרסת שירות שפועלים בסביבת ההפעלה מהדור הראשון. בשירות Cloud Run צריך להשתמש בסביבת ההפעלה מהדור השני. לפני שמפעילים את Cloud Run Threat Detection, מומלץ לבדוק את עומסי העבודה בסביבת ההפעלה מהדור השני.
כדי להפעיל זיהוי איומים בזמן הריצה בשירות, פורסים גרסה שמגדירה את סביבת ההפעלה של השירות לסביבת ההפעלה של הדור השני או לסביבת ההפעלה שמוגדרת כברירת מחדל.

סביבות הפעלה נתמכות לגלאים של מישור הבקרה

גלאי מישור הבקרה תומכים בסביבות הפעלה מהדור הראשון ומהדור השני.

איך פועל זיהוי האיומים בזמן הריצה של Cloud Run Threat Detection

כשמפעילים את Cloud Run Threat Detection, המערכת אוספת נתוני טלמטריה מהמשאבים הנתמכים של Cloud Run כדי לנתח תהליכים, סקריפטים וספריות שעשויים להצביע על מתקפה בזמן הריצה. זהו נתיב הביצוע כשמזוהים אירועים:

הכלי Cloud Run Threat Detection משתמש בתהליך מעקב כדי לאסוף מידע על קונטיינרים ואירועים במשך כל הזמן שבו פועל עומס העבודה ב-Cloud Run.
הכלי Cloud Run Threat Detection מנתח את פרטי האירועים שנאספו כדי לקבוע אם אירוע מסוים מעיד על תקרית. הוא משתמש ב-NLP כדי לנתח סקריפטים של Bash ו-Python ולזהות קוד זדוני.
- אם Cloud Run Threat Detection מזהה אירוע, הוא מדווח עליו כממצא ב-Security Command Center.
- אם Cloud Run Threat Detection לא מזהה אירוע, לא נשמר מידע.
- כל הנתונים שנאספים הם זמניים ולא נשמרים באופן קבוע.

במאמר בדיקת הממצאים מוסבר איך בודקים את הממצאים של Cloud Run Threat Detection במסוףGoogle Cloud .

בעיות מוכרות

אם תהליך הצפייה נפסק לפני הזמן במכונה פעילה של שירות, משימה או מאגר Worker ב-Cloud Run, תהליך הצפייה לא מופעל מחדש. המכונה מפסיקה לשלוח מידע טלמטריה אל Cloud Run Threat Detection. יומני הזיהוי של איומים ב-Cloud Run לא מופיעים ביומני המכונה. אין אינדיקציה לכך שתהליך הצפייה הופסק.

מזהים

בקטע הזה מפורטים הגלאים הזמינים של זמן הריצה ושל מישור הבקרה. אנחנו מוסיפים גלאים חדשים באופן קבוע כשאיומים חדשים בענן מופיעים.

גלאי זמן ריצה

התכונה "זיהוי איומים ב-Cloud Run" כוללת את הגלאים הבאים בזמן הריצה:

השם המוצג	שם ה-API	תיאור
פקודות ואמצעי בקרה: זוהה כלי סטגנוגרפיה	`CLOUD_RUN_STEGANOGRAPHY_TOOL_DETECTED`	הופעלה תוכנה שזוהתה ככלי סטגנוגרפיה, מה שמעיד על ניסיון פוטנציאלי להסתיר תקשורת או העברת נתונים. תוקפים עשויים להשתמש בטכניקות סטגנוגרפיות כדי להטמיע הוראות זדוניות של פקודות ואמצעי בקרה (C2) או נתונים שזלגו בקבצים דיגיטליים שנראים תמימים, במטרה להתחמק מניטור ומזיהוי רגילים של אבטחה. חשוב לזהות את השימוש בכלים כאלה כדי לחשוף פעילות זדונית נסתרת.
גישה לפרטי כניסה: חיפוש פרטי כניסה מסוג Google Cloud	`CLOUD_RUN_FIND_GCP_CREDENTIALS`	הופעלה פקודה לחיפוש מפתחות פרטיים, סיסמאות או פרטי כניסה רגישים אחרים בסביבת הקונטיינר. Google Cloud תוקף יכול להשתמש בפרטי כניסה גנובים Google Cloud כדי לקבל גישה לא מורשית לנתונים רגישים או למשאבים בסביבה Google Cloud המטורגטת.
גישה לפרטי כניסה: איסוף מידע על מפתחות GPG	`CLOUD_RUN_GPG_KEY_RECONNAISSANCE`	הופעלה פקודה לחיפוש מפתחות אבטחה של GPG. תוקף יכול להשתמש במפתחות אבטחה גנובים של GPG כדי לקבל גישה לא מורשית לתקשורת או לקבצים מוצפנים.
גישה לפרטי כניסה: חיפוש מפתחות פרטיים או סיסמאות	`CLOUD_RUN_SEARCH_PRIVATE_KEYS_OR_PASSWORDS`	בוצעה פקודה לחיפוש מפתחות פרטיים, סיסמאות או פרטי כניסה רגישים אחרים בסביבת הקונטיינר, מה שמעיד על ניסיון פוטנציאלי לאסוף נתוני אימות. תוקפים מחפשים לעיתים קרובות קובצי פרטי כניסה כדי לקבל גישה לא מורשית למערכות, להגדיל את ההרשאות או לעבור באופן רוחבי בתוך הסביבה. זיהוי של פעילות כזו הוא קריטי למניעת פרצות אבטחה.
התחמקות מהגנה: שורת פקודה של קובץ Base64 ELF	`CLOUD_RUN_BASE64_ELF_FILE_CMDLINE`	הופעל תהליך שמכיל ארגומנט שהוא קובץ ELF (פורמט שניתן להפעלה ולקישור). זיהוי של הרצת קובץ ELF מקודד מצביע על כך שתוקף מנסה לקודד נתונים בינאריים כדי להעביר אותם לשורות פקודה ב-ASCII בלבד. תוקפים יכולים להשתמש בשיטה הזו כדי להתחמק מגילוי ולהריץ קוד זדוני שמוטמע בקובץ ELF.
התחמקות מהגנה: הופעל סקריפט Python בקידוד Base64	`CLOUD_RUN_BASE64_ENCODED_PYTHON_SCRIPT_EXECUTED`	הופעל תהליך שמכיל ארגומנט שהוא סקריפט Python בקידוד base64. אם מזוהה הפעלה של סקריפט Python מקודד, זה סימן לכך שתוקף מנסה לקודד נתונים בינאריים כדי להעביר אותם לשורות פקודה ב-ASCII בלבד. תוקפים יכולים להשתמש בטכניקה הזו כדי להתחמק מגילוי ולהריץ קוד זדוני שמוטמע בסקריפט של Python.
התחמקות מהגנה: הופעל סקריפט מעטפת בקידוד Base64	`CLOUD_RUN_BASE64_ENCODED_SHELL_SCRIPT_EXECUTED`	הופעל תהליך שמכיל ארגומנט שהוא סקריפט מעטפת בקידוד base64. אם מזוהה הפעלה של סקריפט מעטפת מקודד, זה סימן לכך שתוקף מנסה לקודד נתונים בינאריים כדי להעביר אותם לשורות פקודה ב-ASCII בלבד. תוקפים יכולים להשתמש בשיטה הזו כדי להתחמק מגילוי ולהריץ קוד זדוני שמוטמע בסקריפט מעטפת.
התחמקות מהגנה: הפעלת כלי קומפיילר קוד בקונטיינר	`CLOUD_RUN_LAUNCH_CODE_COMPILER_TOOL_IN_CONTAINER`	התחיל תהליך להפעלת כלי של קומפיילר קוד בסביבת הקונטיינר, מה שמעיד על ניסיון אפשרי ליצור או לשנות קוד שניתן להפעלה בהקשר מבודד. תוקפים יכולים להשתמש בקומפיילרים של קוד בתוך קונטיינרים כדי לפתח מטען ייעודי (payload) זדוני, להחדיר קוד לקבצים בינאריים קיימים או ליצור כלים לעקיפת אמצעי אבטחה, והכול בסביבה פחות מפוקחת כדי לחמוק מגילוי במערכת המארחת.
ביצוע: נוסף קובץ בינארי זדוני שהופעל	`CLOUD_RUN_ADDED_MALICIOUS_BINARY_EXECUTED`	הופעל קובץ בינארי שעומד בתנאים הבאים: זוהה כזדוני על סמך מודיעין איומי סייבר לא חלק מקובץ אימג' של קונטיינר אם מופעל קובץ בינארי זדוני שנוסף, זה סימן חזק לכך שתוקף שולט בעומס העבודה ומפעיל תוכנה זדונית.
ביצוע: נוספה ספרייה זדונית שנטענה	`CLOUD_RUN_ADDED_MALICIOUS_LIBRARY_LOADED`	נטענה ספרייה שעומדת בתנאים הבאים: זוהה כזדוני על סמך מודיעין איומי סייבר לא חלק מקובץ אימג' של קונטיינר אם נטענת ספרייה זדונית שנוספה, זה סימן חזק לכך שלתוקף יש שליטה בעומס העבודה והוא מריץ תוכנה זדונית.
הפעולה: הופעל סקיל זדוני שנוסף	`CLOUD_RUN_ADDED_MALICIOUS_SKILL_EXECUTED`	הופעל סקיל שעומד בתנאים הבאים: זוהה כזדוני על סמך מודיעין איומי סייבר לא חלק מקובץ אימג' של קונטיינר אם מופעלת מיומנות זדונית שנוספה, זה סימן חזק לכך שלתוקף יש שליטה בעומס העבודה והוא מפעיל תוכנה זדונית.
ביצוע: נוספה מיומנות זדונית שנטענה	`CLOUD_RUN_ADDED_MALICIOUS_SKILL_LOADED`	נטען סקיל שעומד בתנאים הבאים: זוהה כזדוני על סמך מודיעין איומי סייבר לא חלק מקובץ אימג' של קונטיינר אם נטענת מיומנות זדונית שנוספה, זה סימן חזק לכך שלתוקף יש שליטה בעומס העבודה והוא מפעיל תוכנה זדונית.
ביצוע: הופעל קובץ בינארי זדוני מובנה	`CLOUD_RUN_BUILT_IN_MALICIOUS_BINARY_EXECUTED`	הופעל קובץ בינארי שעומד בתנאים הבאים: זוהה כזדוני על סמך מודיעין איומי סייבר כלול בקובץ אימג' של קונטיינר מקורי אם מופעל קובץ בינארי זדוני מובנה, זה סימן שהתוקף פורס קונטיינרים זדוניים. יכול להיות שהם השיגו שליטה על מאגר תמונות לגיטימי או על צינור עיבוד נתונים של גרסת build של קונטיינר, והזריקו קובץ בינארי זדוני לקובץ האימג' של הקונטיינר.
הרצה: הופעל סקיל זדוני מובנה	`CLOUD_RUN_BUILT_IN_MALICIOUS_SKILL_EXECUTED`	הופעל סקיל שעומד בתנאים הבאים: זוהה כזדוני על סמך מודיעין איומי סייבר כלול בקובץ אימג' של קונטיינר מקורי אם מופעלת מיומנות זדונית מובנית, זה סימן שהתוקף פורס קונטיינרים זדוניים. יכול להיות שהם השיגו שליטה על מאגר תמונות לגיטימי או על צינור עיבוד נתונים של גרסת build של קונטיינר, והזריקו מיומנות זדונית לקובץ האימג' של הקונטיינר.
הרצה: פירצה בקונטיינר	`CLOUD_RUN_CONTAINER_ESCAPE`	בוצע תהליך בתוך הקונטיינר שניסה לפרוץ את הבידוד של הקונטיינר, באמצעות טכניקות בריחה או קובצי בינארי ידועים. מתקפה מהסוג הזה יכולה לאפשר לתוקף לגשת למערכת המארחת. התהליכים האלה מזוהים כאיומים פוטנציאליים על סמך נתוני מודיעין. אם מזוהה ניסיון לפרוץ לקונטיינר, יכול להיות שתוקף מנצל נקודות חולשה כדי לפרוץ לקונטיינר. כתוצאה מכך, התוקף עלול לקבל גישה לא מורשית למערכת המארחת או לתשתית רחבה יותר, ולפגוע בסביבה כולה.
הרצה: הרצה ללא קבצים ב-‎/memfd:‎	`CLOUD_RUN_FILELESS_EXECUTION_DETECTION_MEMFD`	תהליך בוצע באמצעות תיאור קובץ בזיכרון. תהליך שהופעל מקובץ בזיכרון עשוי להצביע על כך שתוקף מנסה לעקוף שיטות זיהוי אחרות כדי להריץ קוד זדוני.
הרצה: הרצה של כלי התקפה של Kubernetes	`CLOUD_RUN_KUBERNETES_ATTACK_TOOL_EXECUTION`	בסביבה הופעל כלי תקיפה ספציפי ל-Kubernetes, מה שיכול להצביע על כך שתוקף מטרגט רכיבים של אשכול Kubernetes. כלי התקיפה האלה מזוהים כאיומים פוטנציאליים על סמך נתוני מודיעין. אם כלי תקיפה מופעל בסביבת Kubernetes, יכול להיות שתוקף קיבל גישה לאשכול ומשתמש בכלי כדי לנצל נקודות חולשה או הגדרות ספציפיות ל-Kubernetes.
הרצה: הרצת כלי מקומי לאיסוף מידע	`CLOUD_RUN_LOCAL_RECONNAISSANCE_TOOL_EXECUTION`	הופעל כלי מקומי לאיסוף מידע שבדרך כלל לא משויך לקונטיינר או לסביבה, מה שמרמז על ניסיון לאסוף מידע פנימי על המערכת. כלי איסוף המידע האלה מזוהים כאיומים פוטנציאליים על סמך נתוני מודיעין. אם מופעל כלי לשלב איסוף המידע, יכול להיות שהתוקף מנסה למפות את התשתית, לזהות נקודות חולשה או לאסוף נתונים על הגדרות המערכת כדי לתכנן את השלבים הבאים.
הרצה: הרצת Python זדונית	`CLOUD_RUN_MALICIOUS_PYTHON_EXECUTED`	מודל למידת מכונה זיהה את קוד Python שצוין כזדוני. תוקפים יכולים להשתמש ב-Python כדי להעביר כלים או קבצים אחרים ממערכת חיצונית לסביבה שנפרצה, ולהריץ פקודות בלי קבצים בינאריים. הגלאי משתמש בטכניקות של עיבוד שפה טבעית (NLP) כדי להעריך את התוכן של קוד Python שהופעל. הגישה הזו לא מבוססת על חתימות, ולכן הגלאים יכולים לזהות קוד Python מוכר וחדש. הערה: אם מפעילים את מיקום אחסון הנתונים במיקום ספציפי, אי אפשר להפעיל את הגלאי הזה והוא לא יוצר ממצאים במיקום הזה.
Execution: Modified Malicious Binary Executed	`CLOUD_RUN_MODIFIED_MALICIOUS_BINARY_EXECUTED`	הופעל קובץ בינארי שעומד בתנאים הבאים: זוהה כזדוני על סמך מודיעין איומי סייבר כלול בקובץ אימג' של קונטיינר מקורי השתנה מקובץ האימג' המקורי של הקונטיינר במהלך זמן הריצה אם מופעל קובץ בינארי זדוני ששונה, זה סימן חזק לכך שלתוקף יש שליטה על עומס העבודה והוא מפעיל תוכנה זדונית.
הפעלה: נטענה ספרייה זדונית ששונתה	`CLOUD_RUN_MODIFIED_MALICIOUS_LIBRARY_LOADED`	נטענה ספרייה שעומדת בתנאים הבאים: זוהה כזדוני על סמך מודיעין איומי סייבר כלול בקובץ אימג' של קונטיינר מקורי השתנה מקובץ האימג' המקורי של הקונטיינר במהלך זמן הריצה אם נטענת ספרייה זדונית שעברה שינוי, זה סימן חזק לכך שתוקף שולט בעומס העבודה ומפעיל תוכנה זדונית.
הרצה: הרצת סקיל זדוני ששונה	`CLOUD_RUN_MODIFIED_MALICIOUS_SKILL_EXECUTED`	הופעל סקיל שעומד בתנאים הבאים: זוהה כזדוני על סמך מודיעין איומי סייבר כלול בקובץ אימג' של קונטיינר מקורי שונה מקובץ האימג' המקורי של הקונטיינר במהלך זמן הריצה אם מופעלת מיומנות זדונית ששונתה, זה סימן חזק לכך שלתוקף יש שליטה בעומס העבודה והוא מפעיל תוכנה זדונית.
ביצוע: טעינת סקיל זדוני ששונה	`CLOUD_RUN_MODIFIED_MALICIOUS_SKILL_LOADED`	נטען סקיל שעומד בתנאים הבאים: זוהה כזדוני על סמך מודיעין איומי סייבר כלול בקובץ אימג' של קונטיינר מקורי השתנה מקובץ האימג' המקורי של הקונטיינר במהלך זמן הריצה אם נטענת מיומנות זדונית ששונתה, זה סימן חזק לכך שלתוקף יש שליטה בעומס העבודה והוא מפעיל תוכנה זדונית.
הרצה: הרצת קוד מרחוק של Netcat בקונטיינר	`CLOUD_RUN_NETCAT_REMOTE_CODE_EXECUTION_IN_CONTAINER`	‫Netcat, כלי רשת רב-תכליתי, הופעל בסביבת הקונטיינר, מה שעשוי להצביע על ניסיון ליצור גישה מרחוק לא מורשית או לחלץ נתונים. השימוש ב-Netcat בסביבה של קונטיינרים יכול להצביע על ניסיון של תוקף ליצור reverse shell, לאפשר תנועה רוחבית או להריץ פקודות שרירותיות, מה שעלול לפגוע בתקינות המערכת.
הרצה: הרצה אפשרית של פקודה שרירותית דרך CUPS‏ (CVE-2024-47076)	`CLOUD_RUN_POSSIBLE_ARBITRARY_COMMAND_EXECUTION_THROUGH_CUPS`	הכלל הזה מזהה את תהליך `foomatic-rip` שמפעיל תוכנות מעטפת נפוצות, מה שעשוי להצביע על כך שתוקף ניצל את CVE-2024-47076. ‫`foomatic-rip` הוא חלק מ-OpenPrinting CUPS, שירות הדפסה בקוד פתוח שכלול בהרבה הפצות של Linux. ברוב קובצי האימג' של קונטיינרים, שירות ההדפסה הזה מושבת או מוסר. אם הזיהוי הזה מתרחש, צריך לבדוק אם זו ההתנהגות הרצויה או להשבית את השירות באופן מיידי.
הרצה: זוהתה הרצה אפשרית של פקודה מרחוק	`CLOUD_RUN_POSSIBLE_REMOTE_COMMAND_EXECUTION_DETECTED`	זוהה תהליך שיוצר פקודות UNIX נפוצות דרך חיבור לשקע רשת, מה שמעיד על ניסיון פוטנציאלי להגדיר יכולות לא מורשות להרצת פקודות מרחוק. תוקפים משתמשים לעיתים קרובות בטכניקות שמחקות reverse shells כדי להשיג שליטה אינטראקטיבית במערכת שנפרצה. כך הם יכולים להריץ פקודות שרירותיות מרחוק ולעקוף אמצעי אבטחה סטנדרטיים ברשת, כמו הגבלות של חומת אש. זיהוי של הפעלת פקודה דרך שקע הוא אינדיקטור חזק לגישה זדונית מרחוק.
Execution: Program Run with Disallowed HTTP Proxy Env	`CLOUD_RUN_PROGRAM_RUN_WITH_DISALLOWED_HTTP_PROXY_ENV`	תוכנית הופעלה עם משתנה סביבה של שרת proxy ל-HTTP שאסור להשתמש בו. זה יכול להצביע על ניסיון לעקוף את אמצעי הבקרה על האבטחה, להפנות תעבורת נתונים למטרות זדוניות או להוציא נתונים דרך ערוצים לא מורשים. תוקפים עשויים להגדיר שרתי Proxy ל-HTTP שאסורים לשימוש כדי ליירט מידע רגיש, לנתב תעבורת נתונים דרך שרתים זדוניים או ליצור ערוצי תקשורת סמויים. כדי לשמור על אבטחת הרשת ולמנוע פרצות באבטחת מידע, חשוב לזהות את ההפעלה של תוכנות עם משתני הסביבה האלה.
הפעלה: זוהה Socat Reverse Shell	`CLOUD_RUN_SOCAT_REVERSE_SHELL_DETECTED`	הפקודה `socat` שימשה ליצירת reverse shell. הכלל הזה מזהה את ההפעלה של `socat` כדי ליצור reverse shell על ידי הפניית תיאורי הקבצים של stdin,‏ stdout ו-stderr. זוהי טכניקה נפוצה שבה תוקפים משתמשים כדי לקבל גישה מרחוק למערכת שנפרצה.
הפעלה: נטען אובייקט משותף חשוד של OpenSSL	`CLOUD_RUN_SUSPICIOUS_OPENSSL_SHARED_OBJECT_LOADED`	הופעל OpenSSL כדי לטעון אובייקט משותף בהתאמה אישית. תוקפים עשויים לטעון ספריות בהתאמה אישית ולהחליף ספריות קיימות שמשמשות את OpenSSL כדי להריץ קוד זדוני. השימוש בה בסביבת ייצור הוא חריג ומצריך בדיקה מיידית.
זליגת מידע: הפעלת כלים להעתקת קבצים מרחוק בקונטיינר	`CLOUD_RUN_LAUNCH_REMOTE_FILE_COPY_TOOLS_IN_CONTAINER`	זוהתה הפעלה של כלי להעתקת קבצים מרחוק בתוך הקונטיינר, מה שמעיד על זליגת נתונים פוטנציאלית, תנועה רוחבית או פריסה של מטען ייעודי (payload) זדוני. תוקפים משתמשים בכלים האלה לעיתים קרובות כדי להעביר נתונים רגישים מחוץ לקונטיינר, לעבור באופן רוחבי בתוך הרשת כדי לפגוע במערכות אחרות או להחדיר תוכנות זדוניות לפעילויות זדוניות נוספות. חשוב לזהות שימוש בכלים להעתקת קבצים מרחוק כדי למנוע פרצות באבטחת מידע, גישה לא מורשית ופגיעה נוספת בקונטיינר, ואולי גם במערכת המארחת.
ההשפעה: זיהוי שורות פקודה זדוניות	`CLOUD_RUN_DETECT_MALICIOUS_CMDLINES`	הופעלה פקודה עם ארגומנטים שידועים כהרסניים, כמו ניסיונות למחוק קובצי מערכת קריטיים או לשנות הגדרות שקשורות לסיסמאות. תוקפים יכולים להנפיק שורות פקודה זדוניות כדי לגרום לחוסר יציבות במערכת, למנוע שחזור על ידי מחיקת קבצים חיוניים או לקבל גישה לא מורשית על ידי שינוי פרטי הכניסה של המשתמשים. חשוב מאוד לזהות את דפוסי הפקודות הספציפיים האלה כדי למנוע השפעה משמעותית על המערכת.
ההשפעה: הסרת נתונים בכמות גדולה מהדיסק	`CLOUD_RUN_REMOVE_BULK_DATA_FROM_DISK`	זוהה תהליך שמבצע פעולות מחיקה של נתונים בכמות גדולה, מה שעשוי להצביע על ניסיון למחוק ראיות, לשבש שירותים או לבצע מתקפה של מחיקת נתונים בסביבת הקונטיינר. יכול להיות שהתוקפים יסירו כמויות גדולות של נתונים כדי לטשטש את העקבות שלהם, לחבל בפעולות או להתכונן לפריסה של תוכנת כופר. זיהוי של פעילות כזו עוזר לזהות איומים פוטנציאליים לפני שמתרחש אובדן נתונים קריטי.
ההשפעה: פעילות חשודה של כריית מטבעות וירטואליים באמצעות פרוטוקול Stratum	`CLOUD_RUN_SUSPICIOUS_CRYPTO_MINING_ACTIVITY_USING_STRATUM_PROTOCOL`	זוהה תהליך שמתקשר באמצעות פרוטוקול Stratum, שמשמש בדרך כלל תוכנות לכריית מטבעות וירטואליים. הפעילות הזו מרמזת על פעולות כרייה לא מורשות בסביבת הקונטיינר. תוקפים פורסים לעיתים קרובות כורים של מטבעות וירטואליים כדי לנצל את משאבי המערכת למטרות רווח כספי, מה שמוביל לפגיעה בביצועים, לעלויות תפעול גבוהות יותר ולסיכוני אבטחה פוטנציאליים. זיהוי של פעילות כזו עוזר לצמצם את ניצול המשאבים לרעה ואת הגישה הבלתי מורשית.
הופעל סקריפט זדוני	`CLOUD_RUN_MALICIOUS_SCRIPT_EXECUTED`	מודל למידת מכונה זיהה את קוד ה-Bash שצוין כזדוני. תוקפים יכולים להשתמש ב-Bash כדי להעביר כלים או קבצים אחרים ממערכת חיצונית לסביבה שנפרצה, ולהריץ פקודות בלי קבצים בינאריים. הגלאי משתמש בטכניקות של NLP כדי להעריך את התוכן של קוד Bash שהופעל. הגישה הזו לא מבוססת על חתימות, ולכן הגלאים יכולים לזהות קוד Bash זדוני מוכר וחדש. הערה: אם מפעילים את מיקום אחסון הנתונים במיקום ספציפי, אי אפשר להפעיל את הגלאי הזה והוא לא יוצר ממצאים במיקום הזה.
זוהתה כתובת URL זדונית	`CLOUD_RUN_MALICIOUS_URL_OBSERVED`	התכונה "זיהוי איומים ב-Cloud Run" זיהתה כתובת URL זדונית ברשימת הארגומנטים של תהליך שפועל. הגלאי בודק כתובות URL שמופיעות ברשימת הארגומנטים של תהליכים שפועלים, ומשווה אותן לרשימות של משאבי אינטרנט לא בטוחים שמנוהלות על ידי שירות הגלישה הבטוחה של Google. אם כתובת URL מסווגת בטעות כאתר פישינג או כתוכנה זדונית, אפשר לדווח על כך בדף דיווח על נתונים שגויים.
הסלמת הרשאות: ניצול לרעה של Sudo להסלמת הרשאות (CVE-2019-14287)	`CLOUD_RUN_ABUSE_SUDO_FOR_PRIVILEGE_ESCALATION`	הפקודה `sudo` הופעלה עם ארגומנטים שמנסים להרחיב את ההרשאות. הכלל הזה מזהה ניסיון לנצל את CVE-2019-14287, נקודת חולשה שמאפשרת הסלמת הרשאות (privilege escalation) על ידי ניצול לרעה של הפקודה `sudo`. בגרסאות של `sudo` שקדמו לגרסה 1.8.28 היה פרצה שאפשרה למשתמש שאינו משתמש Root לקבל הרשאות Root.
הסלמת הרשאות (privilege escalation): נקודת חולשה של הסלמת הרשאות מקומיות ב-Polkit‏ (CVE-2021-4034)	`CLOUD_RUN_POLKIT_LOCAL_PRIVILEGE_ESCALATION_VULNERABILITY`	משתמש שאינו משתמש Root הפעיל את `pkexec` עם משתני סביבה שמנסים להסלים הרשאות. הכלל הזה מזהה ניסיון לנצל נקודת חולשה של הסלמת הרשאות (CVE-2021-4034) ב-`pkexec` של Polkit. משתמשים ללא הרשאות root יכולים להריץ קוד שנוצר במיוחד כדי לנצל את הפגם הזה ולקבל הרשאות root במערכת שנפגעה.
הסלמת הרשאות: הסלמת הרשאות פוטנציאלית של Sudo‏ (CVE-2021-3156)	`CLOUD_RUN_SUDO_POTENTIAL_PRIVILEGE_ESCALATION`	משתמש שאינו משתמש Root הפעיל את `sudo` או את `sudoedit` עם דפוס של ארגומנטים שמנסים להסלים הרשאות (privilege escalation). זיהוי ניסיון לנצל נקודת חולשה שמשפיעה על גרסאות 1.9.5p2 ומטה של `sudo`. הפעלה של `sudo` או `sudoedit` עם ארגומנטים מסוימים, כולל ארגומנט שמסתיים בתו לוכסן הפוך יחיד, על ידי משתמש ללא הרשאות, יכולה להעלות את הרשאות המשתמש לאלה של משתמש Root.
Reverse Shell	`CLOUD_RUN_REVERSE_SHELL`	תהליך שהתחיל עם הפניית סטרימינג לשקע מרוחק מחובר. הגלאי מחפש את `stdin` שמקושר לשקע מרוחק. באמצעות reverse shell, תוקף יכול לתקשר מעומס עבודה שנפרץ למכונה שבשליטת התוקף. בשלב הזה, התוקף יכול לשלוט בעומס העבודה – לדוגמה, כחלק מרשת בוטים.
מעטפת צאצא לא צפויה	`CLOUD_RUN_UNEXPECTED_CHILD_SHELL`	תהליך שבדרך כלל לא מפעיל מעטפות יצר תהליך מעטפת. הגלאי עוקב אחרי כל ההפעלות של התהליכים. כאשר מופעלת מעטפת, הגלאי יוצר ממצא אם ידוע שתהליך ההורה לא מפעיל בדרך כלל מעטפות.

גלאים במישור הבקרה

הגלאים הבאים של מישור הבקרה זמינים דרך Event Threat Detection. הגלאים האלה מופעלים כברירת מחדל. הניהול של הגלאים האלה זהה לניהול של גלאים אחרים ב-Event Threat Detection. מידע נוסף זמין במאמר שימוש ב-Event Threat Detection.

השם המוצג	שם ה-API	סוגי מקורות של יומנים	תיאור
ההשפעה: פקודות לכריית מטבע וירטואלי	`CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS`	יומני ביקורת של Cloud: יומני ביקורת של אירועי מערכת ב-IAM	פקודות ספציפיות לכריית מטבעות וירטואליים צורפו למשימה ב-Cloud Run במהלך הביצוע. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.
ביצוע: קובץ אימג' של Docker לכריית מטבע וירטואלי	`CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES`	יומני ביקורת של Cloud: יומני ביקורת של אירועי מערכת ב-IAM	קובצי אימג' ספציפיים של Docker שמוכרים כבעייתיים צורפו לשירות או למשימה חדשים או קיימים ב-Cloud Run. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.
הרחבת הרשאות: SetIAMPolicy של חשבון השירות שמוגדר כברירת מחדל ב-Compute Engine	`CLOUD_RUN_SERVICES_SET_IAM_POLICY`	יומני ביקורת של Cloud: יומני פעילות אדמין	חשבון השירות שמוגדר כברירת מחדל ב-Compute Engine שימש להגדרת מדיניות ה-IAM של שירות Cloud Run. זו פעולה פוטנציאלית לאחר ניצול לרעה, כשנחשף אסימון של Compute Engine משירות ללא שרת (serverless). כברירת מחדל, הממצאים מסווגים כחומרה נמוכה.

במאמר הוצאה משימוש מפורטים הכללים לגבי הוצאה משימוש והשבתה.