Cloud Run Threat Detection è un servizio integrato di Security Command Center che monitora continuamente lo stato delle risorse Cloud Run supportate per rilevare gli attacchi in fase di runtime più comuni. Se Cloud Run Threat Detection rileva un attacco, genera un risultato in Security Command Center quasi in tempo reale.
I rilevatori di runtime di Cloud Run Threat Detection monitorano le risorse Cloud Run per individuare file binari e librerie sospetti e utilizzano l'elaborazione del linguaggio naturale (NLP) per rilevare codice Bash e Python dannoso.
Inoltre, i rilevatori del control plane sono disponibili tramite Event Threat Detection. Questi rilevatori monitorano lo stream di Cloud Logging della tua organizzazione o dei tuoi progetti per rilevare potenziali attacchi al control plane delle tue risorse Cloud Run.
Risorse supportate
Cloud Run Threat Detection monitora le seguenti risorse:
Ambienti di esecuzione supportati
Gli ambienti di esecuzione supportati sono diversi per i rilevatori di runtime e i rilevatori del control plane.
Ambienti di esecuzione supportati per i rilevatori di runtime
I rilevatori di runtime di Cloud Run Threat Detection supportano solo le risorse Cloud Run eseguite nell'ambiente di esecuzione di seconda generazione. Prima di abilitare Cloud Run Threat Detection, tieni presente quanto segue:
Quando attivi Cloud Run Threat Detection, non puoi creare un servizio Cloud Run o una revisione del servizio eseguito nell'ambiente di esecuzione di prima generazione. Il servizio Cloud Run deve utilizzare l'ambiente di esecuzione di seconda generazione. Ti consigliamo di testare i tuoi workload nell'ambiente di esecuzione di seconda generazione prima di abilitare Cloud Run Threat Detection.
Per abilitare il rilevamento delle minacce di runtime per un servizio, esegui il deployment di una revisione che imposti l'ambiente di esecuzione del servizio sull'ambiente di esecuzione predefinito o di seconda generazione.
Ambienti di esecuzione supportati per i rilevatori del control plane
I rilevatori del control plane supportano gli ambienti di esecuzione di prima e seconda generazione.
Come funziona il rilevamento delle minacce in runtime di Cloud Run Threat Detection
Quando attivi Cloud Run Threat Detection, questo raccoglie la telemetria dalle risorse Cloud Run supportate per analizzare processi, script e librerie che potrebbero indicare un attacco in fase di runtime. Di seguito è riportato il percorso di esecuzione quando vengono rilevati eventi:
- Cloud Run Threat Detection utilizza un processo watcher per raccogliere informazioni su container ed eventi per l'intera durata di un workload Cloud Run.
Cloud Run Threat Detection analizza le informazioni sugli eventi raccolte per determinare se un evento è indicativo di un incidente. Utilizza la tecnologia NLP per analizzare gli script Bash e Python alla ricerca di codice dannoso.
Se Cloud Run Threat Detection identifica un incidente, lo segnala come risultato in Security Command Center.
Se Cloud Run Threat Detection non identifica un incidente, non vengono archiviate informazioni.
Tutti i dati raccolti sono temporanei e non vengono archiviati in modo permanente.
Per informazioni su come esaminare i risultati di Cloud Run Threat Detection nella consoleGoogle Cloud , consulta Esamina i risultati.
Problemi noti
- Se il processo watcher si interrompe prematuramente in un'istanza in esecuzione del servizio, del job o del pool di worker Cloud Run, il processo watcher non viene riavviato. L'istanza smette di inviare informazioni di telemetria a Cloud Run Threat Detection. I log di Cloud Run Threat Detection non sono presenti nei log dell'istanza. Non esiste un indicatore che segnali l'interruzione di un processo watcher.
Rilevatori
Questa sezione elenca i rilevatori di runtime e control plane disponibili. Aggiungiamo regolarmente nuovi rilevatori man mano che emergono nuove minacce cloud.
Rilevatori di runtime
Cloud Run Threat Detection include i seguenti rilevatori di runtime:
| Nome visualizzato | Nome API | Descrizione |
|---|---|---|
| Comando e controllo: strumento di steganografia rilevato | CLOUD_RUN_STEGANOGRAPHY_TOOL_DETECTED |
È stato eseguito un programma identificato come strumento di steganografia, che indica un potenziale tentativo di nascondere la comunicazione o il trasferimento di dati. Gli utenti malintenzionati potrebbero utilizzare tecniche steganografiche per incorporare istruzioni di comando e controllo (C2) dannose o dati esfiltrati all'interno di file digitali apparentemente innocui, con l'obiettivo di eludere il monitoraggio e il rilevamento della sicurezza standard. Identificare l'uso di questi strumenti è fondamentale per scoprire attività dannose nascoste. |
| Accesso alle credenziali: trova le credenziali Google Cloud | CLOUD_RUN_FIND_GCP_CREDENTIALS |
È stato eseguito un comando per cercare chiavi private, password o altre credenziali sensibili di Google Cloud all'interno dell'ambiente del container. Un malintenzionato può utilizzare le credenziali Google Cloud rubate per ottenere l'accesso non autorizzato a dati o risorse sensibili all'interno dell'ambiente Google Cloud target. |
| Accesso alle credenziali: ricognizione chiave GPG | CLOUD_RUN_GPG_KEY_RECONNAISSANCE |
È stato eseguito un comando per cercare le chiavi di sicurezza GPG. Un malintenzionato può utilizzare i token di sicurezza GPG rubati per ottenere l'accesso non autorizzato a comunicazioni o file criptati. |
| Accesso alle credenziali: cerca chiavi private o password | CLOUD_RUN_SEARCH_PRIVATE_KEYS_OR_PASSWORDS |
È stato eseguito un comando per cercare chiavi private, password o altre credenziali sensibili all'interno dell'ambiente del container, il che indica un potenziale tentativo di raccogliere dati di autenticazione. Gli utenti malintenzionati spesso cercano file di credenziali per ottenere l'accesso non autorizzato ai sistemi, eseguire l'escalation dei privilegi o spostarsi lateralmente all'interno dell'ambiente. Il rilevamento di queste attività è fondamentale per prevenire violazioni della sicurezza. |
| Evasione della difesa: riga di comando file ELF Base64 | CLOUD_RUN_BASE64_ELF_FILE_CMDLINE |
È stato eseguito un processo che contiene un argomento che è un file ELF (Executable and Linkable Format). Il rilevamento dell'esecuzione di un file ELF codificato indica che un utente malintenzionato potrebbe tentare di codificare dati binari per il trasferimento a righe di comando solo ASCII. Gli utenti malintenzionati possono utilizzare questa tecnica per eludere il rilevamento ed eseguire codice dannoso incorporato in un file ELF. |
| Evasione della difesa: script Python con codifica Base64 eseguito | CLOUD_RUN_BASE64_ENCODED_PYTHON_SCRIPT_EXECUTED |
È stato eseguito un processo che contiene un argomento che è uno script Python con codifica Base64. Se viene rilevata l'esecuzione di uno script Python codificato, significa che un utente malintenzionato sta tentando di codificare i dati binari per il trasferimento a righe di comando solo ASCII. Gli utenti malintenzionati possono utilizzare questa tecnica per eludere il rilevamento ed eseguire codice dannoso incorporato in uno script Python. |
| Elusione delle difese: script shell con codifica Base64 eseguito | CLOUD_RUN_BASE64_ENCODED_SHELL_SCRIPT_EXECUTED |
È stato eseguito un processo che contiene un argomento che è uno script shell con codifica Base64. Se viene rilevata l'esecuzione di uno script shell codificato, significa che un attaccante sta tentando di codificare i dati binari per il trasferimento a righe di comando solo ASCII. Gli attaccanti possono utilizzare questa tecnica per eludere il rilevamento ed eseguire codice dannoso incorporato in uno script shell. |
| Evasione delle difese: Avvia strumento di compilazione codice nel container | CLOUD_RUN_LAUNCH_CODE_COMPILER_TOOL_IN_CONTAINER |
È stato avviato un processo per lanciare uno strumento di compilazione del codice all'interno dell'ambiente del container, il che indica un potenziale tentativo di creare o modificare il codice eseguibile in un contesto isolato. Gli utenti malintenzionati potrebbero utilizzare i compilatori di codice all'interno dei container per sviluppare payload dannosi, inserire codice nei file binari esistenti o creare strumenti per aggirare i controlli di sicurezza, il tutto operando in un ambiente meno controllato per eludere il rilevamento sul sistema host. |
| Esecuzione: File binario aggiuntivo dannoso eseguito | CLOUD_RUN_ADDED_MALICIOUS_BINARY_EXECUTED |
È stato eseguito un programma binario che soddisfa le seguenti condizioni:
Se viene eseguito un programma binario dannoso aggiunto, è un forte segnale che un utente malintenzionato ha il controllo del workload e sta eseguendo un software dannoso. |
| Esecuzione: libreria dannosa aggiuntiva caricata | CLOUD_RUN_ADDED_MALICIOUS_LIBRARY_LOADED |
È stata caricata una libreria che soddisfa le seguenti condizioni:
Se viene caricata una libreria dannosa aggiunta, è un forte segnale che un utente malintenzionato ha il controllo del workload e sta eseguendo software dannoso. |
| Esecuzione: Skill dannosa aggiuntiva eseguita | CLOUD_RUN_ADDED_MALICIOUS_SKILL_EXECUTED |
È stata eseguita una skill che soddisfa le seguenti condizioni:
Se viene eseguita una skill dannosa aggiunta, è un forte segnale che un utente malintenzionato ha il controllo del workload e sta eseguendo software dannoso. |
| Esecuzione: Skill dannosa aggiuntiva caricata | CLOUD_RUN_ADDED_MALICIOUS_SKILL_LOADED |
È stata caricata una skill che soddisfa le seguenti condizioni:
Se viene caricata una skill dannosa aggiunta, è un forte segnale che un utente malintenzionato ha il controllo del workload e sta eseguendo software dannoso. |
| Esecuzione: file binario dannoso integrato eseguito | CLOUD_RUN_BUILT_IN_MALICIOUS_BINARY_EXECUTED |
È stato eseguito un programma binario che soddisfa le seguenti condizioni:
Se viene eseguito un file binario dannoso integrato, significa che l'attaccante sta eseguendo il deployment di container dannosi. Potrebbero aver ottenuto il controllo di un repository di immagini legittimo o di una pipeline di build di container e aver inserito un binario dannoso nell'immagine container. |
| Esecuzione: Skill dannosa incorporata eseguita | CLOUD_RUN_BUILT_IN_MALICIOUS_SKILL_EXECUTED |
È stata eseguita una skill che soddisfa le seguenti condizioni:
Se viene eseguita una competenza dannosa integrata, significa che l'attaccante sta eseguendo il deployment di container dannosi. Potrebbero aver ottenuto il controllo di un repository di immagini legittimo o di una pipeline di build di container e aver inserito una competenza dannosa nell'immagine container. |
| Esecuzione: container escape | CLOUD_RUN_CONTAINER_ESCAPE |
All'interno del container è stato eseguito un processo che ha tentato di uscire dall'isolamento del container utilizzando tecniche di escape o file binari noti. Questo tipo di attacco può consentire all'utente malintenzionato di accedere al sistema host. Questi processi sono identificati come potenziali minacce in base ai dati di intelligence. Se viene rilevato un tentativo di container escape, potrebbe indicare che un utente malintenzionato sta sfruttando le vulnerabilità per uscire dal container. Di conseguenza, l'utente malintenzionato potrebbe ottenere l'accesso non autorizzato al sistema host o all'infrastruttura più ampia, compromettendo l'intero ambiente. |
| Execution: Fileless Execution in /memfd: | CLOUD_RUN_FILELESS_EXECUTION_DETECTION_MEMFD |
È stato eseguito un processo utilizzando un descrittore del file in memoria. Un processo avviato da un file in memoria potrebbe indicare che un aggressore sta tentando di aggirare altri metodi di rilevamento per eseguire codice dannoso. |
| Esecuzione: esecuzione dello strumento di attacco Kubernetes | CLOUD_RUN_KUBERNETES_ATTACK_TOOL_EXECUTION |
Nell'ambiente è stato eseguito uno strumento di attacco specifico di Kubernetes, il che può indicare che un aggressore sta prendendo di mira i componenti del cluster Kubernetes. Questi strumenti di attacco sono identificati come potenziali minacce in base ai dati di intelligence. Se uno strumento di attacco viene eseguito all'interno dell'ambiente Kubernetes, ciò può suggerire che un utente malintenzionato ha ottenuto l'accesso al cluster e sta utilizzando lo strumento per sfruttare vulnerabilità o configurazioni specifiche di Kubernetes. |
| Esecuzione: esecuzione degli strumenti di ricognizione locale | CLOUD_RUN_LOCAL_RECONNAISSANCE_TOOL_EXECUTION |
È stato eseguito uno strumento di ricognizione locale non associato in genere al container o all'ambiente, il che suggerisce un tentativo di raccogliere informazioni interne sul sistema. Questi strumenti di ricognizione sono identificati come potenziali minacce in base ai dati di intelligence. Se viene eseguito uno strumento di ricognizione, ciò suggerisce che l'autore dell'attacco potrebbe tentare di mappare l'infrastruttura, identificare le vulnerabilità o raccogliere dati sulle configurazioni di sistema per pianificare i passaggi successivi. |
| Esecuzione: Python dannoso eseguito | CLOUD_RUN_MALICIOUS_PYTHON_EXECUTED |
Un modello di machine learning ha identificato il codice Python specificato come dannoso. Gli aggressori possono utilizzare Python per trasferire strumenti o altri file da un sistema esterno a un ambiente compromesso ed eseguire comandi senza file binari. Il rilevatore utilizza tecniche di NLP per valutare i contenuti del codice Python eseguito. Poiché questo approccio non si basa sulle firme, i rilevatori possono identificare codice Python noto e nuovo. |
| Esecuzione: file binario dannoso modificato eseguito | CLOUD_RUN_MODIFIED_MALICIOUS_BINARY_EXECUTED |
È stato eseguito un programma binario che soddisfa le seguenti condizioni:
Se viene eseguito un file binario dannoso modificato, è un forte segnale che un utente malintenzionato ha il controllo del workload e sta eseguendo software dannoso. |
| Esecuzione: Libreria dannosa modificata caricata | CLOUD_RUN_MODIFIED_MALICIOUS_LIBRARY_LOADED |
È stata caricata una libreria che soddisfa le seguenti condizioni:
Se viene caricata una libreria dannosa modificata, è un forte segnale che un utente malintenzionato ha il controllo del workload e sta eseguendo software dannoso. |
| Esecuzione: Skill dannosa modificata eseguita | CLOUD_RUN_MODIFIED_MALICIOUS_SKILL_EXECUTED |
È stata eseguita una skill che soddisfa le seguenti condizioni:
Se viene eseguita una skill dannosa modificata, è un forte segnale che un utente malintenzionato ha il controllo del workload e sta eseguendo software dannoso. |
| Esecuzione: Skill dannosa modificata caricata | CLOUD_RUN_MODIFIED_MALICIOUS_SKILL_LOADED |
È stata caricata una skill che soddisfa le seguenti condizioni:
Se viene caricata una skill dannosa modificata, è un forte segnale che un utente malintenzionato ha il controllo del workload e sta eseguendo software dannoso. |
| Esecuzione: esecuzione di codice da remoto Netcat nel container | CLOUD_RUN_NETCAT_REMOTE_CODE_EXECUTION_IN_CONTAINER |
Netcat, un'utilità di networking versatile, è stata eseguita nell'ambiente del container, il che potrebbe indicare un tentativo di stabilire un accesso remoto non autorizzato o di esfiltrare dati. L'utilizzo di Netcat in un ambiente containerizzato potrebbe indicare il tentativo di un utente malintenzionato di creare una reverse shell, consentire il movimento laterale o eseguire comandi arbitrari, il che può compromettere l'integrità del sistema. |
| Esecuzione: possibile esecuzione di comandi arbitrari tramite CUPS (CVE-2024-47076) | CLOUD_RUN_POSSIBLE_ARBITRARY_COMMAND_EXECUTION_THROUGH_CUPS |
Questa regola rileva il processo |
| Execution: Possibile esecuzione di comando remoto rilevata | CLOUD_RUN_POSSIBLE_REMOTE_COMMAND_EXECUTION_DETECTED |
È stato rilevato un processo che genera comandi UNIX comuni tramite una connessione socket di rete, il che indica un potenziale tentativo di stabilire funzionalità di esecuzione di comandi remoti non autorizzate. Gli utenti malintenzionati utilizzano spesso tecniche che simulano le reverse shell per ottenere il controllo interattivo di un sistema compromesso, consentendo loro di eseguire comandi arbitrari da remoto e bypassare le misure di sicurezza di rete standard, come le limitazioni del firewall. Il rilevamento dell'esecuzione di comandi su un socket è un forte indicatore di accesso remoto dannoso. |
| Esecuzione: esecuzione del programma con ambiente proxy HTTP non consentito | CLOUD_RUN_PROGRAM_RUN_WITH_DISALLOWED_HTTP_PROXY_ENV |
È stato eseguito un programma con una variabile di ambiente proxy HTTP non consentita. Ciò può indicare un tentativo di aggirare i controlli di sicurezza, reindirizzare il traffico per scopi dannosi o esfiltrare dati tramite canali non autorizzati. Gli utenti malintenzionati potrebbero configurare proxy HTTP non consentiti per intercettare informazioni sensibili, instradare il traffico attraverso server dannosi o stabilire canali di comunicazione nascosti. Rilevare l'esecuzione di programmi con queste variabili di ambiente è fondamentale per mantenere la sicurezza di rete e prevenire le violazioni dei dati. |
| Execution: Rilevata reverse shell Socat | CLOUD_RUN_SOCAT_REVERSE_SHELL_DETECTED |
Il comando
Questa regola rileva l'esecuzione di |
| Esecuzione: Oggetto condiviso OpenSSL sospetto caricato | CLOUD_RUN_SUSPICIOUS_OPENSSL_SHARED_OBJECT_LOADED |
OpenSSL è stato eseguito per caricare un oggetto condiviso personalizzato. Gli utenti malintenzionati potrebbero caricare librerie personalizzate e sostituire le librerie esistenti utilizzate da OpenSSL per eseguire codice dannoso. Il suo utilizzo in produzione è insolito e dovrebbe richiedere un'indagine immediata. |
| Esfiltrazione: Avvia strumenti di copia file remoti nel container | CLOUD_RUN_LAUNCH_REMOTE_FILE_COPY_TOOLS_IN_CONTAINER |
È stata rilevata l'esecuzione di uno strumento di copia di file remoti all'interno del container, che indica una potenziale esfiltrazione di dati, un movimento laterale o il deployment di payload dannosi. Gli aggressori spesso utilizzano questi strumenti per trasferire dati sensibili all'esterno del container, spostarsi lateralmente all'interno della rete per compromettere altri sistemi o introdurre malware per ulteriori attività dannose. Il rilevamento dell'utilizzo di strumenti di copia di file remoti è fondamentale per prevenire violazioni dei dati, accessi non autorizzati e ulteriori compromissioni del container e potenzialmente del sistema host. |
| Impatto: Rileva cmdline dannose | CLOUD_RUN_DETECT_MALICIOUS_CMDLINES |
È stato eseguito un comando con argomenti noti per essere potenzialmente distruttivi, ad esempio tentativi di eliminare file di sistema critici o modificare configurazioni relative alle password. Gli utenti malintenzionati potrebbero eseguire righe di comando dannose per causare instabilità del sistema, impedire il ripristino eliminando file essenziali o ottenere l'accesso non autorizzato manipolando le credenziali utente. Il rilevamento di questi pattern di comandi specifici è fondamentale per prevenire un impatto significativo sul sistema. |
| Impatto: rimuovi dati collettivi dal disco | CLOUD_RUN_REMOVE_BULK_DATA_FROM_DISK |
È stato rilevato un processo che esegue operazioni di eliminazione di dati in blocco, il che potrebbe indicare un tentativo di cancellare prove, interrompere i servizi o eseguire un attacco di cancellazione dei dati all'interno dell'ambiente container. Gli utenti malintenzionati potrebbero rimuovere grandi volumi di dati per coprire le proprie tracce, sabotare le operazioni o prepararsi all'implementazione di ransomware. Il rilevamento di queste attività aiuta a identificare potenziali minacce prima che si verifichi una perdita di dati critici. |
| Impatto: attività sospetta di mining di criptovalute mediante il protocollo Stratum | CLOUD_RUN_SUSPICIOUS_CRYPTO_MINING_ACTIVITY_USING_STRATUM_PROTOCOL |
È stato rilevato un processo che comunica tramite il protocollo Stratum, di uso comune nel software di mining di criptovalute. Questa attività suggerisce potenziali operazioni di mining non autorizzate all'interno dell'ambiente del container. Gli utenti malintenzionati spesso implementano miner di criptovalute per sfruttare le risorse di sistema per ottenere un guadagno finanziario, il che comporta un peggioramento delle prestazioni, un aumento dei costi operativi e potenziali rischi per la sicurezza. Il rilevamento di queste attività contribuisce a mitigare l'abuso delle risorse e l'accesso non autorizzato. |
| Script dannoso eseguito | CLOUD_RUN_MALICIOUS_SCRIPT_EXECUTED |
Un modello di machine learning ha identificato il codice Bash specificato come dannoso. Gli utenti malintenzionati possono utilizzare Bash per trasferire strumenti o altri file da un sistema esterno a un ambiente compromesso ed eseguire comandi senza file binari. Il rilevatore utilizza tecniche di NLP per valutare i contenuti del codice Bash eseguito. Poiché questo approccio non si basa sulle firme, i rilevatori possono identificare il codice Bash dannoso noto e nuovo. |
| Rilevato URL dannoso | CLOUD_RUN_MALICIOUS_URL_OBSERVED |
Cloud Run Threat Detection ha osservato un URL dannoso nell'elenco di argomenti di un processo in esecuzione. Il rilevatore confronta gli URL osservati nell'elenco di argomenti dei processi in esecuzione con gli elenchi di risorse web non sicure gestiti dal servizio Navigazione sicura di Google. Se un URL viene classificato erroneamente come sito di phishing o malware, segnalalo nella pagina Segnalazione di dati errati. |
| Escalation dei privilegi: abuso di sudo per l'escalation dei privilegi (CVE-2019-14287) | CLOUD_RUN_ABUSE_SUDO_FOR_PRIVILEGE_ESCALATION |
Questa regola rileva un tentativo di sfruttare CVE-2019-14287, una vulnerabilità che consente l'escalation dei privilegi abusando del comando |
| Escalation dei privilegi: vulnerabilità di escalation dei privilegi locali di Polkit (CVE-2021-4034) | CLOUD_RUN_POLKIT_LOCAL_PRIVILEGE_ESCALATION_VULNERABILITY |
Un utente non root ha eseguito
Questa regola rileva un tentativo di sfruttare una vulnerabilità di escalation dei privilegi (CVE-2021-4034) in |
| Escalation dei privilegi: Potenziale escalation dei privilegi sudo (CVE-2021-3156) | CLOUD_RUN_SUDO_POTENTIAL_PRIVILEGE_ESCALATION |
Un utente non root ha eseguito
Rileva un tentativo di sfruttare una vulnerabilità che interessa |
| Reverse shell | CLOUD_RUN_REVERSE_SHELL |
Un processo avviato con il reindirizzamento dello stream a un socket connesso remoto. Il rilevatore cerca Con una reverse shell, un aggressore può comunicare da un workload compromesso a una macchina controllata dall'aggressore. L'utente malintenzionato può quindi controllare il workload, ad esempio come parte di una botnet. |
| Shell secondaria imprevista | CLOUD_RUN_UNEXPECTED_CHILD_SHELL |
Un processo che normalmente non richiama shell ha generato un processo di shell. Il rilevatore monitora tutte le esecuzioni dei processi. Quando viene richiamata una shell, il rilevatore genera un risultato se è noto che il processo principale non richiama in genere le shell. |
Rilevatori del control plane
I seguenti rilevatori del control plane sono disponibili tramite Event Threat Detection. Questi rilevatori sono attivi per impostazione predefinita. Questi rilevatori vengono gestiti allo stesso modo degli altri rilevatori di Event Threat Detection. Per saperne di più, consulta Utilizza Event Threat Detection.
| Nome visualizzato | Nome API | Tipi di origini log | Descrizione |
|---|---|---|---|
| Impatto: comandi di cryptomining | CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS |
Cloud Audit Logs: Audit log degli eventi di sistema IAM |
Durante l'esecuzione, a un job Cloud Run sono stati allegati comandi di cryptomining specifici. Per impostazione predefinita, i risultati sono classificati con gravità Alta. |
| Esecuzione: immagine Docker per il cryptomining | CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES |
Cloud Audit Logs: Audit log degli eventi di sistema IAM |
Immagini Docker non valide note specifiche sono state collegate a un servizio o job Cloud Run nuovo o esistente. Per impostazione predefinita, i risultati sono classificati con gravità Alta. |
| Escalation dei privilegi: SetIAMPolicy del service account Compute Engine predefinito | CLOUD_RUN_SERVICES_SET_IAM_POLICY |
Cloud Audit Logs: Log delle attività di amministrazione |
Il account di servizio Compute Engine predefinito è stato utilizzato per impostare la policy IAM per un servizio Cloud Run. Questa è una potenziale azione post-exploit quando un token Compute Engine viene compromesso da un servizio serverless. I risultati sono classificati come di gravità Bassa per impostazione predefinita. |
Passaggi successivi
- Scopri come utilizzare Cloud Run Threat Detection.
- Scopri come testare Cloud Run Threat Detection.
- Scopri come utilizzare Event Threat Detection.
- Scopri come rispondere ai risultati delle minacce di Cloud Run.
- Consulta l'indice dei risultati delle minacce.