סקירה כללית על זיהוי איומים במכונות וירטואליות

חבילות השירות Premium ו-Enterprise

חבילת השירות Enterprise של Security Command Center תיסגר ב-21 במאי 2027. אם הארגון שלכם משתמש ברמת השירות Enterprise, הארגון יעבור אוטומטית לרמת השירות Premium ב-21 במאי 2027 או אחרי התאריך הזה. אם יש לכם שאלות, אתם יכולים לפנות לנציג החשבון או לGoogle Cloud מומחה מכירות.

בדף הזה מוסבר על זיהוי איומים במכונות וירטואליות.

סקירה כללית

זיהוי איומים במכונות וירטואליות הוא שירות מובנה של Security Command Center. השירות הזה סורק מכונות וירטואליות כדי לזהות אפליקציות שעלולות להיות זדוניות, כמו תוכנות לכריית מטבעות קריפטוגרפיים, ערכות כלים לרוט במצב ליבה ותוכנות זדוניות שפועלות בסביבות ענן שנפרצו.

זיהוי איומים במכונות וירטואליות הוא חלק מחבילת זיהוי האיומים של Security Command Center, והוא נועד להשלים את היכולות הקיימות של Event Threat Detection ושל Container Threat Detection.

הממצאים של זיהוי איומים במכונות וירטואליות הם איומים ברמת חומרה גבוהה, ומומלץ לתקן אותם באופן מיידי. אפשר לראות את הממצאים של VM Threat Detection ב-Security Command Center.

בארגונים שנרשמו ל-Security Command Center Premium, הסריקות של VM Threat Detection מופעלות באופן אוטומטי. במקרה הצורך, אפשר להשבית את השירות או להפעיל אותו ברמת הפרויקט. מידע נוסף זמין במאמר הפעלה או השבתה של זיהוי איומים במכונות וירטואליות.

איך פועלת התכונה 'זיהוי איומים במכונות וירטואליות'

התכונה 'זיהוי איומים במכונות וירטואליות' היא שירות מנוהל שסורק פרויקטים ומכונות וירטואליות (VM) של Compute Engine כדי לזהות אפליקציות זדוניות פוטנציאליות שפועלות במכונות וירטואליות, כמו תוכנות לכריית מטבעות קריפטוגרפיים וערכות כלים לרוטקיט במצב ליבה.

באיור הבא מוצגת המחשה פשוטה של האופן שבו מנוע הניתוח של VM Threat Detection קולט מטא-נתונים מזיכרון האורח של מכונה וירטואלית וכותב ממצאים ב-Security Command Center.

נתיב נתונים פשוט יותר לזיהוי איומים במכונות וירטואליות

התכונה 'זיהוי איומים במכונות וירטואליות' מובנית ב-hypervisor של Google Cloud, פלטפורמה מאובטחת שיוצרת ומנהלת את כל המכונות הווירטואליות ב-Compute Engine.

התכונה 'זיהוי איומים במכונה וירטואלית' מבצעת סריקות מעת לעת מההיפר-ויז'ור אל הזיכרון של מכונה וירטואלית אורחת שפועלת, בלי להשהות את הפעולה של האורחת. הוא גם סורק מעת לעת שיבוטים של דיסקים. מכיוון שהשירות הזה פועל מחוץ למכונה הווירטואלית המתארחת, הוא לא דורש סוכנים מתארחים או הגדרה מיוחדת של מערכת ההפעלה המתארחת, והוא עמיד בפני אמצעי נגד שמשמשים תוכנות זדוניות מתוחכמות. לא נעשה שימוש במחזורי CPU במכונה הווירטואלית של האורח, ואין צורך בקישוריות לרשת. צוותי האבטחה לא צריכים לעדכן חתימות או לנהל את השירות.

איך פועל זיהוי של כריית מטבעות וירטואליים

התכונה 'זיהוי איומים במכונות וירטואליות' מבוססת על כללי זיהוי איומים של Google Cloud. היא מנתחת מידע על תוכנות שפועלות במכונות וירטואליות, כולל רשימה של שמות אפליקציות, שימוש במעבד לכל תהליך, גיבוב של דפי זיכרון, מוני ביצועים של חומרת המעבד ומידע על קוד מכונה שהופעל. המטרה היא לקבוע אם יש אפליקציה שתואמת לחתימות ידועות של כריית מטבעות קריפטוגרפיים. כשמתאפשר, התכונה 'זיהוי איומים במכונה וירטואלית' קובעת את התהליך הפעיל שמשויך להתאמות החתימה שזוהו, וכוללת מידע על התהליך הזה בממצא.

איך פועל זיהוי של רוטקיט במצב ליבה

התכונה 'זיהוי איומים במכונה וירטואלית' מסיקה את סוג מערכת ההפעלה שפועלת במכונה הווירטואלית, ומשתמשת במידע הזה כדי לקבוע את קוד הליבה, את האזורים הגיאוגרפיים לאחסון נתונים לקריאה בלבד ומבני נתונים אחרים של הליבה בזיכרון. התכונה 'זיהוי איומים במכונה וירטואלית' משתמשת בטכניקות שונות כדי לקבוע אם בוצעו שינויים באזורים האלה. היא עושה זאת על ידי השוואה שלהם לגיבובים (hash) שחושבו מראש וצפויים לתמונת הליבה, ועל ידי אימות השלמות של מבני נתונים חשובים של הליבה.

איך פועל זיהוי תוכנות זדוניות

התכונה 'זיהוי איומים במכונות וירטואליות' יוצרת שיבוטים לזמן קצר של הדיסק הקבוע של המכונה הווירטואלית, בלי לשבש את עומסי העבודה, וסורקת את השיבוטים של הדיסק. השירות הזה מנתח קבצים הפעלה במכונה הווירטואלית כדי לקבוע אם יש קבצים שתואמים לחתימות של תוכנות זדוניות מוכרות. התג generated finding מכיל מידע על הקובץ ועל חתימות התוכנות הזדוניות שזוהו.

תכונות של מרובה עננים

תצוגה מקדימה

השימוש בתכונה הזו כפוף לתנאי השימוש במוצרים בגרסת טרום-GA, שמפורטים בחלק "תנאי שירות הכלליים" בתנאים הספציפיים של השירות. השימוש בתכונות בגרסת טרום-GA הוא "כפי שהן" (As is), ויכול להיות שהתמיכה בהן תהיה מוגבלת. מידע נוסף זמין בקטע תיאור שלבי ההשקה.

בנוסף ל- Google Cloud, זיהוי תוכנות זדוניות זמין גם למכונות וירטואליות ב-Amazon Elastic Compute Cloud‏ (EC2).

כדי לסרוק מכונות וירטואליות ב-AWS, אתם צריכים להיות לקוחות של Security Command Center Enterprise, ולפני כן להפעיל את VM Threat Detection for AWS.

אפשר להפעיל את התכונה הזו רק ברמת הארגון. במהלך הסריקה, התכונה 'זיהוי איומים במכונות וירטואליות' משתמשת במשאבים גם ב- Google Cloud וגם ב-AWS.

תדירות הסריקה

בסריקת הזיכרון, התכונה 'זיהוי איומים במכונות וירטואליות' סורקת כל מופע של מכונה וירטואלית מיד אחרי שהמופע נוצר. בנוסף, התכונה 'זיהוי איומים במכונות וירטואליות' סורקת כל מכונה וירטואלית כל 30 דקות.

• לזיהוי כריית מטבעות קריפטוגרפיים, התכונה 'זיהוי איומים במכונות וירטואליות' יוצרת ממצא אחד לכל תהליך, לכל מכונה וירטואלית, לכל יום. כל ממצא כולל רק את האיומים שמשויכים לתהליך שמזוהה על ידי הממצא. אם התכונה 'זיהוי איומים במכונות וירטואליות' מוצאת איומים אבל לא מצליחה לשייך אותם לאף תהליך, היא מקבצת את כל האיומים שלא שויכו לממצא יחיד לכל מכונה וירטואלית, ומפיקה אותו פעם אחת בכל תקופה של 24 שעות. אם יש איומים שנמשכים יותר מ-24 שעות, התכונה 'זיהוי איומים במכונות וירטואליות' יוצרת ממצאים חדשים פעם ב-24 שעות.
• לזיהוי של Rootkit במצב ליבה, התכונה 'זיהוי איומים במכונות וירטואליות' יוצרת ממצא אחד לכל קטגוריה, לכל מכונה וירטואלית, כל שלושה ימים.

לסריקת דיסקים קבועים, שמזהה את נוכחותן של תוכנות זדוניות ידועות, התכונה 'זיהוי איומים במכונות וירטואליות' סורקת כל מכונה וירטואלית לפחות פעם ביום.

אם מפעילים את המסלול Premium של Security Command Center, הסריקות של VM Threat Detection מופעלות באופן אוטומטי. במקרה הצורך, אפשר להשבית את השירות או להפעיל אותו ברמת הפרויקט. מידע נוסף זמין במאמר הפעלה או השבתה של זיהוי איומים במכונות וירטואליות.

ממצאים

בקטע הזה מוסבר על הממצאים שקשורים לאיומים שנוצרים על ידי זיהוי איומים במכונות וירטואליות.

התכונה 'זיהוי איומים במכונות וירטואליות' כוללת את זיהויי האיומים הבאים.

ממצאים של איומים שקשורים לכריית מטבעות וירטואליים

התכונה 'זיהוי איומים במכונות וירטואליות' מזהה את קטגוריות הממצאים הבאות באמצעות התאמת hash או כללי YARA.

ממצאים של זיהוי איומים במכונות וירטואליות בנושא איומים של כריית מטבעות וירטואליים

קטגוריה	יחידת לימוד	תיאור
Execution: Cryptocurrency Mining Hash Match	CRYPTOMINING_HASH	התאמה בין גיבובים של זיכרון של תוכניות שפועלות לבין גיבובים ידועים של זיכרון של תוכנות לכריית מטבעות וירטואליים. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.
Execution: Cryptocurrency Mining YARA Rule	CRYPTOMINING_YARA	התאמה לדפוסי זיכרון, כמו קבועים של הוכחת עבודה, שידוע שהם בשימוש בתוכנות לכריית מטבעות קריפטוגרפיים. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.
Execution: Cryptocurrency Mining Combined Detection	CRYPTOMINING_HASH CRYPTOMINING_YARA	מזהה איום שזוהה על ידי המודולים CRYPTOMINING_HASH ו-CRYPTOMINING_YARA. מידע נוסף זמין במאמר Combined detections. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.

ממצאים לגבי איומים של ערכות Rootkit במצב ליבה

התכונה 'זיהוי איומים במכונה וירטואלית' מנתחת את תקינות הליבה בזמן הריצה כדי לזהות טכניקות התחמקות נפוצות שמשמשות תוכנות זדוניות.

מודול KERNEL_MEMORY_TAMPERING מזהה איומים באמצעות השוואת גיבוב בקוד הליבה ובזיכרון הנתונים לקריאה בלבד של הליבה במכונה וירטואלית.

מודול KERNEL_INTEGRITY_TAMPERING מזהה איומים על ידי בדיקת התקינות של מבני נתונים חשובים בקרנל.

ממצאים של איומים מסוג rootkit במצב ליבה של מכונה וירטואלית

קטגוריה	יחידת לימוד	תיאור
Rootkit
Defense Evasion: Rootkit	KERNEL_MEMORY_TAMPERING KERNEL_INTEGRITY_TAMPERING	קיימת קומבינציה של אותות שתואמת לרוטקיט ידוע במצב ליבה. כדי לקבל ממצאים מהקטגוריה הזו, צריך לוודא ששני המודולים מופעלים. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.
שיבוש של זיכרון הליבה
Defense Evasion: Unexpected kernel read-only data modification	KERNEL_MEMORY_TAMPERING	קיימים שינויים לא צפויים בזיכרון הנתונים לקריאה בלבד של ליבת המערכת. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.
שיבוש תקינות הליבה
Defense Evasion: Unexpected ftrace handler	KERNEL_INTEGRITY_TAMPERING	‫ftrace points are present with callbacks pointing to regions that are not in the expected kernel or module code range. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.
Defense Evasion: Unexpected interrupt handler	KERNEL_INTEGRITY_TAMPERING	קיימים רכיבי handler של הפרעות שלא נמצאים באזורי הקוד של הליבה או המודול הצפויים. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.
Defense Evasion: Unexpected kernel modules	KERNEL_INTEGRITY_TAMPERING	קיימים דפי קוד של ליבת המערכת שלא נמצאים באזורי הקוד של ליבת המערכת או המודול הצפויים. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.
Defense Evasion: Unexpected kprobe handler	KERNEL_INTEGRITY_TAMPERING	‫kprobe points are present with callbacks pointing to regions that are not in the expected kernel or module code range. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.
Defense Evasion: Unexpected processes in runqueue	KERNEL_INTEGRITY_TAMPERING	קיימים תהליכים לא צפויים בתור ההמתנה של מתזמן הפעולות. תהליכים כאלה נמצאים בתור להרצה, אבל לא ברשימת משימות התהליך. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.
Defense Evasion: Unexpected system call handler	KERNEL_INTEGRITY_TAMPERING	קיימים מטפלים בשיחות במערכת שלא נמצאים באזורים הצפויים של קוד הליבה או המודול. כברירת מחדל, הממצאים מסווגים כבעלי חומרה גבוהה.

ממצאים לגבי איומים של תוכנות זדוניות

התכונה 'זיהוי איומים במכונות וירטואליות' סורקת את הדיסק הקבוע של מכונה וירטואלית כדי לזהות תוכנות זדוניות ידועות, ומזהה את קטגוריות הממצאים הבאות.

ממצאים של איומים על תוכנות זדוניות ב-VM Threat Detection

קטגוריה	יחידת לימוד	תיאור	ספק שירותי ענן נתמך
Malware: Malicious file on disk	MALWARE_DISK_SCAN_YARA_AWS	סורק דיסקים קבועים במכונות וירטואליות של Amazon EC2 ומזהה חתימות שמשמשות תוכנות זדוניות מוכרות. הממצאים מסווגים כחומרה בינונית כברירת מחדל.	AWS
Malware: Malicious file on disk (YARA)	MALWARE_DISK_SCAN_YARA	סורקת דיסקים לאחסון מתמיד במכונות וירטואליות ב-Compute Engine ומתאימה חתימות שמשמשות תוכנות זדוניות מוכרות. הממצאים מסווגים כחומרה בינונית כברירת מחדל.	Google Cloud

סריקת מכונות וירטואליות בהיקפי אבטחה של VPC Service Controls

כדי ש-VM Threat Detection יוכל לסרוק מכונות וירטואליות באזורים של VPC Service Controls, צריך להוסיף כללי תעבורת נתונים נכנסת (ingress) ויוצאת (egress) בכל אזור שרוצים לסרוק. מידע נוסף זמין במאמר מתן גישה ל-VM Threat Detection לגבולות גזרה של VPC Service Controls.

מגבלות

התכונה 'זיהוי איומים במכונות וירטואליות' תומכת במכונות וירטואליות ב-Compute Engine, עם המגבלות הבאות:

• תמיכה מוגבלת במכונות וירטואליות של Windows:

  • לזיהוי כריית מטבעות קריפטוגרפיים, התכונה 'זיהוי איומים במכונות וירטואליות' מתמקדת בעיקר בקבצים בינאריים של Linux, והכיסוי שלה מוגבל לכריית מטבעות קריפטוגרפיים שפועלת ב-Windows.

  • לזיהוי של rootkit במצב ליבה, התכונה 'זיהוי איומים במכונה וירטואלית' תומכת רק במערכות הפעלה של Linux.

• אין תמיכה במכונות וירטואליות ב-Compute Engine שמשתמשות ב-Confidential VM. מכונות וירטואליות מסוג Confidential VM משתמשות בקריפטוגרפיה כדי להגן על התוכן של הזיכרון בזמן שהוא עובר אל יחידת העיבוד המרכזית וממנה. לכן, התכונה 'זיהוי איומים במכונות וירטואליות' לא יכולה לסרוק אותם.

• אין תמיכה במכונות וירטואליות שמשתמשות במעבדים מבוססי-Arm.

• מגבלות בסריקת הדיסק:

  • אין תמיכה בדיסקים קשיחים שמוצפנים באמצעות מפתחות הצפנה באספקת הלקוח (CSEK) או מפתחות הצפנה בניהול הלקוח (CMEK).

  • רק המחיצות vfat,‏ ext2 ו-ext4 נסרקות.

• כדי להשתמש ב-VM Threat Detection, הסוכן של Security Center Service צריך להיות מסוגל לרשום את מכונות ה-VM בפרויקטים ולשכפל את הדיסקים לפרויקטים בבעלות Google. חלק מההגבלות של מדיניות הארגון, כמו constraints/compute.storageResourceUseRestrictions, עלולות להפריע לפעולות כאלה. במקרה כזה, יכול להיות שהסריקה של התכונה 'זיהוי איומים במכונות וירטואליות' לא תפעל.

• התכונה 'זיהוי איומים במכונות וירטואליות' מסתמכת על היכולות של Google Cloudההיפרווייזר ושל Compute Engine. לכן, אי אפשר להפעיל את התכונה 'זיהוי איומים במכונות וירטואליות' בסביבות מקומיות או בסביבות אחרות של ענן ציבורי.

פרטיות ואבטחה

התכונה 'זיהוי איומים במכונות וירטואליות' ניגשת לשיבוטים של הדיסק ולזיכרון של מכונה וירטואלית פעילה לצורך ניתוח. השירות מנתח רק את מה שנדרש כדי לזהות איומים.

התוכן של הזיכרון של המכונה הווירטואלית ושל שיבוטי הדיסק משמש כקלט בצינור עיבוד הנתונים של ניתוח הסיכונים של זיהוי איומים במכונה הווירטואלית. הנתונים מוצפנים בזמן ההעברה ומעובדים על ידי מערכות אוטומטיות. במהלך העיבוד, הנתונים מוגנים על ידי מערכות בקרת האבטחה שלGoogle Cloud.

לצורך ניטור וניפוי באגים, התכונה 'זיהוי איומים במכונות וירטואליות' מאחסנת מידע בסיסי של אבחון וסטטיסטיקה על פרויקטים שהשירות מגן עליהם.

התכונה 'זיהוי איומים במכונות וירטואליות' סורקת את תוכן הזיכרון של המכונות הווירטואליות ואת השיבוטים של הדיסקים באזורים המתאימים. עם זאת, הממצאים והמטא-נתונים (כמו מספרי הפרויקט והארגון) שמתקבלים עשויים להיות מאוחסנים מחוץ לאזורים האלה.

מידע נוסף על האופן שבו Security Command Center מטפל בנתונים שלכם זמין במאמר סקירה כללית על אבטחת נתונים ותשתית.

המאמרים הבאים

• איך משתמשים בזיהוי איומים ב-VM
• איך מפעילים את התכונה 'זיהוי איומים במכונות וירטואליות' ב-AWS
• איך מאפשרים ל-VM Threat Detection לסרוק מכונות וירטואליות בגבולות גזרה של VPC Service Controls
• איך בודקים אם בוצע שינוי לא מורשה בזיכרון של ליבת מערכת ההפעלה במכונה וירטואלית
• איך מגיבים לממצאי איומים ב-Compute Engine
• אפשר לעיין באינדקס של ממצאי איומים.