Se cargó la biblioteca agregada

En este documento, se describe un tipo de hallazgo de amenazas en Security Command Center. Los detectores de amenazas generan hallazgos de amenazas cuando identifican una posible amenaza en tus recursos de Cloud. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.

Descripción general

Se cargó una biblioteca que no formaba parte de la imagen del contenedor original. Los atacantes podrían cargar bibliotecas maliciosas en programas existentes para omitir las protecciones de ejecución de código y ocultar código malicioso. Asegurarte de que tus contenedores sean inmutables es una práctica recomendada importante. Este es un hallazgo de gravedad baja, ya que es posible que tu organización no siga esta práctica recomendada. Se muestran hallazgos de Execution: Added Malicious Library Loaded correspondientes cuando el hash del objeto binario es un indicador de compromiso (IoC) conocido.

Container Threat Detection es la fuente de este hallazgo.

Cómo responder

Para responder a este hallazgo, sigue los siguientes pasos:

Paso 1: Revisa los detalles del hallazgo

  1. Abre un hallazgo de Added Library Loaded, como se indica en Revisa los hallazgos. Se abre el panel de detalles del hallazgo en la pestaña Resumen.

  2. En la pestaña Resumen, revisa la información de las siguientes secciones:

    • Qué se detectó, en especial los campos que se indican a continuación:
      • Objeto binario del programa: Es la ruta de acceso completa del objeto binario del proceso que cargó la biblioteca.
      • Libraries: Son los detalles sobre la biblioteca agregada.
      • Argumentos: Son los argumentos proporcionados cuando se invoca el objeto binario del proceso.
    • Recurso afectado, en especial, los campos que se indican a continuación:
    • Vínculos relacionados, en especial los siguientes campos:
      • Indicador de VirusTotal: Es el vínculo a la página de análisis de VirusTotal.

  3. Haz clic en la pestaña JSON y observa los siguientes campos:

    • resource:
      • project_display_name: Es el nombre del proyecto que contiene el recurso.
    • sourceProperties:
      • Pod_Namespace: Es el nombre del espacio de nombres de Kubernetes del Pod.
      • Pod_Name: Es el nombre del Pod de GKE.
      • Container_Name: Es el nombre del contenedor afectado.
      • Container_Image_Uri: Es el nombre de la imagen de contenedor que se ejecuta.
      • VM_Instance_Name: Es el nombre del nodo de GKE en el que se ejecutó el Pod.

  4. Identifica otros hallazgos que se produjeron en un momento similar para este contenedor. Los hallazgos relacionados pueden indicar que esta actividad fue maliciosa, en lugar de un incumplimiento de las prácticas recomendadas.

Paso 2: Revisa el clúster y el nodo

  1. En la consola de Google Cloud , accede a la página Clústeres de Kubernetes.

    Accede a Clústeres de Kubernetes

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Elige el clúster enumerado en resource.name. Toma nota de los metadatos sobre el clúster y su propietario.

  4. Haz clic en la pestaña Nodos. Elige el nodo que aparece en VM_Instance_Name.

  5. Haz clic en la pestaña Detalles y anota la anotación container.googleapis.com/instance_id.

Paso 3: Revisa el pod

  1. En la consola de Google Cloud , accede a la página de las Cargas de trabajo de Kubernetes.

    Ve a Cargas de trabajo en Kubernetes

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Si es necesario, filtra el clúster que aparece en la fila Nombre completo del recurso de la pestaña Resumen de los detalles del hallazgo y el espacio de nombres de Pod que aparece en Pod_Namespace.

  4. Elige el Pod que aparece en Pod_Name. Toma nota de los metadatos del Pod y su propietario.

Paso 4: Comprueba los registros

  1. En la consola de Google Cloud , ve al Explorador de registros.

    Accede al Explorador de registros

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Establece la opción Seleccionar un intervalo de tiempo en función del período de interés.

  4. En la página que se carga, haz sigue los siguientes pasos:

    1. Busca los registros de Pod para Pod_Name con el siguiente filtro:
      • resource.type="k8s_container"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • resource.labels.namespace_name="Pod_Namespace"
      • resource.labels.pod_name="Pod_Name"
    2. Busca los registros de auditoría del clúster con el filtro siguiente:
      • logName="projects/resource.project_display_name/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • Pod_Name
    3. Busca los registros de la consola de los nodos de GKE con el siguiente filtro:
      • resource.type="gce_instance"
      • resource.labels.instance_id="instance_id"

Paso 5: Investiga el contenedor en ejecución

Si el contenedor aún está en ejecución, se puede investigar directamente el entorno del contenedor.

  1. Accede a la consola de Google Cloud .

    Abre la consola de Google Cloud

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Haz clic en Activar Cloud Shell.

  4. Para obtener las credenciales de GKE de tu clúster, ejecuta los siguientes comandos.

    Para los clústeres zonales, sigue estos pasos:

      gcloud container clusters get-credentials cluster_name --zone location --project resource.project_display_name

    Para los clústeres regionales, sigue estos pasos:

      gcloud container clusters get-credentials cluster_name --region location --project resource.project_display_name

  5. Recupera la biblioteca agregada con la ejecución del siguiente comando:

      kubectl cp Pod_Namespace/Pod_Name: Added_Library_Fullpath -c Container_Name  local_file

    Reemplaza local_file por una ruta de archivo local para almacenar la biblioteca agregada.

  6. Conéctate al entorno del contenedor con la ejecución del siguiente comando:

      kubectl exec --namespace=Pod_Namespace -ti Pod_Name -c Container_Name -- /bin/sh

    Este comando requiere que el contenedor tenga una shell instalada en /bin/sh.

Paso 6: Investiga los métodos de ataque y respuesta

  1. Revisa las entradas del framework de MITRE ATT&CK para este tipo de hallazgo: Transferencia de herramientas de Ingress, módulos compartidos.
  2. Para comprobar el valor de hash SHA-256 del objeto binario marcado como malicioso en VirusTotal, haz clic en el vínculo del indicador de VirusTotal. VirusTotal es un servicio que es propiedad de Alphabet y proporciona contexto sobre archivos, URLs, dominios y direcciones IP potencialmente maliciosos.
  3. Para desarrollar un plan de respuesta, combina los resultados de la investigación con la investigación del MITRE y el análisis de VirusTotal.

Paso 7: Implementa la respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas en tu investigación para determinar la mejor manera de resolver los hallazgos.

  • Si la biblioteca se debía incluir en el contenedor, vuelve a compilar la imagen de contenedor con la biblioteca incluida. De esta manera, el contenedor puede ser inmutable.
  • De lo contrario, comunícate con el propietario del proyecto en el que se encuentra el contenedor vulnerado.
  • Detén o borra el contenedor comprometido y reemplázalo por un contenedor nuevo.

¿Qué sigue?