Execução: execução da ferramenta de ataque do Kubernetes

Este documento descreve um tipo de deteção de ameaças no Security Command Center. As conclusões de ameaças são geradas por detetores de ameaças quando detetam uma potencial ameaça nos seus recursos da nuvem. Para ver uma lista completa das deteções de ameaças disponíveis, consulte o Índice de deteções de ameaças.

Vista geral

Um processo executou uma ferramenta de ataque do Kubernetes na carga de trabalho agêntica. Isto indica uma potencial tentativa de explorar vulnerabilidades no ambiente do Kubernetes. Os atacantes usam frequentemente estas ferramentas para aumentar os privilégios, realizar o movimento lateral ou comprometer outros recursos no cluster.

A gravidade desta descoberta é Critical. Este evento sugere uma tentativa deliberada de obter controlo sobre os componentes do Kubernetes, como o servidor API, os nós ou as cargas de trabalho. Os atacantes podem usar estas ferramentas para contornar os controlos de segurança, manipular configurações ou roubar dados confidenciais.

A deteção de ameaças do motor do agente é a origem desta descoberta.

Como responder

Para responder a esta descoberta, faça o seguinte:

Reveja os detalhes da descoberta

  1. Abra a descoberta Execution: Kubernetes Attack Tool Execution conforme indicado em Rever descobertas. Reveja os detalhes nos separadores Resumo e JSON.

  2. No separador Resumo, reveja as informações nas seguintes secções:

    • O que foi detetado, especialmente os seguintes campos:
      • Binário do programa: o caminho absoluto do binário executado
      • Argumentos: os argumentos transmitidos durante a execução binária
    • Recurso afetado, especialmente os seguintes campos:

  3. No separador JSON, tenha em atenção os seguintes campos:

    • resource:
      • project_display_name: o nome do projeto que contém o agente de IA afetado
    • finding:
      • processes:
        • binary:
        • path: o caminho completo do ficheiro binário executado
      • args: os argumentos que foram fornecidos quando o ficheiro binário foi executado

  4. Identifique outras conclusões que ocorreram numa altura semelhante para o agente de IA afetado. As conclusões relacionadas podem indicar que esta atividade foi maliciosa, em vez de uma falha no seguimento das práticas recomendadas.

  5. Reveja as definições do agente de IA afetado.

  6. Verifique os registos do agente de IA afetado.

Investigue métodos de ataque e resposta

  1. Reveja a entrada da framework MITRE ATT&CK para este tipo de descoberta: Obtain Capabilities: Tool.
  2. Para desenvolver um plano de resposta, combine os resultados da sua investigação com a investigação da MITRE.

Implemente a sua resposta

Para recomendações de respostas, consulte o artigo Responda a conclusões de ameaças de IA.

O que se segue?