Execução: execução de ferramenta de ataque do Kubernetes

Este documento descreve um tipo de descoberta de ameaças no Security Command Center. Essas descobertas são geradas por detectores de ameaças quando detectam um risco nos recursos da nuvem. Para ver uma lista completa, consulte Índice de descobertas de ameaças.

Visão geral

Um processo executou uma ferramenta de ataque ao Kubernetes na carga de trabalho do agente. Isso indica uma possível tentativa de explorar vulnerabilidades no ambiente do Kubernetes. Os invasores costumam usar essas ferramentas para escalonar privilégios, realizar movimentos laterais ou comprometer outros recursos no cluster.

A gravidade desta descoberta é Critical. Esse evento sugere uma tentativa deliberada de assumir o controle dos componentes do Kubernetes, como o servidor da API, nós ou cargas de trabalho. Os invasores podem usar essas ferramentas para burlar controles de segurança, manipular configurações ou exfiltrar dados sensíveis.

O Agent Engine Threat Detection é a origem dessa descoberta.

Como responder

Para responder a essa descoberta:

Analisar os detalhes da descoberta

  1. Abra a descoberta Execution: Kubernetes Attack Tool Execution, conforme explicado em Analisar uma descoberta. Confira os detalhes nas guias Resumo e JSON.

  2. Na guia Resumo, confira as informações nas seções abaixo.

    • O que foi detectado, especialmente os seguintes campos:
      • Binário do programa: o caminho absoluto do binário executado
      • Argumentos: os argumentos transmitidos durante a execução do binário.
    • Recurso afetado, especialmente os seguintes campos:

  3. Na guia JSON, observe os campos a seguir:

    • resource:
      • project_display_name: o nome do projeto que contém o agente de IA afetado
    • finding:
      • processes:
        • binary:
        • path: o caminho completo do binário executado.
      • args: os argumentos fornecidos quando o binário foi executado.

  4. Identifique outras descobertas que ocorreram em um momento semelhante para o agente de IA afetado. As descobertas relacionadas podem indicar que essa atividade era mal-intencionada, e não uma falha em seguir as práticas recomendadas.

  5. Revise as configurações do agente de IA afetado.

  6. Verifique os registros do agente de IA afetado.

Pesquisar métodos de ataque e resposta

  1. Revise a entrada do framework MITRE ATT&CK para esse tipo de descoberta: Obter recursos: ferramenta.
  2. Para desenvolver um plano de resposta, combine os resultados da investigação com a pesquisa do MITRE.

Implementar a resposta

Para recomendações de resposta, consulte Responder a descobertas de ameaças de IA.

A seguir