ביצוע: נוספה הפעלה של מיומנות זדונית

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

תהליך הפעיל מיומנות זדונית שלא הייתה חלק מעומס העבודה המקורי של הסוכן. בדרך כלל, התוקפים מתקינים כלי ניצול ותוכנות זדוניות אחרי הפריצה הראשונית.

Agent Platform Threat Detection הוא המקור של הממצא הזה.

איך מגיבים

כדי להגיב לממצא הזה:

בדיקת פרטי הממצא

  1. פותחים את הממצא Execution: Added Malicious Skill Executed לפי ההוראות במאמר בדיקת ממצאים. בודקים את הפרטים בכרטיסיות סיכום וJSON.

  2. בכרטיסייה סיכום, בודקים את המידע בקטעים הבאים:

    • מה זוהה, במיוחד השדות הבאים:
      • מיומנות התוכנית: הנתיב המוחלט של המיומנות שנוספה
      • ארגומנטים: הארגומנטים שסופקו כשמפעילים את היכולת שנוספה
    • המשאב המושפע, במיוחד השדות הבאים:
    • קישורים רלוונטיים, במיוחד השדות הבאים:
      • אינדיקטור של VirusTotal: קישור לדף הניתוח של VirusTotal

  3. זיהוי ממצאים אחרים שהתרחשו בזמן דומה אצל סוכן ה-AI המושפע. ממצאים קשורים עשויים להצביע על כך שהפעילות הזו הייתה זדונית, ולא על כך שלא פעלת לפי השיטות המומלצות.

  4. בודקים את ההגדרות של סוכן ה-AI המושפע.

  5. בודקים את היומנים של סוכן ה-AI המושפע.

מחקר של שיטות התקפה ותגובה

  1. כדאי לעיין ברשומות של מסגרת MITRE ATT&CK לגבי סוג הממצא הזה: העברת כלי כניסה, Native API.
  2. כדי לבדוק את ערך הגיבוב (hash) ‏SHA-256 של הקובץ הבינארי שסומן כזדוני ב-VirusTotal, לוחצים על הקישור באינדיקטור של VirusTotal. ‫VirusTotal הוא שירות בבעלות Alphabet שמספק הקשר לגבי קבצים, כתובות URL, דומיינים וכתובות IP שעלולים להיות זדוניים.
  3. כדי לפתח תוכנית תגובה, משלבים את תוצאות החקירה עם המחקר של MITRE והניתוח של VirusTotal.

יישום התשובה

המלצות לתגובה מופיעות במאמר תגובה לממצאי איומים של AI.

המאמרים הבאים