ביצוע: פירצה בקונטיינר

במאמר הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

תהליך שפועל בתוך הקונטיינר הפעיל קובץ בינארי של כלי חשוד מוכר לפעילויות של יציאה מהקונטיינר. האינדיקטור הזה מציין ניסיון אפשרי לבריחה מהקונטיינר, שבו תהליך בתוך הקונטיינר מנסה לצאת מהבידוד ולקיים אינטראקציה עם מערכת המארח או עם קונטיינרים אחרים. זוהי בעיה ברמת חומרה גבוהה, כי היא מצביעה על כך שתוקף עשוי לנסות לקבל גישה מעבר לגבולות של המאגר, מה שעלול לפגוע במארח או בתשתית אחרת. בריחה מקונטיינרים יכולה לנבוע מהגדרות שגויות, מחולשות באתרי זמן ריצה של קונטיינרים או מניצול של קונטיינרים עם הרשאות.

Agent Platform Threat Detection הוא המקור של הממצא הזה.

איך מגיבים

כדי להגיב לממצא הזה:

בדיקת פרטי הממצא

  1. פותחים את הממצא Execution: Container Escape כמו שמתואר במאמר בדיקת הממצאים. בודקים את הפרטים בכרטיסיות סיכום וJSON.

  2. בכרטיסייה Summary (סיכום), בודקים את המידע בקטעים הבאים:

    • מה זוהה, במיוחד השדות הבאים:
      • קובץ בינארי של התוכנית: הנתיב המוחלט של הקובץ הבינארי שהופעל
      • ארגומנטים: הארגומנטים שמועברים במהלך ההפעלה של הקובץ הבינארי
    • המשאב המושפע, במיוחד השדות הבאים:

  3. בכרטיסייה JSON, שימו לב לשדות הבאים:

    • resource:
      • ‫project_display_name: שם הפרויקט שמכיל את סוכן ה-AI.
    • finding:
      • processes:
      • binary:
        • ‫path: הנתיב המלא של הקובץ הבינארי שהופעל.
      • ‫args: הארגומנטים שסופקו במהלך ההרצה של הקובץ הבינארי.

  4. זיהוי ממצאים אחרים שהתרחשו בזמן דומה אצל סוכן ה-AI המושפע. ממצאים קשורים עשויים להצביע על כך שהפעילות הייתה זדונית, ולא על אי-עמידה בשיטות המומלצות.

  5. בודקים את ההגדרות של סוכן ה-AI המושפע.

  6. בודקים את היומנים של סוכן ה-AI המושפע.

מחקר של שיטות התקפה ותגובה

  1. כדאי לעיין בערך של מסגרת MITRE ATT&CK לגבי סוג הממצא הזה: Escape to Host.
  2. כדי לפתח תוכנית תגובה, משלבים את תוצאות הבדיקה עם מחקר של MITRE.

יישום התשובה

המלצות לתשובות מופיעות במאמר תגובה לממצאי איומים מבוססי-AI.

המאמרים הבאים