ביצוע: הפעלת כלי סיור מקומי

במאמר הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

תהליך הפעיל כלי סיור מקומי בעומס העבודה של הסוכן. האירוע הזה מצביע על כך שתוקף פוטנציאלי אוסף מידע על סביבת עומס העבודה, כמו הגדרות רשת, תהליכים פעילים או מערכות קבצים שמוצמדות. תוקפים משתמשים בדרך כלל בסוג הזה של כלי בשלבים הראשונים של מתקפה כדי למפות יעדים פוטנציאליים ולזהות נקודות חולשה. זו בעיה ברמת חומרה בינונית, כי היא מצביעה על כך שהתוקף בודק באופן פעיל את עומס העבודה של ה-AI האקטיבי כדי למצוא הזדמנויות נוספות לניצול לרעה.

Agent Platform Threat Detection הוא המקור של הממצא הזה.

איך מגיבים

כדי להגיב לממצא הזה:

בדיקת פרטי הממצא

  1. פותחים את הממצא Execution: Local Reconnaissance Tool Execution לפי ההוראות שבקטע בדיקת הממצאים. בודקים את הפרטים בכרטיסיות סיכום וJSON.

  2. בכרטיסייה Summary (סיכום), בודקים את המידע בקטעים הבאים.

    • מה זוהה, במיוחד השדות הבאים:
      • קובץ בינארי של התוכנית: הנתיב המוחלט של הקובץ הבינארי שהופעל
      • ארגומנטים: הארגומנטים שמועברים במהלך ההפעלה של הקובץ הבינארי
    • המשאב המושפע, במיוחד השדות הבאים:

  3. בכרטיסייה JSON, שימו לב לשדות הבאים.

    • resource:
      • ‫project_display_name: שם הפרויקט שמכיל את סוכן ה-AI המושפע
    • finding:
      • processes:
        • binary:
        • ‫path: הנתיב המלא של הקובץ הבינארי שהופעל
      • ‫args: הארגומנטים שסופקו כשקובץ הבינארי הופעל

  4. זיהוי ממצאים אחרים שהתרחשו בזמן דומה אצל סוכן ה-AI המושפע. ממצאים קשורים עשויים להצביע על כך שהפעילות הייתה זדונית, ולא על אי-עמידה בשיטות המומלצות.

  5. בודקים את ההגדרות של סוכן ה-AI המושפע.

  6. בודקים את היומנים של סוכן ה-AI המושפע.

מחקר של שיטות התקפה ותגובה

  1. מעיינים ברשומה של מסגרת MITRE ATT&CK לגבי סוג הממצא הזה: Active Scanning (סריקה פעילה).
  2. כדי לפתח תוכנית תגובה, משלבים את תוצאות הבדיקה עם מחקר של MITRE.

יישום התשובה

המלצות לתשובות מופיעות במאמר תגובה לממצאי איומים מבוססי-AI.

המאמרים הבאים