Execução: possível execução de comando remota detectada

Este documento descreve um tipo de descoberta de ameaças no Security Command Center. Essas descobertas são geradas por detectores de ameaças quando detectam um risco nos recursos da nuvem. Para ver uma lista completa, consulte Índice de descobertas de ameaças.

Visão geral

Um processo foi detectado gerando comandos comuns do UNIX por um soquete de rede, possivelmente emulando um shell reverso. Esse comportamento sugere uma tentativa de estabelecer acesso remoto não autorizado ao sistema, concedendo ao invasor a capacidade de executar comandos arbitrários como se estivesse interagindo diretamente com a máquina comprometida. Os adversários costumam usar shells reversos para ignorar as restrições de firewall e ganhar controle persistente sobre um destino. A detecção da execução de comandos iniciada por um soquete significa um risco de segurança significativo, porque permite uma ampla variedade de atividades maliciosas, incluindo exfiltração de dados, movimento lateral e mais exploração, tornando essa uma descoberta crítica que exige investigação imediata para identificar a origem da conexão e as ações realizadas.

A detecção de ameaças da plataforma do agente é a origem dessa descoberta.

Como responder

Para responder a essa descoberta:

Analisar os detalhes da descoberta

  1. Abra a descoberta Execution: Possible Remote Command Execution Detected, conforme explicado em Analisar uma descoberta. Confira os detalhes nas guias Resumo e JSON.

  2. Na guia Resumo, confira as informações nas seções abaixo.

    • O que foi detectado, especialmente os seguintes campos:
      • Binário do programa: o caminho absoluto do binário executado
      • Argumentos: os argumentos transmitidos durante a execução do binário.
    • Recurso afetado, especialmente os seguintes campos:

  3. Na guia JSON, observe os campos a seguir.

    • resource:
      • project_display_name: o nome do projeto que contém o recurso afetado do ambiente de execução do agente
    • finding:
      • processes:
        • binary:
        • path: o caminho completo do binário executado.
      • args: os argumentos fornecidos quando o binário foi executado.

  4. Identifique outras descobertas que ocorreram em um momento semelhante para o agente de IA afetado. As descobertas relacionadas podem indicar que essa atividade era mal-intencionada, e não uma falha em seguir as práticas recomendadas.

  5. Revise as configurações do agente de IA afetado.

  6. Verifique os registros do agente de IA afetado.

Pesquisar métodos de ataque e resposta

  1. Revise as entradas do framework MITRE ATT&CK para esse tipo de descoberta: Intérprete de comandos e scripts.
  2. Para desenvolver um plano de resposta, combine os resultados da investigação com a pesquisa do MITRE.

Implementar a resposta

Para recomendações de resposta, consulte Responder a descobertas de ameaças do ambiente de execução do agente.

A seguir