Evasione della difesa: deployment di emergenza del workload creato

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati di minaccia vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle risorse cloud. Per un elenco completo dei risultati di minaccia disponibili, consulta l'indice dei risultati di minaccia.

Panoramica

Breakglass Workload Deployment Created viene rilevato esaminando Cloud Audit Logs per verificare se sono presenti deployment di workload che utilizzano il flag di deployment di emergenza per eseguire l'override dei controlli di Autorizzazione binaria.

Event Threat Detection è l'origine di questo risultato.

Come rispondere

Per rispondere a questo risultato:

Passaggio 1: esamina i dettagli del risultato

  1. Apri il risultato Defense Evasion: Breakglass Workload Deployment Created, come indicato in Esaminare i risultati. Si apre il riquadro dei dettagli del risultato, che mostra la scheda Riepilogo.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • Indirizzo email principale: l'account che ha eseguito la modifica.
      • Nome metodo: il metodo chiamato.
      • Pod Kubernetes: il nome e lo spazio dei nomi del pod.
    • Risorsa interessata, in particolare il seguente campo:
      • Nome visualizzato risorsa: lo spazio dei nomi GKE in cui è stato eseguito il deployment.
    • Link correlati:
      • URI Cloud Logging: link alle voci di Logging.
      • Metodo MITRE ATT&CK: link alla documentazione MITRE ATT&CK.
      • Risultati correlati: link a eventuali risultati correlati.

Passaggio 2: controlla i log

  1. Nella scheda Riepilogo dei dettagli del risultato nella Google Cloud console, vai a Esplora log facendo clic sul link nel campo URI Cloud Logging.
  2. Controlla il valore nel campo protoPayload.resourceName per identificare la richiesta di firma del certificato specifica.

  3. Controlla altre azioni intraprese dal principale utilizzando i seguenti filtri:

    • resource.labels.cluster_name="CLUSTER_NAME"

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"

      Sostituisci quanto segue:

    • CLUSTER_NAME: il valore annotato nel campo Nome visualizzato risorsa nei dettagli del risultato.

    • PRINCIPAL_EMAIL: il valore annotato nel campo Indirizzo email principale nei dettagli del risultato.

Passaggio 3: ricerca metodi di attacco e risposta

  1. Esamina la voce del framework MITRE ATT&CK per questo tipo di risultato: Defense Evasion: Breakglass Workload Deployment.
  2. Esamina i risultati correlati facendo clic sul link nella riga Risultati correlati nella scheda Riepilogo dei dettagli del risultato.
  3. Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.

Passaggi successivi