Eksekusi: Keterampilan Berbahaya Bawaan Dieksekusi

Paket layanan Premium dan Enterprise (Tidak digunakan lagi)

Paket layanan Security Command Center Enterprise akan ditutup pada 21 Mei 2027. Jika organisasi Anda menggunakan paket layanan Enterprise, organisasi tersebut akan otomatis dipindahkan ke paket layanan Premium pada atau setelah 21 Mei 2027. Hubungi perwakilan akun atau a Google Cloud spesialis penjualan Anda jika ada pertanyaan.

Dokumen ini menjelaskan jenis temuan ancaman di Security Command Center. Temuan ancaman dihasilkan oleh detektor ancaman saat mendeteksi potensi ancaman di resource cloud Anda. Untuk daftar lengkap temuan ancaman yang tersedia, lihat Indeks temuan ancaman.

Ringkasan

Keterampilan yang dieksekusi yang memenuhi kondisi berikut:

• Disertakan dalam image container asli.
• Diidentifikasi sebagai berbahaya berdasarkan threat intelligence.

Penyerang memiliki kontrol atas repositori image container atau pipeline pembuatan, tempat keterampilan berbahaya disisipkan ke dalam image container.

Container Threat Detection adalah sumber temuan ini.

Cara merespons

Untuk merespons temuan ini, lakukan hal berikut:

Langkah 1: Tinjau detail temuan

1. Buka temuan Execution: Built in Malicious Skill Executed seperti yang diarahkan dalam Meninjau temuan. Panel detail untuk temuan akan terbuka ke tab Ringkasan.

2. Di tab Ringkasan, tinjau informasi di bagian berikut:

   • Yang terdeteksi, terutama kolom berikut:
     • Keterampilan program: jalur absolut keterampilan bawaan
     • Argumen: argumen yang diberikan saat memanggil keterampilan bawaan.
     • Container: nama container yang terpengaruh
     • URI Container: nama image container yang di-deploy
   • Resource yang terpengaruh, terutama kolom berikut:
     • Nama lengkap resource: nama lengkap resource cluster termasuk nomor project, lokasi, dan nama cluster
   • Link terkait, terutama kolom berikut:
     • Indikator VirusTotal: link ke halaman analisis VirusTotal

3. Klik tab JSON dan catat kolom berikut:

   • sourceProperties:
     • VM_Instance_Name: nama node Google Kubernetes Engine tempat Pod dieksekusi.

Langkah 2: Tinjau cluster dan node

1. Di Google Cloud konsol, buka halaman Kubernetes clusters.

   Buka cluster Kubernetes

2. Di Google Cloud toolbar konsol, pilih project yang tercantum di resource.project_display_name, jika perlu.

3. Pilih cluster yang tercantum di baris Nama lengkap resource di tab Ringkasan detail temuan. Catat metadata apa pun tentang cluster dan pemiliknya.

4. Klik tab Nodes. Pilih node yang tercantum di VM_Instance_Name.

5. Klik tab Details dan catat anotasi container.googleapis.com/instance_id.

Langkah 3: Tinjau Pod

1. Di Google Cloud konsol, buka halaman Kubernetes Workloads.

   Buka Workload Kubernetes

2. Di Google Cloud toolbar konsol, pilih project yang tercantum di resource.project_display_name, jika perlu.

3. Filter pada cluster yang tercantum di baris Nama lengkap resource di tab Ringkasan detail temuan dan namespace Pod yang tercantum di Pod_Namespace, jika perlu.

4. Pilih Pod yang tercantum di Pod_Name. Catat metadata apa pun tentang Pod dan pemiliknya.

Langkah 4: Periksa log

1. Di Google Cloud konsol, buka Logs Explorer.

   Buka Logs Explorer

2. Di Google Cloud toolbar konsol, pilih project yang tercantum di resource.project_display_name, jika perlu.

3. Tetapkan Select time range ke periode yang diinginkan.

4. Di halaman yang dimuat, lakukan hal berikut:

   1. Temukan log Pod untuk Pod_Name menggunakan filter berikut:
      • resource.type="k8s_container"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • resource.labels.namespace_name="Pod_Namespace"
      • resource.labels.pod_name="Pod_Name"
   2. Temukan log audit cluster menggunakan filter berikut:
      • logName="projects/resource.project_display_name/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • Pod_Name
   3. Temukan log konsol node GKE menggunakan filter berikut:
      • resource.type="gce_instance"
      • resource.labels.instance_id="instance_id"

Langkah 5: Selidiki container yang berjalan

Jika container masih berjalan, Anda dapat menyelidiki lingkungan container secara langsung.

1. Buka konsol Google Cloud .

   Buka Google Cloud konsol

2. Di Google Cloud toolbar konsol, pilih project yang tercantum di resource.project_display_name, jika perlu.

3. Klik Activate Cloud Shell

4. Dapatkan kredensial GKE untuk cluster Anda dengan menjalankan perintah berikut.

   Untuk cluster zona:

     gcloud container clusters get-credentials cluster_name --zone location --project project_name
   

   Untuk cluster regional:

     gcloud container clusters get-credentials cluster_name --region location --project project_name
   

   Ganti kode berikut:

   • cluster_name: cluster yang tercantum di resource.labels.cluster_name
   • location: lokasi yang tercantum di resource.labels.location
   • project_name: nama project yang tercantum di resource.project_display_name

5. Ambil keterampilan berbahaya bawaan:

     kubectl cp Pod_Namespace/Pod_Name:Process_Skill_Fullpath -c Container_Name  local_file
   

   Ganti local_file dengan jalur lokal untuk menyimpan keterampilan berbahaya bawaan.

6. Hubungkan ke lingkungan container:

     kubectl exec --namespace=Pod_Namespace -ti Pod_Name -c Container_Name -- /bin/sh
   

   Perintah ini mengharuskan container memiliki shell yang diinstal di /bin/sh.

Langkah 6: Riset metode serangan dan respons

1. Tinjau entri framework MITRE ATT&CK untuk jenis temuan ini: Transfer Alat Ingress, API Native.
2. Periksa nilai hash SHA-256 untuk program biner yang ditandai sebagai berbahaya di VirusTotal dengan mengklik link di Indikator VirusTotal. VirusTotal adalah layanan milik Alphabet yang memberikan konteks tentang file, URL, domain, dan alamat IP yang berpotensi berbahaya.
3. Untuk mengembangkan rencana respons, gabungkan hasil penyelidikan Anda dengan riset MITRE dan analisis VirusTotal.

Langkah 7: Terapkan respons Anda

Rencana respons berikut mungkin sesuai untuk temuan ini, tetapi juga dapat memengaruhi operasi. Evaluasi dengan cermat informasi yang Anda kumpulkan dalam penyelidikan untuk menentukan cara terbaik dalam menyelesaikan temuan.

• Hubungi pemilik project dengan container yang terganggu.
• Hentikan atau hapus container yang terganggu dan ganti dengan container baru.

Langkah berikutnya

• Pelajari cara menggunakan temuan ancaman di Security Command Center.
• Lihat Indeks temuan ancaman.
• Pelajari cara meninjau temuan melalui Google Cloud konsol.
• Pelajari tentang layanan yang menghasilkan temuan ancaman.