Execução: habilidade mal-intencionada incorporada executada

Este documento descreve um tipo de descoberta de ameaças no Security Command Center. Essas descobertas são geradas por detectores de ameaças quando detectam um risco nos recursos da nuvem. Para ver uma lista completa, consulte Índice de descobertas de ameaças.

Visão geral

Uma habilidade incluída na imagem do contêiner original foi executada. A habilidade foi identificada como mal-intencionada com base na inteligência contra ameaças.

Um invasor pode ter controle do repositório de imagens de contêiner ou do pipeline de criação, em que a habilidade mal-intencionada é injetada na imagem do contêiner.

A detecção de ameaças do Cloud Run é a origem dessa descoberta.

Como responder

Para responder a essa descoberta:

Analisar os detalhes da descoberta

  1. Abra a descoberta Execution: Built in Malicious Skill Executed, conforme direcionado em Analisar a descoberta. Nas guias Resumo e JSON, analise os detalhes.

  2. Na guia Resumo, confira as informações nas seções abaixo.

    • O que foi detectado, especialmente os seguintes campos:
      • Habilidade do programa: o caminho absoluto da habilidade integrada
      • Argumentos: os argumentos fornecidos ao invocar a habilidade integrada
      • Contêineres: o nome do contêiner afetado
      • URI dos contêineres: o nome da imagem do contêiner que está sendo implantada
    • Recurso afetado, especialmente os seguintes campos:
    • Links relacionados, principalmente os seguintes campos:
      • Indicador do VirusTotal: link para a página de análise do VirusTotal

  3. Procure outras descobertas que ocorreram em um momento semelhante para o contêiner afetado. As descobertas relacionadas podem indicar que essa atividade era mal-intencionada, e não uma falha em seguir as práticas recomendadas.

  4. Revise as configurações do contêiner afetado.

  5. Verifique os registros desse contêiner.

Pesquisar métodos de ataque e resposta

  1. Revise as entradas do framework MITRE ATT&CK para esse tipo de descoberta: Transferência de ferramenta de entrada e API nativa.
  2. Verifique o valor de hash SHA-256 do binário sinalizado como mal-intencionado no VirusTotal clicando no link no indicador do VirusTotal. O VirusTotal é um serviço pertencente à Alphabet que fornece contexto sobre arquivos, URLs, domínios e endereços IP potencialmente mal-intencionados.
  3. Para desenvolver um plano de resposta, combine os resultados da investigação com a pesquisa do MITRE e a análise do VirusTotal.

Implementar a resposta

Para mais informações, consulte Responder a descobertas de ameaças do Cloud Run.

A seguir