Execução: fuga do contentor

Este documento descreve um tipo de deteção de ameaças no Security Command Center. As conclusões de ameaças são geradas por detetores de ameaças quando detetam uma potencial ameaça nos seus recursos da nuvem. Para ver uma lista completa das conclusões de ameaças disponíveis, consulte o Índice de conclusões de ameaças.

Vista geral

Foi executado um ficheiro binário de ferramenta suspeito conhecido para atividades de fuga de contentores. Isto indica uma possível tentativa de fuga do contentor, em que um processo no interior do contentor tenta sair do respetivo isolamento e interagir com o sistema anfitrião ou outros contentores. Esta é uma descoberta de gravidade elevada, porque sugere que um atacante pode estar a tentar obter acesso para além dos limites do contentor, comprometendo potencialmente o anfitrião ou outra infraestrutura. As fugas de contentores podem resultar de configurações incorretas, vulnerabilidades em tempos de execução de contentores ou exploração de contentores privilegiados.

A Deteção de ameaças do Cloud Run é a origem desta descoberta.

Como responder

Para responder a esta descoberta, faça o seguinte:

Reveja os detalhes da descoberta

  1. Abra a descoberta Execution: Container Escape conforme indicado em Rever descobertas. Reveja os detalhes nos separadores Resumo e JSON.

  2. No separador Resumo, reveja as informações nas seguintes secções:

    • O que foi detetado, especialmente os seguintes campos:
      • Binário do programa: o caminho absoluto do binário executado
      • Argumentos: os argumentos transmitidos durante a execução binária
    • Recurso afetado, especialmente os seguintes campos:

  3. No separador JSON, tenha em atenção os seguintes campos:

    • resource:
      • project_display_name: o nome do projeto que contém o cluster.
    • finding:
      • processes:
      • binary:
        • path: o caminho completo do ficheiro binário executado.
      • args: os argumentos que foram fornecidos durante a execução do ficheiro binário.

  4. Identifique outras conclusões que ocorreram numa altura semelhante para o contentor afetado. As conclusões relacionadas podem indicar que esta atividade foi maliciosa, em vez de uma falha em seguir as práticas recomendadas.

  5. Reveja as definições do contentor afetado.

  6. Verifique os registos do contentor afetado.

Investigue métodos de ataque e resposta

  1. Reveja a entrada da framework MITRE ATT&CK para este tipo de descoberta: Escape to Host.
  2. Para desenvolver um plano de resposta, combine os resultados da sua investigação com a investigação da MITRE.

Implemente a sua resposta

Para ver recomendações de respostas, consulte o artigo Responda a resultados de ameaças do Cloud Run.

O que se segue?