防御回避: コンテナでのコード コンパイラ ツールの起動

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

コンテナ環境内でコード コンパイラ ツールを起動するプロセスが検出されました。この動作は、隔離されたコンテナ内で悪意のあるソフトウェアを開発またはコンパイルしようとしている可能性を示しています。これは、悪意のあるアクティビティを難読化し、従来のホストベースのセキュリティ制御を回避するためである可能性があります。攻撃者がこの手法を利用して、監視の緩い環境のカスタムツールの作成や既存のバイナリの変更を行い、基盤となるシステムや他のターゲットにデプロイする可能性があります。コンテナ内にコード コンパイラが存在する場合（特に予期しない場合）は、攻撃者が永続的なバックドアを導入するか、改ざんされたバイナリを介してクライアント ソフトウェアを侵害する準備をしている可能性があるため、調査が必要です。

この検出結果のソースは Cloud Run Threat Detection です。

対処方法

この検出結果に対応する手順は次のとおりです。

検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、Defense Evasion: Launch Code Compiler Tool In Container の検出結果を開きます。[概要] タブと [JSON] タブで詳細を確認します。

  2. [概要] タブで、次のセクションの情報を確認します。

    • 検出された内容（特に次のフィールド）:
      • プログラム バイナリ: 実行されたバイナリの絶対パス
      • 引数: バイナリ実行時に渡される引数
    • 影響を受けているリソース（特に次のフィールド）:

  3. [JSON] タブで、次のフィールドを確認します。

    • resource:
      • project_display_name: クラスタを含むプロジェクトの名前。
    • finding:
      • processes:
      • binary:
        • path: 実行されたバイナリのフルパス。
      • args: バイナリの実行時に提供された引数。

  4. このコンテナで同様のタイミングで発生した他の検出結果を特定します。関連する検出結果は、このアクティビティがベスト プラクティスに従っていないのではなく、悪意のあるものであることを示している可能性があります。

  5. 影響を受けるコンテナの設定を確認します。

  6. 影響を受けるコンテナのログを確認します。

攻撃とレスポンスのメソッドを調査する

  1. この検出結果タイプに対応する MITRE ATT&CK フレームワーク エントリ（難読化されたファイル / 情報: 配信後のコンパイル）を確認します。
  2. 対応計画を策定するには、独自の調査結果と MITRE の調査を組み合わせる必要があります。

レスポンスを実装する

レスポンスの推奨事項については、Cloud Run の脅威の検出結果に対応するをご覧ください。

次のステップ