זוהתה כתובת URL זדונית

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

במסגרת התכונה 'זיהוי איומים' ב-Cloud Run זוהתה כתובת URL זדונית ברשימת הארגומנטים של תהליך הפעלה. תוקפים יכולים לטעון תוכנות זדוניות או ספריות זדוניות באמצעות כתובות URL זדוניות.

Cloud Run Threat Detection הוא המקור של הממצא הזה.

איך מגיבים

כדי להגיב לממצא הזה:

בדיקת פרטי הממצא

  1. פותחים את הממצא Malicious URL Observed לפי ההוראות שבקטע בדיקת הממצאים. בודקים את הפרטים בכרטיסיות סיכום וJSON.

  2. בכרטיסייה סיכום, בודקים את המידע בקטעים הבאים:

    • מה זוהה, במיוחד השדות הבאים:
      • ‫URI: ה-URI הזדוני שנצפה
      • Added binary: הנתיב המלא של הקובץ הבינארי של התהליך שקיבל את הארגומנטים שמכילים את כתובת ה-URL הזדונית
      • ארגומנטים: הארגומנטים שסופקו כשמפעילים את הקובץ הבינארי של התהליך
      • משתני סביבה: משתני הסביבה שהיו בתוקף כשקובץ הבינארי של התהליך הופעל
      • Containers: שם הקונטיינר
    • מקור המידע שהושפע, במיוחד השדות הבאים:
      • השם המוצג של המשאב: השם של המשאב שהושפע
      • השם המלא של המשאב: השם המלא של המשאב של משאב Cloud Run המושפע
    • קישורים רלוונטיים, במיוחד השדה הבא:
      • אינדיקטור של VirusTotal: קישור לדף הניתוח של VirusTotal

  3. מחפשים ממצאים קשורים שהתרחשו בזמן דומה עבור המאגר המושפע. ממצאים כאלה עשויים להצביע על כך שהפעילות הייתה זדונית, ולא על כך שלא פעלתם לפי השיטות המומלצות.

  4. בודקים את ההגדרות של מאגר התגים המושפע.

  5. בודקים את היומנים של מאגר התגים המושפע.

מחקר של שיטות התקפה ותגובה

  1. כדי לקבל פרטים על הסיבה לכך שכתובת ה-URL מסווגת כזדונית, אפשר לבדוק את סטטוס האתר בגלישה הבטוחה.
  2. כדאי לעיין ברשומה של מסגרת MITRE ATT&CK לגבי סוג הממצא הזה: העברת כלי כניסה.
  3. כדי לבדוק את ערך הגיבוב (hash) ‏SHA-256 של הקובץ הבינארי שסומן כזדוני ב-VirusTotal, לוחצים על הקישור באינדיקטור של VirusTotal. ‫VirusTotal הוא שירות בבעלות Alphabet שמספק הקשר לגבי קבצים, כתובות URL, דומיינים וכתובות IP שעלולים להיות זדוניים.
  4. כדי לפתח תוכנית תגובה, משלבים את תוצאות החקירה עם המחקר של MITRE והניתוח של VirusTotal.

יישום התשובה

המלצות לתגובה מופיעות במאמר תגובה לממצאי איומים ב-Cloud Run.

המאמרים הבאים