Acesso às credenciais: pesquisar senhas ou chaves privadas

Este documento descreve um tipo de descoberta de ameaças no Security Command Center. Essas descobertas são geradas por detectores de ameaças quando detectam um risco nos recursos da nuvem. Para ver uma lista completa, consulte Índice de descobertas de ameaças.

Visão geral

Um processo foi detectado pesquisando chaves privadas, credenciais ou outras informações de autenticação sensíveis no contêiner. Esse comportamento sugere uma tentativa de localizar e extrair segredos armazenados que poderiam ser usados para escalar privilégios, acessar recursos restritos ou se movimentar lateralmente no ambiente. Os invasores costumam procurar chaves SSH, tokens de API ou credenciais de banco de dados para conseguir acesso não autorizado a sistemas críticos, o que torna essa detecção de alta gravidade e exige investigação imediata.

A detecção de ameaças do Cloud Run é a origem dessa descoberta.

Como responder

Para responder a essa descoberta:

Analisar os detalhes da descoberta

  1. Abra a descoberta Credential Access: Search Private Keys or Passwords, conforme explicado em Analisar uma descoberta. Confira os detalhes nas guias Resumo e JSON.

  2. Na guia Resumo, confira as informações nas seções abaixo.

    • O que foi detectado, especialmente os seguintes campos:
      • Binário do programa: o caminho absoluto do binário executado.
      • Argumentos: os argumentos transmitidos durante a execução do binário.
    • Recurso afetado, especialmente os seguintes campos:

  3. Na guia JSON, observe os campos a seguir.

    • resource:
      • project_display_name: o nome do projeto que contém o cluster.
    • finding:
      • processes:
      • binary:
        • path: o caminho completo do binário executado.
      • args: os argumentos fornecidos ao executar o binário.

  4. Identifique outras descobertas que ocorreram em um momento semelhante para esse contêiner. As descobertas relacionadas podem indicar que essa atividade era mal-intencionada, e não uma falha em seguir as práticas recomendadas.

  5. Revise as configurações do contêiner afetado.

  6. Verifique os registros desse contêiner.

Pesquisar métodos de ataque e resposta

  1. Revise a entrada do framework MITRE ATT&CK para esse tipo de descoberta: Credenciais não seguras: credenciais em arquivos.
  2. Para desenvolver um plano de resposta, combine os resultados da investigação com a pesquisa do MITRE.

Implementar a resposta

Para recomendações de resposta, consulte Responder a descobertas de ameaças do Cloud Run.

A seguir