התחמקות מהגנה: מודולים לא צפויים של ליבת המערכת

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

קיימים דפי קוד של ליבת מערכת ההפעלה שלא נמצאים באזורי הקוד הצפויים של הליבה או המודול.

זיהוי איומים במכונות וירטואליות הוא המקור של הממצא הזה.

איך מגיבים

כדי להגיב לממצא הזה:

שלב 1: בדיקת פרטי הממצא

  1. פותחים את הממצא לפי ההוראות שבקטע ממצאי הבדיקה. חלונית הפרטים של הממצא נפתחת בכרטיסייה סיכום.

  2. בכרטיסייה סיכום, בודקים את המידע בקטעים הבאים:

    • מה זוהה, במיוחד השדות הבאים:

      • Kernel rootkit name: שם משפחת הרוטקיט שזוהה, לדוגמה, Diamorphine.
      • דפי קוד בלתי צפויים של ליבת מערכת ההפעלה: האם דפי קוד של ליבת מערכת ההפעלה קיימים באזורי קוד של ליבת מערכת ההפעלה או של מודולים, שבהם הם לא אמורים להיות.
      • handler לא צפוי של קריאות למערכת: האם יש handlers של קריאות למערכת באזורי קוד של ליבת המערכת או של מודולים, שבהם הם לא צפויים להיות.

    • המשאב המושפע, במיוחד השדה הבא:

      • שם המשאב המלא: שם המשאב המלא של המכונה הווירטואלית המושפעת, כולל מזהה הפרויקט שהיא נמצאת בו.

  3. כדי לראות את ה-JSON המלא של הממצא הזה, בתצוגה המפורטת של הממצא, לוחצים על הכרטיסייה JSON.

שלב 2: בדיקת היומנים

  1. במסוף Google Cloud , עוברים אל Logs Explorer.

    כניסה לדף Logs Explorer

  2. בסרגל הכלים של מסוף Google Cloud , בוחרים את הפרויקט שמכיל את המכונה הווירטואלית, כפי שמצוין בשורה Resource full name בכרטיסייה Summary בפרטי הממצא.

  3. בודקים את היומנים כדי לזהות סימנים לפריצה למכונת ה-VM המושפעת. לדוגמה, כדאי לבדוק אם יש פעילויות חשודות או לא מוכרות וסימנים לפרטי כניסה שנפרצו.

שלב 3: בדיקה של ההרשאות וההגדרות

  1. בכרטיסייה סיכום של פרטי הממצא, בשדה שם מלא של המשאב, לוחצים על הקישור.
  2. בודקים את הפרטים של המכונה הווירטואלית, כולל הגדרות הרשת והגישה.

שלב 4: בודקים את המכונה הווירטואלית המושפעת

פועלים לפי ההוראות במאמר בדיקת מכונת VM לאיתור סימנים לשיבוש של זיכרון ליבת המערכת.

שלב 5: מחקר של שיטות תקיפה ותגובה

  1. קוראים את הערכים במסגרת MITRE ATT&CK בנושא התחמקות מהגנה.
  2. כדי לפתח תוכנית תגובה, משלבים את תוצאות החקירה עם מחקר של MITRE.

שלב 6: מיישמים את התגובה

תוכנית התגובה הבאה עשויה להתאים לממצא הזה, אבל היא עלולה גם להשפיע על הפעולות. חשוב לבדוק בקפידה את המידע שאספתם במהלך הבדיקה כדי להבין מהי הדרך הטובה ביותר לפתור את הבעיות.

  1. פונים לבעלים של המכונה הווירטואלית.

  2. במקרה הצורך, מפסיקים את המכונה שנפרצה ומחליפים אותה במכונה חדשה.

  3. לצורך ניתוח משפטי, מומלץ לגבות את המכונות הווירטואליות ואת הדיסקים של אחסון מתמיד. מידע נוסף זמין במאמר אפשרויות להגנה על נתונים במסמכי התיעוד של Compute Engine.

  4. מוחקים את מכונת ה-VM.

  5. כדי לבצע חקירה נוספת, אפשר להשתמש בשירותים לתגובה לאירועים כמו Mandiant.

המאמרים הבאים