Umgehung von Abwehrmaßnahmen: Unerwarteter Systemaufruf-Handler

In diesem Dokument wird ein bestimmter Typ von Bedrohungsergebnissen in Security Command Center beschrieben. Bedrohungsergebnisse werden von Bedrohungsdetektoren generiert, wenn sie eine potenzielle Bedrohung in Ihren Cloud-Ressourcen erkennen. Eine vollständige Liste der verfügbaren Bedrohungsergebnisse finden Sie im Index der Bedrohungsergebnisse.

Übersicht

Systemaufruf-Handler, die sich nicht in den erwarteten Kernel- oder Modulcodebereichen befinden, sind vorhanden.

Maßnahmen

So reagieren Sie auf dieses Ergebnis:

Schritt 1: Ergebnisdetails prüfen

  1. Öffnen Sie das Ergebnis wie unter Ergebnisse prüfen beschrieben. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.

  2. Sehen Sie sich auf dem Tab Zusammenfassung die Informationen in den folgenden Abschnitten an:

    • Was wurde erkannt, insbesondere die folgenden Felder:

      • Name des Kernel-Rootkits: der Familienname des Rootkits, das erkannt wurde—z. B. Diamorphine.
      • Unerwartete Kernel-Codeseiten: Gibt an, ob sich Kernel-Codeseiten in Kernel- oder Modulcodebereichen befinden, in denen sie nicht erwartet werden.
      • Unerwarteter Systemaufruf-Handler: Gibt an, ob sich Systemaufruf-Handler in Kernel- oder Modulcodebereichen befinden, in denen sie nicht erwartet werden.

    • Betroffene Ressource, insbesondere das folgende Feld:

      • Vollständiger Name der Ressource: der vollständige Ressourcenname der betroffenen VM-Instanz, einschließlich der ID des Projekts, das sie enthält.

  3. Wenn Sie das vollständige JSON für dieses Ergebnis sehen möchten, klicken Sie in der Detailansicht des Ergebnisses auf den Tab JSON.

Schritt 2: Protokolle prüfen

  1. Rufen Sie in der Google Cloud Console den Log-Explorer auf.

    Zum Log-Explorer

  2. Wählen Sie in der Google Cloud Symbolleiste derConsole das Projekt aus, das die VM-Instanz enthält, wie in der Zeile Vollständiger Name der Ressource auf dem Tab Zusammenfassung der Ergebnisdetails angegeben.

  3. Prüfen Sie, ob in den Logs Zeichen für Angriffe auf die betroffene VM-Instanz enthalten sind. Beispielsweise können Sie nach verdächtigen oder unbekannten Aktivitäten und Zeichen von kompromittierten Anmeldedaten suchen.

Schritt 3: Berechtigungen und Einstellungen prüfen

  1. Klicken Sie auf dem Tab Zusammenfassung der Ergebnisdetails im Feld Vollständiger Name der Ressource auf den Link.
  2. Prüfen Sie die Details der VM-Instanz, einschließlich der Netzwerk- und Zugriff einstellungen.

Schritt 4: Betroffene VM prüfen

Folgen Sie der Anleitung unter VM auf Anzeichen von Manipulationen des Kernel-Arbeitsspeichers prüfen.

Schritt 5: Angriffs- und Reaktionsmethoden untersuchen

  1. Prüfen Sie die MITRE-ATT&CK-Framework-Einträge für Defense Evasion.
  2. Wenn Sie einen Antwortplan entwickeln möchten, kombinieren Sie Ihre Prüfungsergebnisse mit der MITRE -Forschung.

Schritt 6: Antwort implementieren

Der folgende Reaktionplan ist möglicherweise für dieses Ergebnis geeignet, kann sich jedoch auch auf Abläufe auswirken. Prüfen Sie die Informationen, die Sie im Rahmen Ihrer Untersuchung erfasst haben, sorgfältig, um die beste Lösung für die Behebung der Ergebnisse zu finden.

  1. Wenden Sie sich an den Inhaber der VM.

  2. Beenden Sie bei Bedarf die manipulierte Instanz und ersetzen Sie sie durch eine neue Instanz.

  3. Für die forensische Analyse sollten Sie die virtuellen Maschinen und nichtflüchtigen Speicher sichern. Weitere Informationen finden Sie in der Compute Engine Dokumentation unter Datenschutz optionen.

  4. Löschen Sie die VM-Instanz.

  5. Für weitere Untersuchungen können Sie Incident-Response-Dienste wie Mandiant verwenden.

Nächste Schritte