ביצוע: פעולת Exec חשודה או צירוף ל-Pod של מערכת

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

מישהו השתמש בפקודות exec או attach כדי לקבל מעטפת או להריץ פקודה בקונטיינר שפועל במרחב השמות kube-system. לפעמים משתמשים בשיטות האלה למטרות לגיטימיות של ניפוי באגים. עם זאת, ה-kube-system namespace מיועד לאובייקטים של המערכת שנוצרו על ידי Kubernetes, וצריך לבדוק ביצוע לא צפוי של פקודות או יצירה של מעטפת. פרטים נוספים זמינים בהודעת היומן של ההתראה.

המקור של הממצא הזה הוא Event Threat Detection.

איך מגיבים

כדי להגיב לממצא הזה:

  1. בודקים את יומני הביקורת ב-Cloud Logging כדי לקבוע אם הפעילות הזו הייתה צפויה על ידי חשבון המשתמש.
  2. בודקים אם יש ביומנים סימנים אחרים לפעילות זדונית של הגורם המרכזי.

כדאי לעיין בהנחיות לשימוש בעיקרון של הרשאות מינימליות לגבי תפקידי RBAC ותפקידים באשכולות שהעניקו את הגישה הזו.

המאמרים הבאים