הסלמת הרשאות: שמות חשודים של קונטיינרים ב-Kubernetes – ניצול ופריצה

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

מישהו פרס Pod עם מוסכמה למתן שמות שדומה לכלים נפוצים שמשמשים ליציאה מהקונטיינר או לביצוע מתקפות אחרות על האשכול. פרטים נוספים זמינים בהודעת היומן של ההתראה הזו.

המקור של הממצא הזה הוא Event Threat Detection.

איך מגיבים

תוכנית התגובה הבאה עשויה להתאים לממצא הזה, אבל היא עלולה גם להשפיע על הפעולות. חשוב לבדוק בקפידה את המידע שאספתם במהלך הבדיקה כדי להבין מהי הדרך הטובה ביותר לפתור את הבעיות.

כדי להגיב לממצא הזה:

  1. מוודאים שה-Pod לגיטימי.
  2. בודקים אם יש סימנים אחרים לפעילות זדונית מה-Pod או מהגורם המרכזי ביומני הביקורת ב-Cloud Logging.
  3. אם חשבון המשתמש הוא לא חשבון שירות (IAM או Kubernetes), צריך לפנות לבעלים של החשבון כדי לוודא שהבעלים הלגיטימי ביצע את הפעולה.
  4. אם החשבון הראשי הוא חשבון שירות (IAM או Kubernetes), צריך לזהות את מקור הפעולה כדי לקבוע את הלגיטימיות שלה.
  5. אם ה-Pod לא לגיטימי, צריך להסיר אותו, יחד עם כל הקישורים המשויכים של RBAC וחשבונות השירות שבהם נעשה שימוש בעומס העבודה ואפשרו את היצירה שלו.

המאמרים הבאים