Penghindaran Pertahanan: Meluncurkan Alat Compiler Kode Dalam Container

Dokumen ini menjelaskan jenis temuan ancaman di Security Command Center. Temuan ancaman dihasilkan oleh detektor ancaman saat mendeteksi potensi ancaman di resource cloud Anda. Untuk daftar lengkap temuan ancaman yang tersedia, lihat Indeks temuan ancaman.

Ringkasan

Proses terdeteksi meluncurkan alat compiler kode dalam lingkungan container. Perilaku ini menunjukkan potensi upaya untuk mengembangkan atau mengompilasi software berbahaya dalam container terisolasi, yang mungkin bertujuan untuk mengaburkan aktivitas berbahaya dan menghindari kontrol keamanan berbasis host tradisional. Pihak penyerang mungkin menggunakan teknik ini untuk membuat alat kustom atau mengubah biner yang ada di lingkungan yang kurang diawasi sebelum men-deploy-nya ke sistem yang mendasarinya atau target lainnya. Keberadaan compiler kode dalam container, terutama jika tidak terduga, memerlukan penyelidikan karena dapat menunjukkan bahwa penyerang sedang bersiap untuk memperkenalkan backdoor persisten atau membahayakan software klien melalui biner yang dirusak.

Container Threat Detection adalah sumber temuan ini.

Cara merespons

Untuk merespons temuan ini, lakukan hal berikut:

Langkah 1: Tinjau detail temuan

  1. Buka temuan Defense Evasion: Launch Code Compiler Tool In Container seperti yang diarahkan dalam Meninjau temuan. Panel detail untuk temuan akan terbuka di tab Ringkasan.

  2. Di tab Ringkasan, tinjau informasi di bagian berikut:

    • Yang terdeteksi, terutama kolom berikut:
      • Biner program: jalur absolut biner yang dieksekusi.
      • Argumen: argumen yang diteruskan selama eksekusi biner.
    • Resource yang terpengaruh, terutama kolom berikut:
      • Nama lengkap resource: nama lengkap resource cluster yang mencakup nomor project, lokasi, dan nama cluster.

  3. Dalam tampilan detail temuan, klik tab JSON.

  4. Dalam JSON, perhatikan kolom berikut.

    • resource:
      • project_display_name: nama project yang berisi cluster.
    • finding:
      • processes:
      • binary:
        • path: jalur lengkap biner yang dieksekusi.
      • args: argumen yang diberikan saat menjalankan biner.
    • sourceProperties:
      • Pod_Namespace: nama namespace Kubernetes Pod.
      • Pod_Name: nama Pod GKE.
      • Container_Name: nama container yang terpengaruh.
      • Container_Image_Uri: nama image container yang di-deploy.
      • VM_Instance_Name: nama node GKE tempat Pod dieksekusi.

  5. Identifikasi temuan lain yang terjadi pada waktu yang sama untuk container ini. Temuan terkait mungkin menunjukkan bahwa aktivitas ini berbahaya, bukan kegagalan untuk mengikuti praktik terbaik.

Langkah 2: Tinjau cluster dan node

  1. Di Google Cloud konsol, buka halaman Kubernetes clusters.

    Buka cluster Kubernetes

  2. Di toolbar konsol, pilih project yang tercantum di resource.project_display_name, jika perlu. Google Cloud

  3. Pilih cluster yang tercantum di baris Resource full name di tab Summary pada detail temuan. Catat metadata apa pun tentang cluster dan pemiliknya.

  4. Klik tab Nodes. Pilih node yang tercantum di VM_Instance_Name.

  5. Klik tab Details dan catat anotasi container.googleapis.com/instance_id.

Langkah 3: Tinjau Pod

  1. Di Google Cloud konsol, buka halaman Kubernetes Workloads.

    Buka Workload Kubernetes

  2. Di toolbar konsol, pilih project yang tercantum di resource.project_display_name, jika perlu. Google Cloud

  3. Filter pada cluster yang tercantum di baris Resource full name di tab Summary pada detail temuan dan namespace Pod yang tercantum di Pod_Namespace, jika perlu.

  4. Pilih Pod yang tercantum di Pod_Name. Catat metadata apa pun tentang Pod dan pemiliknya.

Langkah 4: Periksa log

  1. Di Google Cloud konsol, buka Logs Explorer.

    Buka Logs Explorer

  2. Di toolbar konsol, pilih project yang tercantum di resource.project_display_name, jika perlu. Google Cloud

  3. Tetapkan Select time range ke periode yang diinginkan.

  4. Di halaman yang terbuka, lakukan hal berikut:

    1. Temukan log Pod untuk Pod_Name menggunakan filter berikut:
      • resource.type="k8s_container"
      • resource.labels.project_id="RESOURCE.PROJECT_DISPLAY_NAME"
      • resource.labels.location="LOCATION"
      • resource.labels.cluster_name="CLUSTER_NAME"
      • resource.labels.namespace_name="POD_NAMESPACE"
      • resource.labels.pod_name="POD_NAME"
    2. Temukan log audit cluster menggunakan filter berikut:
      • logName="projects/RESOURCE.PROJECT_DISPLAY_NAME/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="RESOURCE.PROJECT_DISPLAY_NAME"
      • resource.labels.location="LOCATION"
      • resource.labels.cluster_name="CLUSTER_NAME"
      • POD_NAME
    3. Temukan log konsol node GKE menggunakan filter berikut:
      • resource.type="gce_instance"
      • resource.labels.instance_id="INSTANCE_ID"

Langkah 5: Selidiki container yang sedang berjalan

Jika container masih berjalan, Anda mungkin dapat menyelidiki lingkungan container secara langsung.

  1. Buka konsol Google Cloud .

    Buka Google Cloud konsol

  2. Di toolbar konsol, pilih project yang tercantum di resource.project_display_name, jika perlu. Google Cloud

  3. Klik Activate Cloud Shell

  4. Dapatkan kredensial GKE untuk cluster Anda dengan menjalankan perintah berikut.

    Untuk cluster zona:

    gcloud container clusters get-credentials CLUSTER_NAME \
      --zone LOCATION \
      --project PROJECT_NAME

    Untuk cluster regional:

    gcloud container clusters get-credentials CLUSTER_NAME \
      --region LOCATION \
      --project PROJECT_NAME

    Ganti kode berikut:

    • CLUSTER_NAME: cluster yang tercantum di resource.labels.cluster_name
    • LOCATION: lokasi yang tercantum di resource.labels.location
    • PROJECT_NAME: nama project yang tercantum di resource.project_display_name

  5. Ambil biner yang dieksekusi:

    kubectl cp \
      POD_NAMESPACE/POD_NAME:PROCESS_BINARY_FULLPATH \
      -c CONTAINER_NAME \
      LOCAL_FILE

    Ganti local_file dengan jalur file lokal untuk menyimpan biner yang ditambahkan.

  6. Hubungkan ke lingkungan container dengan menjalankan perintah berikut:

    kubectl exec \
      --namespace=POD_NAMESPACE \
      -ti POD_NAME \
      -c CONTAINER_NAME \
      -- /bin/sh

    Perintah ini mengharuskan container memiliki shell yang diinstal di /bin/sh.

Langkah 6: Teliti metode serangan dan respons

  1. Tinjau entri framework MITRE ATT&CK untuk jenis temuan ini: Obfuscated Files or Information: Compile After Delivery.
  2. Untuk mengembangkan rencana respons, gabungkan hasil penyelidikan Anda dengan penelitian MITRE.

Langkah 7: Terapkan respons Anda

Rencana respons berikut mungkin sesuai untuk temuan ini, tetapi juga dapat memengaruhi operasi. Evaluasi dengan cermat informasi yang Anda kumpulkan dalam penyelidikan untuk menentukan cara terbaik dalam menyelesaikan temuan.

  • Hubungi pemilik project dengan container yang terancam.
  • Hentikan atau hapus container yang terancam dan ganti dengan container baru.

Langkah berikutnya