זוהתה כתובת URL זדונית

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

התכונה 'זיהוי איומים בקונטיינר' זיהתה כתובת URL זדונית ברשימת הארגומנטים של תהליך הפעלה. תוקפים יכולים לטעון תוכנות זדוניות או ספריות זדוניות באמצעות כתובות URL זדוניות.

המקור של הממצא הזה הוא זיהוי איומים בקונטיינר.

איך מגיבים

כדי להגיב לממצא הזה:

שלב 1: בדיקת פרטי הממצא

  1. פותחים Malicious URL Observed ממצא לפי ההוראות במאמר בדיקת ממצאים. חלונית הפרטים של הממצא נפתחת בכרטיסייה סיכום.

  2. בכרטיסייה סיכום, בודקים את המידע בקטעים הבאים:

    • מה זוהה, במיוחד השדות הבאים:
      • ‫URI: ה-URI הזדוני שנצפה.
      • ‫Added binary: הנתיב המלא של הקובץ הבינארי של התהליך שקיבל את הארגומנטים שמכילים את כתובת ה-URL הזדונית.
      • ארגומנטים: הארגומנטים שסופקו כשמפעילים את הקובץ הבינארי של התהליך.
      • משתני סביבה: משתני הסביבה שהיו בתוקף כשבוצעה קריאה לקובץ הבינארי של התהליך.
      • קונטיינרים: שם הקונטיינר.
      • ‫Kubernetes pods: שם ה-pod ומרחב השמות.
    • מקור המידע שהושפע, במיוחד השדות הבאים:
      • השם המוצג של המשאב: השם של המשאב שהושפע.
      • שם המשאב המלא: שם המשאב המלא של האשכול. השם המלא של המשאב כולל את הפרטים הבאים:
        • הפרויקט שמכיל את האשכול: projects/PROJECT_ID
        • המיקום שבו נמצא האשכול: zone/ZONE או locations/LOCATION
        • שם האשכול: projects/CLUSTER_NAME
    • קישורים רלוונטיים, במיוחד השדות הבאים:
      • אינדיקטור של VirusTotal: קישור לדף הניתוח של VirusTotal.

  3. בכרטיסייה JSON, במאפיין sourceProperties, מציינים את הערך של המאפיין VM_Instance_Name.

שלב 2: בדיקת האשכול והצומת

  1. נכנסים לדף Kubernetes clusters במסוף Google Cloud .

    מעבר אל Kubernetes clusters

  2. בסרגל הכלים של Google Cloud המסוף, בוחרים את הפרויקט שמופיע בשם המשאב המלא (resource.name), אם צריך. שם הפרויקט מופיע אחרי /projects/ בשם המלא של המשאב.

  3. לוחצים על שם האשכול שרשמתם בשם התצוגה של המשאב (resource.display_name) בסיכום הממצאים. הדף Clusters ייפתח.

  4. בקטע Metadata בדף **Cluster details, שימו לב לכל מידע שהוגדר על ידי המשתמש שעשוי לעזור בפתרון האיום, כמו מידע שמזהה את הבעלים של האשכול.

  5. לוחצים על הכרטיסייה Nodes (צמתים).

  6. מתוך הצמתים שמופיעים ברשימה, בוחרים את הצומת שתואם לערך של VM_Instance_Name שרשמתם קודם ב-JSON של הממצא.

  7. בכרטיסייה Details בדף Node details, בקטע Annotations, רושמים את הערך של ההערה container.googleapis.com/instance_id.

שלב 3: בדיקת הפוד

  1. נכנסים לדף Kubernetes Workloads במסוף Google Cloud .

    עוברים אל Kubernetes Workloads

  2. בסרגל הכלים של המסוף, בוחרים את הפרויקט שצוין בשם המשאב המלא (resource.name) של האשכול בסיכום הממצאים, אם צריך. Google Cloud

  3. לוחצים על הצגת עומסי עבודה של המערכת.

  4. מסננים את רשימת עומסי העבודה לפי שם האשכול שרשמתם בשם המשאב המלא (resource.name) של סיכום הממצאים, ואם צריך, גם לפי מרחב השמות (kubernetes.pods.ns) של ה-Pod שרשמתם.

  5. לוחצים על שם עומס העבודה שמתאים לערך של המאפיין VM_Instance_Name שרשמתם קודם בקובץ ה-JSON של הממצא. הדף Pod details נפתח.

  6. בדף פרטי ה-Pod, כדאי לשים לב לכל מידע על ה-Pod שעשוי לעזור לכם לפתור את האיום.

שלב 4: בדיקת היומנים

  1. במסוף Google Cloud , עוברים אל Logs Explorer.

    כניסה לדף Logs Explorer

  2. בסרגל הכלים של Google Cloud המסוף, בוחרים את הפרויקט שמופיע בשם המשאב המלא (resource.name), אם צריך.

  3. מגדירים את Select time range לתקופה הרצויה.

  4. בדף שנטען, מבצעים את הפעולות הבאות:

    1. כדי למצוא את יומני ה-Pod של ה-Pod שלכם (kubernetes.pods.name), משתמשים במסנן הבא:
      • resource.type="k8s_container"
      • resource.labels.project_id="PROJECT_ID"
      • resource.labels.location="LOCATION"
      • resource.labels.cluster_name="CLUSTER_NAME"
      • resource.labels.namespace_name="NAMESPACE_NAME"
      • resource.labels.pod_name="POD_NAME"
    2. כדי למצוא יומני ביקורת של אשכול, משתמשים במסנן הבא:
      • logName="projects/PROJECT_NAME/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="PROJECT_ID"
      • resource.labels.location="LOCATION_OR_ZONE"
      • resource.labels.cluster_name="CLUSTER_NAME/var>"
      • POD_NAME
    3. כדי למצוא יומני מסוף של צומת GKE, משתמשים במסנן הבא:
      • resource.type="gce_instance"
      • resource.labels.instance_id="INSTANCE_ID"

שלב 5: בדיקת מאגר התגים הפעיל

אם הקונטיינר עדיין פועל, יכול להיות שאפשר לבדוק את סביבת הקונטיינר ישירות.

  1. נכנסים לדף Kubernetes clusters במסוף Google Cloud .

    מעבר אל Kubernetes clusters

  2. לוחצים על שם האשכול שמוצג ב-resource.labels.cluster_name.

  3. בדף Clusters (אשכולות), לוחצים על Connect (חיבור) ואז על Run in Cloud Shell (הפעלה ב-Cloud Shell).

    ‫Cloud Shell מופעל ומוסיף פקודות לאשכול בטרמינל.

  4. מקישים על Enter, ואם מופיעה תיבת הדו-שיח Authorize Cloud Shell, לוחצים על Authorize.

  5. מריצים את הפקודה הבאה כדי להתחבר לסביבת הקונטיינר:

      kubectl exec --namespace=POD_NAMESPACE -ti POD_NAME -c CONTAINER_NAME -- /bin/sh

    מחליפים את CONTAINER_NAME בשם של הקונטיינר שרשמתם קודם בסיכום הממצאים.

    כדי להשתמש בפקודה הזו, צריך להתקין מעטפת במיקום /bin/sh במאגר.

שלב 6: מחקר על שיטות תקיפה ותגובה

  1. כדי לקבל פרטים על הסיבה לכך שכתובת ה-URL מסווגת כזדונית, אפשר לבדוק את סטטוס האתר בגלישה הבטוחה.
  2. כדאי לעיין בערכים של מסגרת MITRE ATT&CK לגבי סוג הממצא הזה: העברת כלי כניסה.
  3. כדי לבדוק את ערך הגיבוב (hash) ‏SHA-256 של הקובץ הבינארי שסומן כזדוני ב-VirusTotal, לוחצים על הקישור באינדיקטור של VirusTotal. ‫VirusTotal הוא שירות בבעלות Alphabet שמספק הקשר לגבי קבצים, כתובות URL, דומיינים וכתובות IP שעלולים להיות זדוניים.
  4. כדי לפתח תוכנית תגובה, משלבים את תוצאות החקירה עם המחקר של MITRE והניתוח של VirusTotal.

שלב 7: מטמיעים את התגובה

תוכנית התגובה הבאה עשויה להתאים לממצא הזה, אבל היא עלולה גם להשפיע על הפעולות. חשוב לבדוק בקפידה את המידע שאספתם במהלך הבדיקה כדי להבין מהי הדרך הטובה ביותר לפתור את הבעיות.

המאמרים הבאים