Este documento descreve um tipo de descoberta de ameaças no Security Command Center. Essas descobertas são geradas por detectores de ameaças quando detectam um risco nos recursos da nuvem. Para ver uma lista completa, consulte Índice de descobertas de ameaças.
Visão geral
Um arquivo de configuração cron foi modificado. Modificações em jobs do
cron são uma tática comum usada por invasores para estabelecer
acesso persistente aos sistemas. Os invasores podem usar mudanças não autorizadas em jobs do
cron para executar comandos maliciosos em intervalos específicos,
permitindo que eles mantenham o acesso e o controle sobre o sistema.
Essas modificações podem passar despercebidas e permitir que os invasores realizem
atividades furtivas por um longo período.
É um detector de monitoramento de arquivos e tem requisitos específicos de versão do GKE.
Esse detector fica desativado por padrão. Para instruções sobre a ativação, consulte Testar a Detecção de Ameaças em Contêiner.
A Detecção de Ameaças em Contêiner é a origem dessa descoberta.
Como responder
Para responder a essa descoberta:
Analisar os detalhes da descoberta
Abra a descoberta
Execution: Suspicious Cron Modification, conforme explicado em Analisar uma descoberta. Confira os detalhes nas guias Resumo e JSON.Identifique outras descobertas que ocorreram em um momento semelhante para esse recurso. As descobertas relacionadas podem indicar que essa atividade era mal-intencionada, e não uma falha em seguir as práticas recomendadas.
Revise as configurações do recurso afetado.
Verifique os registros desse recurso.
Pesquisar métodos de ataque e resposta
Analise a entrada do framework MITRE ATT&CK para esse tipo de descoberta: Execução.
A seguir
- Saiba como usar descobertas de ameaças no Security Command Center.
- Consulte Índice de descobertas de ameaças.
- Aprenda a analisar uma descoberta no console do Google Cloud .
- Saiba mais sobre os serviços que geram descobertas de ameaças.