Shell secundaria inesperada

En este documento, se describe un tipo de hallazgo de amenazas de Security Command Center. Los detectores de amenazas generan hallazgos de amenazas cuando identifican una posible amenaza en tus recursos de Cloud. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.

Descripción general

Container Threat Detection observó un proceso que generó inesperadamente un proceso de shell secundario. Este evento podría indicar que un atacante está intentando abusar de los comandos y las secuencias de comandos de shell.

Container Threat Detection es la fuente de este hallazgo.

Cómo responder

Para responder a este hallazgo, sigue los pasos que se indican a continuación:

Paso 1: Revisa los detalles del hallazgo

  1. Abre un hallazgo de Unexpected Child Shell, como se indica en Revisa los hallazgos. Se abrirá el panel de detalles del hallazgo en la pestaña Resumen.

  2. En la pestaña Resumen, revisa la información de las secciones que se indican a continuación:

    • Qué se detectó, en especial, los campos siguientes:
      • Proceso superior: Es el proceso que creó inesperadamente el proceso de shell secundario.
      • Proceso secundario: Es el proceso de shell secundario.
      • Argumentos: Son los argumentos proporcionados al objeto binario del proceso de shell secundario.
      • Variables de entorno: Son las variables de entorno del objeto binario del proceso de shell secundario.
      • Contenedores: Es el nombre del contenedor.
      • URI de contenedores: Es el URI de la imagen del contenedor.
      • Pods de Kubernetes: Son el nombre y el espacio de nombres del Pod.
    • Recurso afectado, en especial, los campos siguientes:
      • Nombre visible del recurso: Es el nombre del recurso afectado.
      • Nombre completo del recurso: Es el nombre completo del recurso del clúster. El nombre completo del recurso incluye la siguiente información:
        • El proyecto que contiene el clúster: projects/PROJECT_ID
        • La ubicación en la que se encuentra el clúster: either zone/ZONE or locations/LOCATION
        • El nombre del clúster: projects/CLUSTER_NAME
    • Vínculos relacionados, en especial los siguientes campos:
      • Indicador de VirusTotal: Es el vínculo a la página de análisis de VirusTotal.

  3. Haz clic en la pestaña JSON y observa los campos siguientes:

+processes: Es un array que contiene todos los procesos relacionados con el hallazgo. Este array incluye el proceso de shell secundario y el proceso superior. +resource: +project_display_name: Es el nombre del proyecto que contiene los recursos. +sourceProperties: +VM_Instance_Name: Es el nombre del nodo de GKE en el que se ejecutó el Pod.

Paso 2: Revisa el clúster y el nodo

  1. En la consola de Google Cloud , accede a la página Clústeres de Kubernetes.

    Acceder a Clústeres de Kubernetes

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Elige el clúster enumerado en resource.name. Toma nota de los metadatos sobre el clúster y su propietario.

  4. Haz clic en la pestaña Nodos. Elige el nodo que aparece en VM_Instance_Name.

  5. Haz clic en la pestaña Detalles y toma nota de la anotación container.googleapis.com/instance_id.

Paso 3: Revisa el Pod

  1. En la consola de Google Cloud , accede a la página Cargas de trabajo de Kubernetes.

    Ir a Cargas de trabajo en Kubernetes

  2. En la Google Cloud barra de herramientas de la consola, selecciona el proyecto que anotaste en el Nombre completo del recurso (resource.name) del clúster en el resumen del hallazgo, si es necesario.

  3. Haz clic en Mostrar cargas de trabajo del sistema.

  4. Filtra la lista de cargas de trabajo por el nombre del clúster que anotaste en Nombre completo del recurso (resource.name) del resumen del hallazgo y, si es necesario, el espacio de nombres (kubernetes.pods.ns) del Pod que anotaste.

  5. Haz clic en el nombre de la carga de trabajo que coincida con el valor de la propiedad VM_Instance_Name que anotaste antes en el JSON del hallazgo. Se abrirá la página Detalles del Pod.

  6. En la página Detalles del Pod, toma nota de cualquier información sobre el Pod que pueda ayudarte a resolver la amenaza.

Paso 4: Revisa los registros

  1. En la consola de Google Cloud , accede al Explorador de registros.

    Ir al Explorador de registros

  2. En la Google Cloud barra de herramientas de la consola, selecciona el proyecto que aparece en resource.project_display_name.

  3. Selecciona Seleccionar período en el período de interés.

  4. En la página que se carga, haz lo que se indica a continuación:

    1. Busca los registros del Pod por Pod_Name con el siguiente filtro:
      • resource.type="k8s_container"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • resource.labels.namespace_name="Pod_Namespace"
      • resource.labels.pod_name="Pod_Name"
    2. Busca los registros de auditoría del clúster con el siguiente filtro:
      • logName="projects/resource.project_display_name/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • Pod_Name
    3. Busca los registros de la consola de los nodos de GKE con el filtro siguiente:
      • resource.type="gce_instance"
      • resource.labels.instance_id="instance_id"

Paso 5: Investiga el contenedor en ejecución

Si el contenedor aún está en ejecución, se puede investigar directamente su entorno.

  1. Accede a la consola de Google Cloud .

    Abrir Google Cloud consola

  2. En la Google Cloud barra de herramientas de la consola, selecciona el proyecto que aparece en resource.project_display_name.

  3. Haz clic en Activate Cloud Shell (Activar Cloud Shell) .

  4. Obtén las credenciales de GKE para tu clúster mediante la ejecución de los siguientes comandos.

    Para los clústeres zonales, ejecuta lo siguiente:

      gcloud container clusters get-credentials cluster_name --zone location --project resource.project_display_name

    Para los clústeres regionales, ejecuta lo siguiente:

      gcloud container clusters get-credentials cluster_name --region location --project resource.project_display_name

  5. Para iniciar un shell dentro del entorno del contenedor, ejecuta lo siguiente:

      kubectl exec --namespace=Pod_Namespace -ti Pod_Name -c Container_Name -- /bin/sh

    Este comando requiere que el contenedor tenga una shell instalada en /bin/sh.

    Para ver todos los procesos que se ejecutan en el contenedor, ejecuta el siguiente comando en el shell del contenedor:

      ps axjf

    Este comando requiere que el contenedor tenga /bin/ps instalado.

Paso 6: Investiga los métodos de ataque y respuesta

  1. Revisa las entradas del framework MITRE ATT&CK para este tipo de hallazgo: Intérprete de comandos y secuencias de comandos: Shell de Unix.
  2. Para comprobar el valor de hash SHA-256 del objeto binario marcado como malicioso en VirusTotal, haz clic en el vínculo del indicador de VirusTotal. VirusTotal es un servicio propiedad de Alphabet que proporciona contexto sobre archivos, URLs, dominios y direcciones IP potencialmente maliciosos.
  3. Para elaborar un plan de respuesta, combina los resultados que recopilaste con la investigación de MITRE y el análisis de VirusTotal.

Paso 7: Implementa la respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas durante la investigación para determinar la mejor manera de resolver los hallazgos.

  • Comunícate con el propietario del proyecto en el que se encuentra el contenedor vulnerado.
  • Detén o borra el contenedor vulnerado y reemplázalo por un contenedor nuevo.

¿Qué sigue?