Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Shell secondaria imprevista

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati di minaccia vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle risorse cloud. Per un elenco completo dei risultati di minaccia disponibili, consulta l'indice dei risultati di minaccia.

Panoramica

Container Threat Detection ha osservato un processo che ha generato in modo imprevisto un processo shell figlio. Questo evento potrebbe indicare che un utente malintenzionato sta tentando di utilizzare in modo illecito comandi e script della shell.

Container Threat Detection è l'origine di questo risultato.

Come rispondere

Per rispondere a questo risultato, procedi nel seguente modo:

Passaggio 1: esamina i dettagli del risultato

Apri un risultato Unexpected Child Shell come indicato in Esaminare i risultati. Si apre il riquadro dei dettagli del risultato nella scheda Riepilogo.
Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:
- Che cosa è stato rilevato, in particolare i seguenti campi:
  - Processo padre: il processo che ha creato in modo imprevisto il processo shell figlio.
  - Processo figlio: il processo shell figlio.
  - Argomenti: gli argomenti forniti al file binario del processo shell figlio.
  - Variabili di ambiente: le variabili di ambiente del file binario del processo shell figlio.
  - Container: il nome del container.
  - URI container: l'URI dell'immagine del container.
  - Pod Kubernetes: il nome e lo spazio dei nomi del pod.
- Risorsa interessata, in particolare i seguenti campi:
  - Nome visualizzato risorsa: il nome della risorsa interessata.
  - Nome completo risorsa: il nome completo della risorsa del cluster. Il nome completo della risorsa include le seguenti informazioni:
    - Il progetto che contiene il cluster: projects/PROJECT_ID
    - La località in cui si trova il cluster: either zone/ZONE or locations/LOCATION
    - Il nome del cluster: projects/CLUSTER_NAME
- Link correlati, in particolare i seguenti campi:
  - Indicatore VirusTotal: link alla pagina di analisi di VirusTotal.
Fai clic sulla scheda JSON e prendi nota dei seguenti campi:

+processes: un array contenente tutti i processi correlati al risultato. Questo array include il processo shell figlio e il processo padre. +resource: +project_display_name: il nome del progetto che contiene gli asset. +sourceProperties: +VM_Instance_Name: il nome del nodo GKE in cui è stato eseguito il pod.

Passaggio 2: esamina il cluster e il nodo

Nella Google Cloud console, vai alla pagina Cluster Kubernetes.

Vai ai cluster Kubernetes
Nella barra degli strumenti della Google Cloud console, seleziona il progetto elencato in resource.project_display_name, se necessario.
Seleziona il cluster elencato in resource.name. Prendi nota di eventuali metadati su l cluster e sul relativo proprietario.
Fai clic sulla scheda Nodi. Seleziona il nodo elencato in VM_Instance_Name.
Fai clic sulla scheda Dettagli e prendi nota dell' container.googleapis.com/instance_id annotazione.

Passaggio 3: esamina il pod

Nella Google Cloud console, vai alla pagina Carichi di lavoro Kubernetes.

Vai ai carichi di lavoro Kubernetes
Nella Google Cloud barra degli strumenti della console, seleziona il progetto che hai annotato nel Nome completo risorsa (resource.name) del cluster nel riepilogo del risultato, se necessario.
Fai clic su Mostra workload del sistema.
Filtra l'elenco dei carichi di lavoro in base al nome del cluster che hai annotato in Nome completo risorsa (resource.name) del riepilogo del risultato e, se necessario, al Spazio dei nomi del pod (kubernetes.pods.ns) che hai annotato.
Fai clic sul nome del carico di lavoro che corrisponde al valore della proprietà VM_Instance_Name che hai annotato in precedenza nel JSON del risultato. Si apre la pagina Dettagli pod.
Nella pagina Dettagli pod, prendi nota di eventuali informazioni sul pod che potrebbero aiutarti a risolvere la minaccia.

Passaggio 4: controlla i log

Nella Google Cloud console, vai a Esplora log.

Vai a Esplora log
Nella barra degli strumenti della Google Cloud console, seleziona il progetto elencato in resource.project_display_name.
Imposta Seleziona intervallo di tempo sul periodo di interesse.
Nella pagina che viene caricata, procedi nel seguente modo:
1. Trova i log dei pod per Pod_Name utilizzando il seguente filtro:
  - resource.type="k8s_container"
  - resource.labels.project_id="resource.project_display_name"
  - resource.labels.location="location"
  - resource.labels.cluster_name="cluster_name"
  - resource.labels.namespace_name="Pod_Namespace"
  - resource.labels.pod_name="Pod_Name"
2. Trova gli audit log del cluster utilizzando il seguente filtro:
  - logName="projects/resource.project_display_name/logs/cloudaudit.googleapis.com%2Factivity"
  - resource.type="k8s_cluster"
  - resource.labels.project_id="resource.project_display_name"
  - resource.labels.location="location"
  - resource.labels.cluster_name="cluster_name"
  - Pod_Name
3. Trova i log della console dei nodi GKE utilizzando il seguente filtro:
  - resource.type="gce_instance"
  - resource.labels.instance_id="instance_id"

Passaggio 5: esamina il container in esecuzione

Se il container è ancora in esecuzione, potrebbe essere possibile esaminare direttamente l'ambiente del container.

Vai alla Google Cloud console.

Apri Google Cloud console
Nella barra degli strumenti della Google Cloud console, seleziona il progetto elencato in resource.project_display_name.
Fai clic su Attiva Cloud Shell.

Ottieni le credenziali GKE per il tuo cluster eseguendo i seguenti comandi.

Per i cluster a livello di zona, esegui il comando seguente:

  gcloud container clusters get-credentials cluster_name --zone location --project resource.project_display_name

Per i cluster a livello di regione, esegui il comando seguente:

  gcloud container clusters get-credentials cluster_name --region location --project resource.project_display_name

Per avviare una shell nell'ambiente del container, esegui il comando seguente:
```
  kubectl exec --namespace=Pod_Namespace -ti Pod_Name -c Container_Name -- /bin/sh
```
Questo comando richiede che nel container sia installata una shell in /bin/sh.

Per visualizzare tutti i processi in esecuzione nel container, esegui il comando seguente nella shell del container:
```
  ps axjf
```
Questo comando richiede che nel container sia installato /bin/ps.

Passaggio 6: ricerca i metodi di attacco e risposta

Esamina le voci del framework MITRE ATT&CK per questo tipo di risultato: Interprete di comandi e script: shell Unix.
Controlla il valore hash SHA-256 del file binario contrassegnato come dannoso su VirusTotal facendo clic sul link in Indicatore VirusTotal. VirusTotal è un servizio di proprietà di Alphabet che fornisce il contesto di file, URL, domini e indirizzi IP potenzialmente dannosi.
Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE e l'analisi di VirusTotal.

Passaggio 7: implementa la risposta

Il seguente piano di risposta potrebbe essere appropriato per questo risultato, ma potrebbe anche influire sulle operazioni. Valuta attentamente le informazioni raccolte durante l'indagine per determinare il modo migliore per risolvere i risultati.

Contatta il proprietario del progetto con il container compromesso.
Arresta o elimina il container compromesso e sostituiscilo con un nuovo container.

Passaggi successivi

Scopri come utilizzare i risultati di minaccia in Security Command Center.
Consulta l'indice dei risultati di minaccia.
Scopri come esaminare un risultato tramite la Google Cloud console.
Scopri i servizi che generano risultati di minaccia.