Rechteausweitung: ClusterRoleBinding für privilegierte Rolle

In diesem Dokument wird ein bestimmter Typ von Bedrohungsergebnissen in Security Command Center beschrieben. Bedrohungsergebnisse werden von Bedrohungsdetektoren generiert, wenn sie eine potenzielle Bedrohung in Ihren Cloud-Ressourcen erkennen. Eine vollständige Liste der verfügbaren Bedrohungsergebnisse finden Sie im Index der Bedrohungsergebnisse.

Übersicht

Jemand hat eine RBAC-ClusterRoleBinding erstellt, die auf die Standard-system:controller:clusterrole-aggregation-controller ClusterRole verweist. Diese Standardrolle ClusterRole hat das Verb escalate, mit dem Subjekte die Berechtigungen ihrer eigenen Rollen ändern können, was zu einer Rechteausweitung führt. Weitere Informationen finden Sie im Logeintrag für diese Benachrichtigung.

Die Quelle dieses Ergebnisses ist Event Threat Detection.

Maßnahmen

So reagieren Sie auf dieses Ergebnis:

  1. Sehen Sie sich alle ClusterRoleBinding an, in denen auf die system:controller:clusterrole-aggregation-controller ClusterRole verwiesen wird.
  2. Prüfen Sie alle Änderungen an der system:controller:clusterrole-aggregation-controller ClusterRole.
  3. Stellen Sie fest, ob die Audit-Logs in Cloud Logging weitere Anzeichen für schädliche Aktivitäten des Hauptkontos enthalten, das das Objekt vom Typ ClusterRoleBinding erstellt hat.

Nächste Schritte