Accesso iniziale: risorsa GKE modificata in modo anonimo da internet

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati di minaccia vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle risorse cloud. Per un elenco completo dei risultati di minaccia disponibili, consulta l'indice dei risultati di minaccia.

Panoramica

Un malintenzionato ha utilizzato uno dei seguenti utenti o gruppi di utenti predefiniti di Kubernetes per modificare una risorsa Kubernetes nel cluster:

  • system:anonymous
  • system:authenticated
  • system:unauthenticated

Questi utenti e gruppi sono effettivamente anonimi. Un binding del controllo degli accessi basato sui ruoli (RBAC) nel cluster ha concesso all'utente l'autorizzazione a modificare queste risorse nel cluster.

Event Threat Detection è l'origine di questo risultato.

Come rispondere

Il seguente piano di risposta potrebbe essere appropriato per questo risultato, ma potrebbe anche influire sulle operazioni. Valuta attentamente le informazioni raccolte durante l'indagine per determinare il modo migliore per risolvere i risultati.

Per rispondere a questo risultato:

  1. Esamina la risorsa modificata e il binding RBAC associato per assicurarti che il binding sia necessario. Se il binding non è necessario, rimuovilo. Per maggiori dettagli, consulta il messaggio di log per questo risultato.
  2. Per scoprire di più su come risolvere questo risultato, consulta Evitare ruoli e gruppi predefiniti.

Passaggi successivi