本文档介绍了 Security Command Center 中的一种威胁发现结果类型。当威胁检测器在您的云资源中检测到潜在威胁时，会生成相应的威胁发现结果。如需查看可用威胁发现结果的完整列表，请参阅威胁发现结果索引。
概览
有人手动删除了证书签名请求 (CSR)。CSR 会被垃圾回收控制器自动移除，但恶意方可能会手动删除 CSR 以规避检测。如果已删除的 CSR 是针对已批准并已颁发的证书，那么潜在恶意方现在就有了额外的身份验证方法来访问集群。与证书关联的权限因包含的主体而异，但可能具有很高的权限。Kubernetes 不支持吊销证书。如需了解详情，请参阅此提醒的日志消息。
Event Threat Detection 是此发现结果的来源。
如何应答
以下响应方案可能适合此发现结果，但也可能会影响运营。 请仔细评估您在研究中收集的信息，以确定解析发现结果的最佳方法。
如需响应此发现结果，请执行以下操作：
- 查看 Cloud Logging 中的审核日志和与此 CSR 相关的其他事件的更多提醒，以确定 CSR 是否
approved，以及 CSR 的创建是否是主账号执行的预期活动。 - 确定 Cloud Logging 的审核日志中是否存在主账号执行的其他恶意活动迹象。例如：
- 删除 CSR 的主账号是否与创建或批准 CSR 的主账号不同？
- 主账号是否尝试过请求、创建、批准或删除其他 CSR？
- 如果 CSR 审批不在预期之内，或者被认定为是恶意的，集群将需要进行凭证变换以使证书失效。请查看相关指南以了解如何执行集群凭证变换。
后续步骤
- 了解如何在 Security Command Center 中处理威胁发现结果。
- 查看威胁发现结果索引。
- 了解如何通过 Google Cloud 控制台查看发现结果。
- 了解生成威胁发现结果的服务。