במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.
סקירה כללית
מישהו פרס עומס עבודה עם האפשרות shareProcessNamespace שמוגדרת ל-true, וכך מאפשר לכל הקונטיינרים לחלוק את אותו מרחב שמות של תהליך Linux. הדבר עלול לאפשר לקונטיינר לא מהימן או שנפרץ להשיג הרשאות גבוהות יותר על ידי גישה למשתני סביבה, לזיכרון ולנתונים רגישים אחרים מתהליכים שפועלים בקונטיינרים אחרים, ושליטה בהם. יכול להיות שעומסי עבודה מסוימים ידרשו את הפונקציונליות הזו כדי לפעול מסיבות לגיטימיות, כמו קונטיינרים של sidecar לטיפול ביומנים או קונטיינרים לניפוי באגים. פרטים נוספים זמינים בהודעה ביומן לגבי ההתראה הזו.
המקור של הממצא הזה הוא Event Threat Detection.
איך מגיבים
כדי להגיב לממצא הזה:
- מוודאים שעומס העבודה אכן דורש גישה למרחב שמות משותף של תהליכים לכל הקונטיינרים בעומס העבודה.
- בודקים אם יש סימנים אחרים לפעילות זדונית של החשבון ביומני הביקורת ב-Cloud Logging.
- אם החשבון הראשי הוא לא חשבון שירות (IAM או Kubernetes), צריך לפנות לבעלים של החשבון כדי לוודא שהוא ביצע את הפעולה.
- אם חשבון המשתמש הוא חשבון שירות (IAM או Kubernetes), צריך לזהות את הלגיטימיות של מה שגרם לחשבון השירות לבצע את הפעולה הזו.
המאמרים הבאים
- איך עובדים עם ממצאי איומים ב-Security Command Center
- אפשר לעיין באינדקס של ממצאי איומים.
- איך בודקים ממצא דרך מסוף Google Cloud .
- מידע על השירותים שמפיקים ממצאים לגבי איומים