Testa le minacce correlate

Anteprima

Questa funzionalità è soggetta ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

Livelli di servizio Premium ed Enterprise (ritirati)

Il livello di servizio Security Command Center Enterprise verrà arrestato il 21 maggio 2027. Se la tua organizzazione utilizza il livello di servizio Enterprise, verrà eseguito automaticamente il passaggio al livello di servizio Premium a partire dal 21 maggio 2027. Contatta il tuo rappresentante dell'account o uno specialista delle vendite diGoogle Cloud se hai domande.

Questa pagina descrive come verificare che le minacce correlate funzionino emulando le minacce per attivare intenzionalmente i rilevatori di Security Command Center e creare risultati. Questi risultati relativi alle minacce creano problemi di minacce correlate per ogni regola.

Per saperne di più sulle minacce correlate, consulta la panoramica delle minacce correlate. Se vuoi generare risultati che producono minacce correlate, devi abilitare i servizi di rilevamento delle minacce appropriati nelle impostazioni di Security Command Center.

Configura l'ambiente

Queste procedure di test richiedono sia un cluster GKE sia la possibilità di eseguire il provisioning delle VM Compute Engine. Assicurati che il cluster di test utilizzi una versione supportata di Google Kubernetes Engine (GKE). Per maggiori informazioni, consulta la sezione Utilizzare una versione di GKE supportata.

Prima di testare le minacce correlate, devi prima selezionare un progetto con il cluster GKE appropriato, attivare Cloud Shell e impostare diverse variabili di ambiente. A questo scopo, procedi nel seguente modo:

1. Vai alla consoleGoogle Cloud .

   Vai alla console Google Cloud

2. Seleziona il progetto in cui vuoi testare le minacce correlate.

3. Fai clic su Attiva Cloud Shell.

4. In Cloud Shell, imposta le variabili di ambiente.

   1. Specifica il progetto, la zona e il cluster GKE da utilizzare per il test:

      export PROJECT=PROJECT_ID
      export ZONE=ZONE
      export CLUSTER_NAME=CLUSTER_NAME
      

   2. Ottieni le credenziali per il tuo cluster:

      gcloud container clusters get-credentials $CLUSTER_NAME \
          --zone $ZONE \
          --project $PROJECT
      

Emulare un attacco di mining di criptovalute

Questa sezione descrive come emulare il mining di criptovalute e creare un problema di minacce correlate utilizzando la console Google Cloud e Cloud Shell. Per farlo, devi prima attivare Cloud Shell, selezionare un progetto e poi eseguire il test.

Per testare Correlated Threats emulando il mining di criptovalute:

1. Configura l'ambiente

2. Per attivare un problema di minacce correlate alle criptovalute, crea due risultati: Impact: suspicious crypto mining activity using the stratum protocol e Malware: Cryptomining Bad IP. Per attivare questi due risultati, esegui i seguenti comandi:

   tag="correlated-threat-test-crypto-$(date -u +%Y-%m-%d-%H-%M-%S-utc)"
   kubectl run \
        --restart=Never \
        --image marketplace.gcr.io/google/ubuntu2404:latest \
        "$tag" -- bash -c \
        "apt-get update ; apt-get install -y curl ; cp /bin/ls /tmp/curl; /tmp/curl --url=stratum+tcp ; for i in {1..5}; do curl 34.66.147.47 > /dev/null; done; sleep infinity"
   

   La visualizzazione del problema Minacce correlate può richiedere fino a un'ora.

3. Dopo aver generato il problema Minacce correlate, esegui la pulizia eseguendo il seguente comando per eliminare il pod Kubernetes utilizzato per il test.

   kubectl delete pod "$tag"
   

Simulare un attacco malware

Questa sezione descrive come emulare un attacco malware e creare un problema di minacce correlate utilizzando la console Google Cloud e Cloud Shell. Per farlo, attiva prima Cloud Shell, seleziona un progetto e poi esegui il test.

Per testare Correlated Threats emulando un attacco malware:

1. Configura l'ambiente.

2. Per attivare un problema di minacce correlate di malware, crea due risultati: Execution: Local Reconnaissance Tool Execution e Execution: Added Malicious Binary Executed. Per creare un pod Ubuntu 24.04 nel tuo cluster GKE e attivare questi due risultati, esegui i seguenti comandi:

   tag="correlated-threat-test-malware-$(date -u +%Y-%m-%d-%H-%M-%S-utc)"
   eicar='X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*'
   kubectl run \
        --restart=Never \
        --image marketplace.gcr.io/google/ubuntu2404:latest \
        "$tag" -- sh -c \
        "cp /bin/ls /tmp/linenum.sh; /tmp/linenum.sh; touch /tmp/test_mal_file; echo -n '$eicar' > /tmp/test_mal_file; chmod 700 /tmp/test_mal_file; /tmp/test_mal_file; sleep infinity"
   

   Potrebbe essere necessaria fino a un'ora prima che venga visualizzato il problema Minacce correlate.

3. Dopo aver generato il problema di minaccia correlata, esegui la pulizia eseguendo il seguente comando per eliminare il pod Kubernetes utilizzato per il test.

   kubectl delete pod "$tag"
   

Emula un attacco di movimento laterale su GKE

Questa sezione descrive come emulare un attacco di movimento laterale su GKE e creare un problema di minacce correlate utilizzando la consoleGoogle Cloud e Cloud Shell. Per farlo, devi prima attivare Cloud Shell, selezionare un progetto e poi eseguire il test.

Per testare le minacce correlate emulando un attacco di movimento laterale, segui questi passaggi:

1. Configura l'ambiente.

2. Per attivare un problema di minacce correlate di movimento laterale, devi creare due risultati: Privilege Escalation: Launch of privileged Kubernetes container e Execution: Container Escape. Per creare un pod Ubuntu nel cluster GKE e attivare questi due risultati, esegui i seguenti comandi:

   tag="correlated-threat-test-podlatmove-$(date -u +%Y-%m-%d-%H-%M-%S-utc)"
   kubectl run \
        --restart=Never \
        --image marketplace.gcr.io/google/ubuntu2404:latest "$tag" \
        --privileged \
        -- bash -c \
           "cp /bin/ls /tmp/botb-linux-amd64; sleep 300; /tmp/botb-linux-amd64 -autopwn; sleep infinity"
   

   Potrebbe essere necessaria fino a un'ora prima che venga visualizzato il problema Minacce correlate.

3. Dopo aver generato il problema Minacce correlate, esegui la pulizia eseguendo il seguente comando per eliminare il pod Kubernetes utilizzato per i test.

   kubectl delete pod "$tag"
   

Emula un attacco di movimento laterale su Compute Engine

Questa sezione descrive come emulare un attacco di movimento laterale su Compute Engine e creare un problema di minacce correlate utilizzando la consoleGoogle Cloud e Cloud Shell. Per farlo, devi prima attivare Cloud Shell, selezionare un progetto ed eseguire il test.

Per testare le minacce correlate emulando un attacco di movimento laterale, segui questi passaggi:

1. Configura l'ambiente.

2. Crea un file denominato lateral_movement_test.sh con i seguenti contenuti. Questo script crea più VM di Compute Engine e genera i due seguenti risultati: Lateral Movement: Modified Boot Disk Attached to Instance e Malware: Bad IP.

   #!/bin/bash
   # emulates a boot disk swap followed by malicious IP to trigger correlated threats.
   
   set -euo pipefail
   
   # --- Default values ---
   readonly IMAGE_FAMILY="debian-12"
   readonly IMAGE_PROJECT="debian-cloud"
   TIMESTAMP=$(date +%s)
   TARGET_INSTANCE_NAME="target-vm-${TIMESTAMP}"
   WORKER_INSTANCE_NAME="worker-vm-${TIMESTAMP}"
   PROJECT_ID=""
   ZONE=""
   
   # --- Usage function ---
   usage() {
     echo "Usage: $0 --project_id <PROJECT_ID> --zone <ZONE> [OPTIONS]"
     echo "emulates a boot disk swap followed by malicious IP to trigger correlated threats."
     echo
     echo "Required arguments:"
     echo "  --project_id <PROJECT_ID>  Your Google Cloud Project ID"
     echo "  --zone <ZONE>              The Google Cloud zone to create resources in (e.g., us-central1-a)"
     echo
     echo "Optional arguments:"
     echo "  --help                   Display this help message"
   }
   
   # --- Function to run gcloud commands with --quiet ---
   run_gcloud() {
     echo "Running: gcloud $*"
     gcloud "$@" --quiet
   }
   
   main() {
     # --- Parse arguments ---
     while [[ $# -gt 0 ]]; do
       case "$1" in
         --project_id)
           PROJECT_ID="$2"
           shift 2
           ;;
         --zone)
           ZONE="$2"
           shift 2
           ;;
         --help)
           usage
           exit 0
           ;;
         *)
           echo "Unknown option: $1" >&2
           usage >&2
           exit 1
           ;;
       esac
     done
   
     # --- Validate required arguments ---
     if [[ -z "${PROJECT_ID}" ]]; then
       echo "Error: --project_id is required." >&2
       usage >&2
       exit 1
     fi
   
     if [[ -z "${ZONE}" ]]; then
       echo "Error: --zone is required." >&2
       usage >&2
       exit 1
     fi
   
     # The boot disk name defaults to the instance name
     BOOT_DISK_NAME=$TARGET_INSTANCE_NAME
   
     echo "Starting script with the following settings:"
     echo "PROJECT_ID:           ${PROJECT_ID}"
     echo "ZONE:                 ${ZONE}"
     echo "TARGET_INSTANCE_NAME: ${TARGET_INSTANCE_NAME}"
     echo "WORKER_INSTANCE_NAME: ${WORKER_INSTANCE_NAME}"
     echo "BOOT_DISK_NAME:       ${BOOT_DISK_NAME}"
     echo "IMAGE_FAMILY:         ${IMAGE_FAMILY}"
     echo "IMAGE_PROJECT:        ${IMAGE_PROJECT}"
     echo "--------------------------------------------------"
   
     # Set context
     gcloud config set project "${PROJECT_ID}"
     gcloud config set compute/zone "${ZONE}"
   
     echo "Step 1: Create target VM: ${TARGET_INSTANCE_NAME}"
     run_gcloud compute instances create "${TARGET_INSTANCE_NAME}" \
       --image-family="${IMAGE_FAMILY}" \
       --image-project="${IMAGE_PROJECT}" \
       --no-address
   
     echo "Step 2: Create worker VM: ${WORKER_INSTANCE_NAME}"
     run_gcloud compute instances create "${WORKER_INSTANCE_NAME}" \
       --image-family="${IMAGE_FAMILY}" \
       --image-project="${IMAGE_PROJECT}" \
       --no-address
   
     echo "Step 3: Stop target VM: ${TARGET_INSTANCE_NAME}"
     run_gcloud compute instances stop "${TARGET_INSTANCE_NAME}"
   
     echo "Step 4: Detach boot disk from target VM"
     run_gcloud compute instances detach-disk "${TARGET_INSTANCE_NAME}" --disk="${BOOT_DISK_NAME}"
   
     echo "Step 5: Attach disk to worker VM: ${WORKER_INSTANCE_NAME}"
     run_gcloud compute instances attach-disk "${WORKER_INSTANCE_NAME}" --disk="${BOOT_DISK_NAME}"
   
     echo " << At this point, the disk is attached to the worker VM >>"
     echo " << Malicious modifications could theoretically be made here >>"
   
     echo "Step 6: Detach disk from worker VM"
     run_gcloud compute instances detach-disk "${WORKER_INSTANCE_NAME}" --disk="${BOOT_DISK_NAME}"
   
     echo "Step 7: Re-attach disk to target VM as boot disk"
     run_gcloud compute instances attach-disk "${TARGET_INSTANCE_NAME}" --disk="${BOOT_DISK_NAME}" --boot
   
     echo "Step 8: Start target VM"
     run_gcloud compute instances start "${TARGET_INSTANCE_NAME}"
   
     echo -n "Step 9: Wait for instance SSH to be available"
     until gcloud compute ssh "${TARGET_INSTANCE_NAME}" --command="true" 2>/dev/null; do
       echo -n "."
       sleep 2
     done
     echo
   
     echo "Step 10: Trigger bad IP findings"
     run_gcloud compute ssh "${TARGET_INSTANCE_NAME}" \
       --command="for i in {1..5}; do curl 34.66.147.47 > /dev/null 2>/dev/null; done;"
   
     echo "Step 11: Delete worker VM: ${WORKER_INSTANCE_NAME}"
     run_gcloud compute instances delete "${WORKER_INSTANCE_NAME}"
   
     echo "--- Testing Complete ---"
     echo "The script has completed executing the patterns to trigger a correlated"
     echo "threats issue. Check the Security Command Center Issues page."
     echo
     echo "After observing the issue, delete the target VM using:"
     echo "  gcloud compute instances delete ${TARGET_INSTANCE_NAME}"
   
     echo "${TARGET_INSTANCE_NAME}" > ./.lateral_movement_test_name
   }
   
   main "$@"
   

3. Rendi eseguibile lo script:

   chmod +x lateral_movement_test.sh
   

4. Per generare i risultati, esegui lo script:

   ./lateral_movement_test.sh --project_id $PROJECT --zone $ZONE
   

   Potrebbe essere necessaria fino a un'ora prima che venga visualizzato il problema Minacce correlate.

5. Dopo aver generato il problema, esegui la pulizia utilizzando il comando fornito nell'output dello script di test:

   gcloud compute instances delete $(cat .lateral_movement_test_name) && rm -f .lateral_movement_test_name
   

Passaggi successivi

• Scopri come funziona Correlated Threats.