Panoramica di Container Threat Detection

È stato eseguito un binario che non faceva parte dell'immagine container originale.

Se un binario aggiunto viene eseguito da un utente malintenzionato, è un possibile segno che l'utente malintenzionato ha il controllo del workload e sta eseguendo comandi arbitrari.

Questo rilevatore è disattivato per impostazione predefinita. Per istruzioni su come abilitarlo, vedi Testare Container Threat Detection.

I risultati sono classificati come gravità Bassa.

È stata caricata una libreria che non faceva parte dell'immagine container originale.

Se una libreria aggiunta viene caricata, è un possibile segnale che un malintenzionato ha il controllo del workload e sta eseguendo codice arbitrario.

Questo rilevatore è disattivato per impostazione predefinita. Per istruzioni su come abilitarlo, vedi Testare Container Threat Detection.

I risultati sono classificati come gravità Bassa.

Uno dei file binari o di configurazione nella directory pam.d è stato modificato.

PAM è ampiamente utilizzato per l'autenticazione in Linux. Gli autori degli attacchi possono modificare i file binari o di configurazione per stabilire un accesso persistente.

Si tratta di un rilevatore di monitoraggio dei file e ha requisiti specifici per la versione di GKE. Questo rilevatore è disattivato per impostazione predefinita. Per istruzioni su come abilitarlo, vedi Testare Container Threat Detection.

È stato eseguito un programma identificato come strumento di steganografia comunemente presente in ambienti simili a Unix, il che indica un potenziale tentativo di nascondere la comunicazione o il trasferimento di dati.

Gli autori degli attacchi potrebbero utilizzare tecniche steganografiche per incorporare istruzioni di comando e controllo (C2) dannose o dati esfiltrati all'interno di file digitali apparentemente innocui, con l'obiettivo di eludere il monitoraggio e il rilevamento della sicurezza standard. Identificare l'utilizzo di questi strumenti è fondamentale per scoprire attività dannose nascoste.

I risultati sono classificati come gravità Critica.

È stato eseguito un programma che ha eseguito l'accesso a /etc/shadow o SSH authorized_keys.

Gli autori degli attacchi potrebbero accedere ai file di autorizzazione per copiare gli hash delle password.

Si tratta di un rilevatore di monitoraggio dei file e ha requisiti specifici per la versione di GKE. Questo rilevatore è disattivato per impostazione predefinita. Per istruzioni su come abilitarlo, vedi Testare Container Threat Detection.

È stato eseguito un comando per cercare Google Cloud chiavi private, password o altre credenziali sensibili all'interno dell'ambiente del container.

Un malintenzionato potrebbe utilizzare credenziali Google Cloud rubate per ottenere l'accesso illegittimo a dati o risorse sensibili all'interno dell'ambiente Google Cloud di destinazione.

I risultati sono classificati come gravità Bassa.

Questo rilevatore è disattivato per impostazione predefinita. Per impostazione predefinita, i risultati vengono classificati come gravità Bassa. Per istruzioni su come abilitarlo, vedi Testare Container Threat Detection.

È stato eseguito un comando per cercare le chiavi di sicurezza GPG.

Un malintenzionato potrebbe utilizzare chiavi di sicurezza GPG rubate per ottenere l'accesso non autorizzato a comunicazioni o file criptati.

I risultati sono classificati come gravità Critica.

È stato eseguito un comando per cercare chiavi private, password o altre credenziali sensibili all'interno dell'ambiente del container, indicando un potenziale tentativo di raccogliere dati di autenticazione.

Gli autori degli attacchi spesso cercano file di credenziali per ottenere l'accesso non autorizzato ai sistemi, aumentare i privilegi o spostarsi lateralmente all'interno dell'ambiente. Il rilevamento di queste attività è fondamentale per prevenire violazioni della sicurezza.

I risultati sono classificati come gravità Bassa.

È stato eseguito un processo che contiene un argomento che è un file ELF (Executable and Linkable Format).

Se viene rilevata l'esecuzione di un file ELF codificato, significa che un malintenzionato sta tentando di codificare dati binari per il trasferimento a righe di comando solo ASCII. Gli autori degli attacchi possono utilizzare questa tecnica per eludere il rilevamento ed eseguire codice dannoso incorporato in un file ELF.

I risultati sono classificati come gravità Media.

È stato eseguito un processo che contiene un argomento che è uno script Python con codifica Base64.

Se viene rilevata l'esecuzione di uno script Python codificato, significa che un malintenzionato sta tentando di codificare dati binari per il trasferimento a righe di comando solo ASCII. Gli autori degli attacchi possono utilizzare questa tecnica per eludere il rilevamento ed eseguire codice dannoso incorporato in uno script Python.

I risultati sono classificati come gravità Media.

È stato eseguito un processo che contiene un argomento che è uno script shell con codifica Base64.

Se viene rilevata l'esecuzione di uno script shell codificato, significa che un malintenzionato sta tentando di codificare dati binari per il trasferimento a righe di comando solo ASCII. Gli autori degli attacchi possono utilizzare questa tecnica per eludere il rilevamento ed eseguire codice dannoso incorporato in uno script shell.

I risultati sono classificati come gravità Media.

Uno dei file di configurazione o di logging del sistema di controllo è stato modificato.

Si tratta di un rilevatore di monitoraggio dei file e ha requisiti specifici per la versione di GKE. Questo rilevatore è disattivato per impostazione predefinita. Per istruzioni su come abilitarlo, vedi Testare Container Threat Detection.

È stato avviato un processo per lanciare uno strumento di compilazione del codice all'interno dell'ambiente container, il che indica un potenziale tentativo di creare o modificare codice eseguibile in un contesto isolato.

Gli autori degli attacchi potrebbero utilizzare i compilatori di codice all'interno dei container per sviluppare payload dannosi, inserire codice in file binari esistenti o creare strumenti per aggirare i controlli di sicurezza, il tutto operando in un ambiente meno controllato per evitare il rilevamento sul sistema host.

I risultati sono classificati come gravità Bassa.

Sul nodo è stato installato un certificato radice.

Gli avversari potrebbero installare un certificato radice per evitare avvisi di sicurezza quando stabiliscono connessioni ai loro server web dannosi. Gli autori degli attacchi potrebbero effettuare attacchi man-in-the-middle, intercettando dati sensibili scambiati tra la vittima e i server dell'avversario, senza attivare alcun avviso.

Si tratta di un rilevatore di monitoraggio dei file e ha requisiti specifici per la versione di GKE. Questo rilevatore è disattivato per impostazione predefinita. Per istruzioni su come abilitarlo, vedi Testare Container Threat Detection.

È stato eseguito un binario che soddisfa le seguenti condizioni:

• Identificato come dannoso in base a Threat Intelligence
• Non fa parte dell'immagine container originale

Se viene eseguito un binario dannoso aggiunto, è un chiaro segnale che un malintenzionato ha il controllo del workload e sta eseguendo software dannoso.

I risultati sono classificati come gravità Critica.

È stata caricata una libreria che soddisfa le seguenti condizioni:

• Identificato come dannoso in base a Threat Intelligence
• Non fa parte dell'immagine container originale

Se viene caricata una libreria dannosa aggiunta, è un chiaro segnale che un utente malintenzionato ha il controllo del carico di lavoro e sta eseguendo software dannoso.

I risultati sono classificati come gravità Critica.

È stato eseguito un binario che soddisfa le seguenti condizioni:

• Identificato come dannoso in base a Threat Intelligence
• Inclusa nell'immagine container originale

Se viene eseguito un file binario dannoso integrato, è un segnale che l'attaccante sta eseguendo il deployment di container dannosi. Potrebbero aver ottenuto il controllo di un repository di immagini o di una pipeline di build di container legittimi e aver inserito un binario dannoso nell'immagine container.

I risultati sono classificati come gravità Critica.

All'interno del container è stato eseguito un processo che ha tentato di uscire dall'isolamento del container, dando potenzialmente all'attaccante l'accesso al sistema host.

Se viene rilevato un tentativo di attacco container escape, potrebbe indicare che un malintenzionato sta sfruttando le vulnerabilità per uscire dal container. Di conseguenza, l'aggressore potrebbe ottenere l'accesso non autorizzato al sistema host o a un'infrastruttura più ampia, compromettendo l'intero ambiente.

I risultati sono classificati come gravità Critica.

È stato eseguito un processo utilizzando un descrittore di file in memoria.

Se un processo viene avviato da un file in memoria, ciò potrebbe indicare che un utente malintenzionato sta tentando di aggirare altri metodi di rilevamento per eseguire codice dannoso.

I risultati sono classificati come gravità Alta.

L'esecuzione di CVE-2025-1974 può essere rilevata monitorando le esecuzioni di Nginx con argomenti che includono riferimenti al file system /proc nel container ingress-nginx, il che indica una potenziale esecuzione di codice remoto.

Questa classe di vulnerabilità può consentire a utenti malintenzionati di eseguire codice arbitrario all'interno del controller ingress-nginx, potenzialmente portando alla compromissione di secret Kubernetes sensibili.

I risultati sono classificati come gravità Media.

Nell'ambiente è stato eseguito uno strumento di attacco specifico per Kubernetes, il che potrebbe indicare che un malintenzionato sta prendendo di mira i componenti del cluster Kubernetes.

Se uno strumento di attacco viene eseguito all'interno dell'ambiente Kubernetes, ciò potrebbe suggerire che un malintenzionato ha ottenuto l'accesso al cluster e sta utilizzando lo strumento per sfruttare vulnerabilità o configurazioni specifiche di Kubernetes.

I risultati sono classificati come gravità Critica.

È stato eseguito uno strumento di ricognizione locale non associato in genere al container o all'ambiente, il che suggerisce un tentativo di raccogliere informazioni sul sistema interno.

Se viene eseguito uno strumento di ricognizione, ciò suggerisce che l'attaccante potrebbe tentare di mappare l'infrastruttura, identificare le vulnerabilità o raccogliere dati sulle configurazioni di sistema per pianificare i passaggi successivi.

I risultati sono classificati come gravità Critica.

Un modello di machine learning ha identificato il codice Python specificato come dannoso. Gli autori degli attacchi possono utilizzare Python per trasferire strumenti o altri file da un sistema esterno a un ambiente compromesso ed eseguire comandi senza file binari.

I risultati sono classificati come gravità Critica.

È stato eseguito un binario che soddisfa le seguenti condizioni:

• Identificato come dannoso in base a Threat Intelligence
• Inclusa nell'immagine container originale
• Modificato dall'immagine container originale durante il runtime

Se viene eseguito un binario dannoso modificato, è un chiaro segnale che un malintenzionato ha il controllo del workload e sta eseguendo software dannoso.

I risultati sono classificati come gravità Critica.

È stata caricata una libreria che soddisfa le seguenti condizioni:

• Identificato come dannoso in base a Threat Intelligence
• Inclusa nell'immagine container originale
• Modificato dall'immagine container originale durante il runtime

Se viene caricata una libreria dannosa modificata, è un chiaro segnale che un malintenzionato ha il controllo del carico di lavoro e sta eseguendo software dannoso.

I risultati sono classificati come gravità Critica.

Netcat, un'utilità di rete versatile, è stata eseguita all'interno dell'ambiente container, il che potrebbe indicare un tentativo di stabilire un accesso remoto non autorizzato o di esfiltrare dati.

L'utilizzo di Netcat in un ambiente containerizzato potrebbe segnalare il tentativo di un aggressore di creare una shell inversa, consentire il movimento laterale o eseguire comandi arbitrari, il che potrebbe compromettere l'integrità del sistema.

I risultati sono classificati come gravità Bassa.

Un utente non root ha eseguito pkexec con variabili di ambiente che tentano di aumentare i privilegi.

Questa regola rileva l'esecuzione del processo footmatic-rip di programmi shell comuni, il che potrebbe indicare che un malintenzionato ha sfruttato la vulnerabilità CVE-2024-47177. foomatic-rip fa parte di OpenPrinting CUPS, un servizio di stampa open source che fa parte di molte distribuzioni Linux. La maggior parte delle immagini container ha questo servizio di stampa disattivato o rimosso. Se viene rilevato questo comportamento, valuta se è intenzionale o disabilita immediatamente il servizio.

I risultati sono classificati come gravità Critica.

È stato rilevato un processo che genera comandi UNIX comuni tramite una connessione socket di rete, il che indica un potenziale tentativo di stabilire funzionalità di esecuzione di comandi remoti non autorizzate.

Gli autori degli attacchi utilizzano spesso tecniche che imitano le shell inverse per ottenere il controllo interattivo su un sistema compromesso, consentendo loro di eseguire comandi arbitrari da remoto e aggirare le misure di sicurezza di rete standard, come le restrizioni del firewall. Il rilevamento dell'esecuzione di comandi su un socket è un forte indicatore di accesso remoto dannoso.

I risultati sono classificati come gravità Media.

È stato eseguito un programma con una variabile di ambiente proxy HTTP non consentita. Ciò può indicare un tentativo di aggirare i controlli di sicurezza, reindirizzare il traffico per scopi dannosi o estrarre dati tramite canali non autorizzati.

Gli autori degli attacchi potrebbero configurare proxy HTTP non consentiti per intercettare informazioni sensibili, instradare il traffico attraverso server dannosi o stabilire canali di comunicazione segreti. Il rilevamento dell'esecuzione di programmi con queste variabili di ambiente è fondamentale per mantenere la sicurezza della rete e prevenire violazioni dei dati.

I risultati sono classificati come gravità Bassa.

Il comando socat è stato utilizzato per creare una shell inversa.

Questa regola rileva l'esecuzione di socat per creare una shell inversa reindirizzando i descrittori di file stdin, stdout e stderr. Si tratta di una tecnica comune utilizzata dagli aggressori per ottenere l'accesso remoto a un sistema compromesso.

I risultati sono classificati come gravità Media.

È stato modificato un file di configurazione cron.

Le modifiche ai job cron sono una tattica comune utilizzata dagli aggressori per stabilire un accesso persistente ai sistemi. I malintenzionati potrebbero sfruttare le modifiche non autorizzate ai job cron per eseguire comandi dannosi a intervalli specifici, consentendo loro di mantenere l'accesso e il controllo sul sistema. Queste modifiche potrebbero passare inosservate e consentire agli aggressori di svolgere attività furtive per un periodo prolungato.

Si tratta di un rilevatore di monitoraggio dei file e ha requisiti specifici per la versione di GKE. Questo rilevatore è disattivato per impostazione predefinita. Per istruzioni su come abilitarlo, vedi Testare Container Threat Detection.

OpenSSL è stato eseguito per caricare un oggetto condiviso personalizzato.

Gli autori di attacchi potrebbero caricare librerie personalizzate e sostituire quelle esistenti utilizzate da OpenSSL per eseguire codice dannoso. Il suo utilizzo in produzione è raro e dovrebbe giustificare un'indagine immediata.

I risultati sono classificati come gravità Critica.

È stata rilevata l'esecuzione di uno strumento di copia di file remoti all'interno del container, il che indica una potenziale esfiltrazione di dati, un movimento laterale o la distribuzione di payload dannosi.

Gli aggressori spesso utilizzano questi strumenti per trasferire dati sensibili al di fuori del container, spostarsi lateralmente all'interno della rete per compromettere altri sistemi o introdurre malware per ulteriori attività dannose. Il rilevamento dell'utilizzo di strumenti di copia remota dei file è fondamentale per prevenire violazioni dei dati, accessi non autorizzati e ulteriori compromissioni del container e potenzialmente del sistema host.

I risultati sono classificati come gravità Bassa.

È stato eseguito un comando con argomenti noti per essere potenzialmente distruttivi, ad esempio tentativi di eliminare file di sistema critici o modificare configurazioni relative alle password.

Gli autori degli attacchi potrebbero emettere righe di comando dannose per causare instabilità del sistema, impedire il ripristino eliminando file essenziali o ottenere l'accesso non autorizzato manipolando le credenziali utente. Il rilevamento di questi pattern di comando specifici è fondamentale per evitare un impatto significativo sul sistema.

I risultati sono classificati come gravità Critica.

È stato rilevato un processo che esegue operazioni di eliminazione collettiva dei dati, il che potrebbe indicare un tentativo di cancellare prove, interrompere i servizi o eseguire un attacco di cancellazione dei dati all'interno dell'ambiente del container.

I malintenzionati potrebbero rimuovere grandi volumi di dati per coprire le loro tracce, sabotare le operazioni o prepararsi per l'implementazione di ransomware. Il rilevamento di queste attività aiuta a identificare potenziali minacce prima che si verifichi una perdita di dati critica.

I risultati sono classificati come gravità Bassa.

È stato rilevato un processo di comunicazione tramite il protocollo Stratum, che viene comunemente utilizzato dal software di mining di criptovalute. Questa attività suggerisce potenziali operazioni di mining non autorizzate all'interno dell'ambiente del container.

Gli autori degli attacchi spesso implementano crypto miner per sfruttare le risorse di sistema a scopo di ottenere un guadagno finanziario, con conseguente riduzione delle prestazioni, aumento dei costi operativi e potenziali rischi per la sicurezza. Il rilevamento di queste attività contribuisce a mitigare l'abuso delle risorse e l'accesso non autorizzato.

I risultati sono classificati come gravità Alta.

Un modello di machine learning ha identificato il codice Bash specificato come dannoso. Gli autori degli attacchi possono utilizzare Bash per trasferire strumenti o altri file da un sistema esterno a un ambiente compromesso ed eseguire comandi senza file binari.

I risultati sono classificati come gravità Critica.

Container Threat Detection ha rilevato un URL dannoso nell'elenco degli argomenti di un processo in esecuzione.

I risultati sono classificati come gravità Media.

È stato effettuato un tentativo di modificare il file ld.so.preload.

Le modifiche a ld.so.preload possono essere utilizzate dagli autori di attacchi per precaricare librerie condivise dannose in un insieme di librerie di un sistema. Un malintenzionato potrebbe utilizzarlo per dirottare il flusso di esecuzione caricando le proprie librerie durante l'esecuzione del programma, il che potrebbe portare a un'escalation dei privilegi o all'elusione dei meccanismi di difesa.

Si tratta di un rilevatore di monitoraggio dei file e ha requisiti specifici per la versione di GKE. Questo rilevatore è disattivato per impostazione predefinita. Per istruzioni su come abilitarlo, vedi Testare Container Threat Detection.

sudo è stato eseguito con argomenti che tentano di elevare i privilegi.

Questo rilevamento segnala un tentativo di sfruttamento di CVE-2019-14287, che consente l'escalation dei privilegi tramite l'abuso del comando sudo. Le versioni di sudo precedenti alla v1.8.28 presentavano un exploit che poteva elevare i privilegi di un utente non root a quelli di un utente root.

I risultati sono classificati come gravità Critica.

È stato eseguito un processo da un percorso all'interno di /dev/shm.

Se esegue un file da /dev/shm, un malintenzionato potrebbe eseguire codice dannoso da questa directory per eludere il rilevamento da parte degli strumenti di sicurezza, consentendogli di eseguire attacchi di escalation dei privilegi o di iniezione di processi.

I risultati sono classificati come gravità Alta.

Un utente non root ha eseguito pkexec con variabili di ambiente che tentano di aumentare i privilegi.

Questa regola rileva un tentativo di sfruttare una vulnerabilità di escalation dei privilegi (CVE-2021-4034) in pkexec di Polkit. Eseguendo codice creato appositamente, un utente non root può utilizzare questa vulnerabilità per ottenere i privilegi di root su un sistema compromesso.

I risultati sono classificati come gravità Critica.

Un utente non root ha eseguito sudo o sudoedit con un pattern di argomenti che tentano di aumentare i privilegi.

Rileva un tentativo di sfruttare una vulnerabilità che interessa sudo versione <= 1.9.5p2. L'esecuzione di sudo o sudoedit con determinati argomenti, incluso uno che termina con un singolo carattere barra rovesciata, come utente senza privilegi può aumentare i privilegi dell'utente a quelli di un utente root.

I risultati sono classificati come gravità Critica.

Un processo avviato con il reindirizzamento del flusso a un socket connesso in remoto.

Con una shell inversa, un malintenzionato può comunicare da un carico di lavoro compromesso a una macchina controllata dall'aggressore. L'autore dell'attacco può quindi comandare e controllare il workload, ad esempio come parte di una botnet.

I risultati sono classificati come gravità Critica.

Un processo che normalmente non richiama shell ha generato un processo shell.

I risultati sono classificati come gravità Critica.