Cloud Run Threat Detection est un service intégré de Security Command Center qui surveille en permanence l'état des ressources Cloud Run compatibles pour détecter les attaques d'exécution les plus courantes. Si Cloud Run Threat Detection détecte une attaque, il génère un résultat dans Security Command Center en temps quasi réel.
Les détecteurs d'exécution Cloud Run Threat Detection surveillent les ressources Cloud Run pour détecter les binaires et les bibliothèques suspects, et utilisent le traitement du langage naturel (TLN) pour détecter le code Bash et Python malveillant.
De plus, les détecteurs de plan de contrôle sont disponibles via Event Threat Detection. Ces détecteurs surveillent le flux Cloud Logging de votre organisation ou de vos projets pour détecter les attaques potentielles sur le plan de contrôle de vos ressources Cloud Run.
Ressources compatibles
Cloud Run Threat Detection surveille les ressources suivantes :
Environnements d'exécution compatibles
Les environnements d'exécution compatibles diffèrent pour les détecteurs d'exécution et les détecteurs de plan de contrôle.
Environnements d'exécution compatibles pour les détecteurs d'exécution
Les détecteurs d'exécution de Cloud Run Threat Detection ne sont compatibles qu'avec les ressources Cloud Run qui s'exécutent dans l'environnement d'exécution de deuxième génération. Avant d'activer la détection des menaces Cloud Run, tenez compte des points suivants :
Lorsque vous activez Cloud Run Threat Detection, vous ne pouvez pas créer de service Cloud Run ni de révision de service qui s'exécute sur l'environnement d'exécution de première génération. Le service Cloud Run doit utiliser l'environnement d'exécution de deuxième génération. Nous vous recommandons de tester vos charges de travail sur l'environnement d'exécution de deuxième génération avant d'activer Cloud Run Threat Detection.
Pour activer la détection des menaces d'exécution pour un service, déployez une révision qui définit l'environnement d'exécution du service sur l'environnement d'exécution de deuxième génération ou par défaut.
Environnements d'exécution compatibles pour les détecteurs du plan de contrôle
Les détecteurs de plan de contrôle sont compatibles avec les environnements d'exécution de première et de deuxième génération.
Fonctionnement de la détection des menaces d'exécution Cloud Run Threat Detection
Lorsque vous activez Cloud Run Threat Detection, il collecte les données de télémétrie des ressources Cloud Run compatibles pour analyser les processus, les scripts et les bibliothèques susceptibles d'indiquer une attaque d'exécution. Voici le chemin d'exécution lorsque des événements sont détectés :
- Cloud Run Threat Detection utilise un processus de surveillance pour collecter des informations sur les conteneurs et les événements pendant toute la durée d'une charge de travail Cloud Run.
Cloud Run Threat Detection analyse les informations sur les événements collectées pour déterminer si un événement est révélateur d'un incident. Il utilise le NLP pour analyser les scripts Bash et Python à la recherche de code malveillant.
Si Cloud Run Threat Detection identifie un incident, il le signale comme un résultat dans Security Command Center.
Si Cloud Run Threat Detection n'identifie pas d'incident, aucune information n'est stockée.
Toutes les données collectées sont éphémères et ne sont pas stockées de manière persistante.
Pour savoir comment examiner les résultats de Cloud Run Threat Detection dans la consoleGoogle Cloud , consultez Examiner les résultats.
Problèmes connus
- Si le processus de surveillance s'arrête prématurément dans une instance en cours d'exécution de votre service, job ou pool de nœuds de calcul Cloud Run, il ne redémarre pas. L'instance cesse d'envoyer des informations de télémétrie à Cloud Run Threat Detection. Les journaux Cloud Run Threat Detection sont absents des journaux d'instance. Aucun indicateur ne signale l'arrêt d'un processus de surveillance.
Détecteurs
Cette section liste les détecteurs d'exécution et de plan de contrôle disponibles. Nous ajoutons régulièrement des détecteurs à mesure que de nouvelles menaces cloud apparaissent.
Détecteurs d'exécution
Cloud Run Threat Detection inclut les détecteurs d'exécution suivants :
| Nom à afficher | Nom de l'API | Description |
|---|---|---|
| Commande et contrôle : outil de stéganographie détecté | CLOUD_RUN_STEGANOGRAPHY_TOOL_DETECTED |
Un programme identifié comme un outil de stéganographie a été exécuté, ce qui indique une tentative potentielle de dissimulation de communication ou de transfert de données. Les pirates informatiques peuvent utiliser des techniques stéganographiques pour intégrer des instructions de commande et contrôle (C2) malveillantes ou des données exfiltrées dans des fichiers numériques apparemment inoffensifs, dans le but d'échapper à la surveillance et à la détection de sécurité standards. Il est essentiel d'identifier l'utilisation de ces outils pour détecter les activités malveillantes cachées. |
| Accès aux identifiants : recherche d'identifiants Google Cloud | CLOUD_RUN_FIND_GCP_CREDENTIALS |
Une commande a été exécutée pour rechercher des clés privées, des mots de passe ou d'autres identifiants sensibles dans l'environnement du conteneur. Google Cloud Un pirate informatique peut utiliser des identifiants Google Cloud volés pour obtenir un accès non autorisé à des données ou ressources sensibles dans l'environnement Google Cloud ciblé. |
| Accès aux identifiants : reconnaissance des clés GPG | CLOUD_RUN_GPG_KEY_RECONNAISSANCE |
Une commande a été exécutée pour rechercher des clés de sécurité GPG. Un pirate informatique peut utiliser des clés de sécurité GPG volées pour obtenir un accès non autorisé à des communications ou des fichiers chiffrés. |
| Accès aux identifiants : recherche de clés privées ou de mots de passe | CLOUD_RUN_SEARCH_PRIVATE_KEYS_OR_PASSWORDS |
Une commande a été exécutée pour rechercher des clés privées, des mots de passe ou d'autres identifiants sensibles dans l'environnement du conteneur, ce qui indique une tentative potentielle de collecte de données d'authentification. Les pirates informatiques recherchent souvent des fichiers d'identifiants pour accéder de manière non autorisée à des systèmes, obtenir des droits plus élevés ou se déplacer latéralement dans l'environnement. La détection de ce type d'activité est essentielle pour éviter les failles de sécurité. |
| Éviction de défense : ligne de commande avec fichier ELF en base64 | CLOUD_RUN_BASE64_ELF_FILE_CMDLINE |
Un processus a été exécuté avec un argument de type "fichier ELF (Executable and Linkable Format)". La détection de l'exécution d'un fichier ELF encodé indique qu'un pirate informatique tente peut-être d'encoder des données binaires pour les transférer vers des lignes de commande ASCII uniquement. Des pirates informatiques peuvent utiliser cette technique pour échapper à la détection et exécuter du code malveillant intégré à un fichier ELF. |
| Évasion de la défense : script Python encodé en base64 exécuté | CLOUD_RUN_BASE64_ENCODED_PYTHON_SCRIPT_EXECUTED |
Un processus a été exécuté avec un argument de type "script Python encodé en base64". Si l'exécution d'un script Python encodé est détectée, cela indique qu'un pirate informatique tente d'encoder des données binaires pour les transférer vers des lignes de commande ASCII uniquement. Des pirates informatiques peuvent utiliser cette technique pour échapper à la détection et exécuter du code malveillant intégré à un script Python. |
| Évasion de la défense : script shell encodé en base64 exécuté | CLOUD_RUN_BASE64_ENCODED_SHELL_SCRIPT_EXECUTED |
Un processus a été exécuté avec un argument de type "script shell encodé en base64". Si l'exécution d'un script shell encodé est détectée, cela indique qu'un pirate informatique tente d'encoder des données binaires pour les transférer vers des lignes de commande ASCII uniquement. Des pirates informatiques peuvent utiliser cette technique pour échapper à la détection et exécuter du code malveillant intégré à un script shell. |
| Évasion de la défense : lancer un outil de compilation de code dans un conteneur | CLOUD_RUN_LAUNCH_CODE_COMPILER_TOOL_IN_CONTAINER |
Un processus a été initié pour lancer un outil de compilation de code dans l'environnement du conteneur, ce qui indique une tentative potentielle de compilation ou de modification du code exécutable dans un contexte isolé. Les pirates informatiques peuvent utiliser des compilateurs de code dans des conteneurs pour développer des charges utiles malveillantes, injecter du code dans des binaires existants ou créer des outils permettant de contourner les contrôles de sécurité, tout en opérant dans un environnement moins surveillé pour échapper à la détection sur le système hôte. |
| Exécution : binaire malveillant ajouté exécuté | CLOUD_RUN_ADDED_MALICIOUS_BINARY_EXECUTED |
Un binaire qui remplit les conditions suivantes a été exécuté :
Si un binaire malveillant ajouté est exécuté, cela indique clairement qu'un pirate informatique contrôle la charge de travail et exécute un logiciel malveillant. |
| Exécution : bibliothèque malveillante ajoutée chargée | CLOUD_RUN_ADDED_MALICIOUS_LIBRARY_LOADED |
Une bibliothèque remplissant les conditions suivantes a été chargée :
Si une bibliothèque malveillante ajoutée est chargée, cela indique clairement qu'un pirate informatique contrôle la charge de travail et qu'il exécute un logiciel malveillant. |
| Exécution : compétence malveillante ajoutée exécutée | CLOUD_RUN_ADDED_MALICIOUS_SKILL_EXECUTED |
Une compétence qui remplit les conditions suivantes a été exécutée :
Si une compétence malveillante ajoutée est exécutée, cela indique clairement qu'un pirate informatique contrôle la charge de travail et exécute un logiciel malveillant. |
| Exécution : compétence malveillante ajoutée chargée | CLOUD_RUN_ADDED_MALICIOUS_SKILL_LOADED |
Une compétence répondant aux conditions suivantes a été chargée :
Si une compétence malveillante ajoutée est chargée, cela indique clairement qu'un pirate informatique contrôle la charge de travail et exécute un logiciel malveillant. |
| Exécution : binaire malveillant intégré exécuté | CLOUD_RUN_BUILT_IN_MALICIOUS_BINARY_EXECUTED |
Un binaire qui remplit les conditions suivantes a été exécuté :
Si un binaire malveillant intégré est exécuté, cela signifie que le pirate informatique déploie des conteneurs malveillants. Il peut avoir pris le contrôle d'un dépôt d'images ou d'un pipeline de compilation de conteneurs légitime et injecté un binaire malveillant dans l'image de conteneur. |
| Exécution : compétence malveillante intégrée exécutée | CLOUD_RUN_BUILT_IN_MALICIOUS_SKILL_EXECUTED |
Une compétence qui remplit les conditions suivantes a été exécutée :
Si une compétence malveillante intégrée est exécutée, cela signifie que l'attaquant déploie des conteneurs malveillants. Il est possible qu'il ait pris le contrôle d'un dépôt d'images ou d'un pipeline de compilation de conteneurs légitime et qu'il ait injecté une compétence malveillante dans l'image de conteneur. |
| Exécution : fuite du conteneur | CLOUD_RUN_CONTAINER_ESCAPE |
Un processus a été exécuté dans le conteneur pour tenter de sortir de l'isolation du conteneur, à l'aide de techniques ou de binaires d'échappement connus. Ce type d'attaque peut permettre au pirate informatique d'accéder au système hôte. Ces processus sont identifiés comme des menaces potentielles sur la base des données de renseignement. Si une tentative d'échappement de conteneur est détectée, cela peut indiquer qu'un pirate informatique exploite des failles pour sortir du conteneur. L'attaquant peut ainsi obtenir un accès non autorisé au système hôte ou à l'infrastructure plus large, ce qui compromet l'ensemble de l'environnement. |
| Exécution : exécution sans fichier dans /memfd: | CLOUD_RUN_FILELESS_EXECUTION_DETECTION_MEMFD |
Un processus a été exécuté à l'aide d'un descripteur de fichier en mémoire. Un processus lancé à partir d'un fichier en mémoire peut indiquer qu'un pirate informatique tente de contourner d'autres méthodes de détection pour exécuter du code malveillant. |
| Exécution : exécution d'un outil d'attaque de Kubernetes | CLOUD_RUN_KUBERNETES_ATTACK_TOOL_EXECUTION |
Un outil d'attaque spécifique à Kubernetes a été exécuté dans l'environnement, ce qui peut indiquer qu'un pirate informatique cible les composants du cluster Kubernetes. Ces outils d'attaque sont identifiés comme des menaces potentielles sur la base de données de renseignement. Si un outil d'attaque est exécuté dans l'environnement Kubernetes, cela peut suggérer qu'un pirate informatique a accédé au cluster et utilise l'outil pour exploiter des failles ou des configurations spécifiques à Kubernetes. |
| Exécution : exécution d'un outil de reconnaissance local | CLOUD_RUN_LOCAL_RECONNAISSANCE_TOOL_EXECUTION |
Un outil de reconnaissance local qui n'est généralement pas associé au conteneur ou à l'environnement a été exécuté, ce qui suggère une tentative de collecte d'informations système internes. Ces outils de reconnaissance sont identifiés comme des menaces potentielles sur la base de données de renseignement. Si un outil de reconnaissance est exécuté, cela suggère que l'attaquant essaie peut-être de cartographier l'infrastructure, d'identifier les failles ou de collecter des données sur les configurations système pour planifier ses prochaines étapes. |
| Exécution : code Python malveillant exécuté | CLOUD_RUN_MALICIOUS_PYTHON_EXECUTED |
Un modèle de machine learning a identifié le code Python spécifié comme étant malveillant. Les pirates informatiques peuvent utiliser Python pour transférer des outils ou d'autres fichiers d'un système externe vers un environnement compromis et exécuter des commandes sans binaire. Le détecteur utilise des techniques de NLP pour évaluer le contenu du code Python exécuté. Comme cette approche n'est pas basée sur des signatures, les détecteurs peuvent identifier du code Python connu et nouveau. |
| Exécution : binaire malveillant modifié exécuté | CLOUD_RUN_MODIFIED_MALICIOUS_BINARY_EXECUTED |
Un binaire qui remplit les conditions suivantes a été exécuté :
Si un binaire malveillant modifié est exécuté, cela indique clairement qu'un pirate informatique contrôle la charge de travail et exécute un logiciel malveillant. |
| Exécution : bibliothèque malveillante modifiée chargée | CLOUD_RUN_MODIFIED_MALICIOUS_LIBRARY_LOADED |
Une bibliothèque remplissant les conditions suivantes a été chargée :
Si une bibliothèque malveillante modifiée est chargée, cela indique clairement qu'un pirate informatique contrôle la charge de travail et qu'il exécute un logiciel malveillant. |
| Exécution : compétence malveillante modifiée exécutée | CLOUD_RUN_MODIFIED_MALICIOUS_SKILL_EXECUTED |
Une compétence qui remplit les conditions suivantes a été exécutée :
Si une compétence malveillante modifiée est exécutée, cela indique clairement qu'un pirate informatique contrôle la charge de travail et exécute un logiciel malveillant. |
| Exécution : compétence malveillante modifiée chargée | CLOUD_RUN_MODIFIED_MALICIOUS_SKILL_LOADED |
Une compétence répondant aux conditions suivantes a été chargée :
Si une compétence malveillante modifiée est chargée, cela indique clairement qu'un pirate informatique contrôle la charge de travail et exécute un logiciel malveillant. |
| Exécution : Exécution de code Netcat à distance dans un conteneur | CLOUD_RUN_NETCAT_REMOTE_CODE_EXECUTION_IN_CONTAINER |
Netcat, un utilitaire de mise en réseau polyvalent, a été exécuté dans l'environnement du conteneur, ce qui peut indiquer une tentative d'établissement d'un accès à distance non autorisé ou d'exfiltration de données. L'utilisation de Netcat dans un environnement conteneurisé peut indiquer qu'un pirate informatique tente de créer un shell inversé, d'activer un mouvement latéral ou d'exécuter des commandes arbitraires, ce qui peut compromettre l'intégrité du système. |
| Exécution : exécution possible de commandes arbitraires via CUPS (CVE-2024-47076) | CLOUD_RUN_POSSIBLE_ARBITRARY_COMMAND_EXECUTION_THROUGH_CUPS |
Cette règle détecte le processus |
| Exécution : possible exécution de commande à distance détectée | CLOUD_RUN_POSSIBLE_REMOTE_COMMAND_EXECUTION_DETECTED |
Un processus a été détecté en train de générer des commandes UNIX courantes via une connexion de socket réseau, ce qui indique une tentative potentielle d'établir des fonctionnalités d'exécution de commandes à distance non autorisées. Les pirates informatiques utilisent fréquemment des techniques qui imitent les shells inversés pour obtenir un contrôle interactif sur un système compromis, ce qui leur permet d'exécuter des commandes arbitraires à distance et de contourner les mesures de sécurité réseau standards, telles que les restrictions de pare-feu. La détection de l'exécution de commandes sur un socket est un indicateur fort d'un accès à distance malveillant. |
| Exécution : exécution d'un programme avec un environnement de proxy HTTP non autorisé | CLOUD_RUN_PROGRAM_RUN_WITH_DISALLOWED_HTTP_PROXY_ENV |
Un programme a été exécuté avec une variable d'environnement de proxy HTTP non autorisée. Cela peut indiquer une tentative de contournement des contrôles de sécurité, de redirection du trafic à des fins malveillantes ou d'exfiltration de données via des canaux non autorisés. Les pirates informatiques peuvent configurer des proxys HTTP non autorisés pour intercepter des informations sensibles, acheminer le trafic via des serveurs malveillants ou établir des canaux de communication secrets. Il est essentiel de détecter l'exécution de programmes avec ces variables d'environnement pour maintenir la sécurité du réseau et éviter les violations de données. |
| Exécution : shell inversé de Socat détecté | CLOUD_RUN_SOCAT_REVERSE_SHELL_DETECTED |
La commande
Cette règle détecte l'exécution de |
| Exécution : objet partagé OpenSSL suspect chargé | CLOUD_RUN_SUSPICIOUS_OPENSSL_SHARED_OBJECT_LOADED |
OpenSSL a été exécuté pour charger un objet partagé personnalisé. Les pirates informatiques peuvent charger des bibliothèques personnalisées et remplacer les bibliothèques existantes utilisées par OpenSSL afin d'exécuter du code malveillant. Son utilisation en production est rare et doit faire l'objet d'une enquête immédiate. |
| Exfiltration : Lancer des outils de copie de fichiers à distance dans un conteneur | CLOUD_RUN_LAUNCH_REMOTE_FILE_COPY_TOOLS_IN_CONTAINER |
L'exécution d'un outil de copie de fichiers à distance a été détectée dans le conteneur, ce qui indique une exfiltration potentielle de données, un mouvement latéral ou le déploiement de charges utiles malveillantes. Les pirates informatiques utilisent souvent ces outils pour transférer des données sensibles en dehors du conteneur, se déplacer latéralement au sein du réseau pour compromettre d'autres systèmes ou introduire des logiciels malveillants pour d'autres activités malveillantes. La détection de l'utilisation d'outils de copie de fichiers à distance est essentielle pour prévenir les violations de données, les accès non autorisés et d'autres compromissions du conteneur et potentiellement du système hôte. |
| Impact : détecter les lignes de commande malveillantes | CLOUD_RUN_DETECT_MALICIOUS_CMDLINES |
Une commande a été exécutée avec des arguments connus pour être potentiellement destructeurs, tels que des tentatives de suppression de fichiers système critiques ou de modification de configurations liées aux mots de passe. Les pirates informatiques peuvent émettre des lignes de commande malveillantes pour provoquer l'instabilité du système, empêcher la récupération en supprimant des fichiers essentiels ou obtenir un accès non autorisé en manipulant les identifiants des utilisateurs. Il est essentiel de détecter ces modèles de commande spécifiques pour éviter un impact significatif sur le système. |
| Impact : supprimer des données du disque de manière groupée | CLOUD_RUN_REMOVE_BULK_DATA_FROM_DISK |
Un processus a été détecté en train d'effectuer des opérations de suppression de données groupées, ce qui peut indiquer une tentative d'effacement de preuves, de perturbation de services ou d'exécution d'une attaque d'effacement de données dans l'environnement du conteneur. Les pirates informatiques peuvent supprimer de grands volumes de données pour couvrir leurs traces, saboter des opérations ou préparer le déploiement d'un ransomware. La détection de ce type d'activité permet d'identifier les menaces potentielles avant qu'une perte de données critique ne se produise. |
| Impact : activité de minage de cryptomonnaie suspecte utilisant le protocole Stratum | CLOUD_RUN_SUSPICIOUS_CRYPTO_MINING_ACTIVITY_USING_STRATUM_PROTOCOL |
Un processus a été détecté en train de communiquer via le protocole Stratum, qui est couramment utilisé par les logiciels de minage de cryptomonnaie. Cette activité suggère des opérations de minage potentiellement non autorisées dans l'environnement du conteneur. Les pirates informatiques déploient souvent des mineurs de cryptomonnaie pour exploiter les ressources système à des fins financières, ce qui entraîne une dégradation des performances, une augmentation des coûts opérationnels et des risques de sécurité potentiels. La détection de ce type d'activité permet de limiter l'utilisation abusive des ressources et les accès non autorisés. |
| Script malveillant exécuté | CLOUD_RUN_MALICIOUS_SCRIPT_EXECUTED |
Un modèle de machine learning a identifié le code Bash spécifié comme étant malveillant. Les pirates informatiques peuvent utiliser Bash pour transférer des outils ou d'autres fichiers d'un système externe vers un environnement compromis et exécuter des commandes sans binaire. Le détecteur utilise des techniques de NLP pour évaluer le contenu du code Bash exécuté. Comme cette approche n'est pas basée sur des signatures, les détecteurs peuvent identifier le code Bash malveillant connu et nouveau. |
| URL malveillante observée | CLOUD_RUN_MALICIOUS_URL_OBSERVED |
La détection des menaces Cloud Run a identifié une URL malveillante dans la liste des arguments d'un processus en cours d'exécution. Le détecteur compare les URL observées dans la liste d'arguments des processus en cours d'exécution aux listes de ressources Web non sécurisées gérées par le service de navigation sécurisée de Google. Si une URL est classée à tort comme un site d'hameçonnage ou un logiciel malveillant, signalez-la sur la page Signaler des données incorrectes. |
| Élévation des privilèges : utilisation abusive de Sudo pour l'élévation des privilèges (CVE-2019-14287) | CLOUD_RUN_ABUSE_SUDO_FOR_PRIVILEGE_ESCALATION |
Cette règle détecte une tentative d'exploitation de la faille CVE-2019-14287, qui permet l'élévation des privilèges en abusant de la commande |
| Élévation des privilèges : faille liée à l'élévation des privilèges locaux de Polkit (CVE-2021-4034) | CLOUD_RUN_POLKIT_LOCAL_PRIVILEGE_ESCALATION_VULNERABILITY |
Un utilisateur non racine a exécuté
Cette règle détecte une tentative d'exploitation d'une faille d'élévation des privilèges (CVE-2021-4034) dans |
| Élévation des privilèges : élévation potentielle des privilèges de Sudo (CVE-2021-3156) | CLOUD_RUN_SUDO_POTENTIAL_PRIVILEGE_ESCALATION |
Un utilisateur non racine a exécuté
Détecte une tentative d'exploitation d'une faille affectant les versions 1.9.5p2 et antérieures de |
| Interface système inversée | CLOUD_RUN_REVERSE_SHELL |
Un processus a commencé par une redirection de flux vers un socket connecté distant. Le détecteur recherche Avec un shell inversé, un pirate informatique peut communiquer depuis une charge de travail compromise vers une machine qu'il contrôle. L'attaquant peut alors commander et contrôler la charge de travail, par exemple dans le cadre d'un botnet. |
| Shell enfant inattendu | CLOUD_RUN_UNEXPECTED_CHILD_SHELL |
Un processus qui n'appelle normalement pas de shell a généré un processus shell. Le détecteur surveille toutes les exécutions de processus. Lorsqu'un shell est appelé, le détecteur génère un résultat si le processus parent est connu pour ne pas appeler de shells. |
Détecteurs du plan de contrôle
Les détecteurs de plan de contrôle suivants sont disponibles via Event Threat Detection. Ces détecteurs sont activés par défaut. Vous gérez ces détecteurs de la même manière que les autres détecteurs Event Threat Detection. Pour en savoir plus, consultez Utiliser Event Threat Detection.
| Nom à afficher | Nom de l'API | Types de sources de journal | Description |
|---|---|---|---|
| Impact : commandes de minage de cryptomonnaie | CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS |
Cloud Audit Logs : Journaux d'audit des événements système IAM |
Des commandes de minage de cryptomonnaie spécifiques ont été associées à un job Cloud Run lors de l'exécution. Par défaut, les résultats sont classés dans le niveau de gravité élevé. |
| Exécution : image Docker de minage de cryptomonnaie | CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES |
Cloud Audit Logs : Journaux d'audit des événements système IAM |
Des images Docker spécifiques connues comme étant malveillantes ont été associées à un job ou un service Cloud Run nouveau ou existant. Par défaut, les résultats sont classés dans le niveau de gravité élevé. |
| Élévation des privilèges : SetIAMPolicy du compte de service Compute Engine par défaut | CLOUD_RUN_SERVICES_SET_IAM_POLICY |
Cloud Audit Logs : Journaux d'activité d'administration |
Le compte de service Compute Engine par défaut a été utilisé pour définir la stratégie IAM d'un service Cloud Run. Il s'agit d'une action d'exploitation potentielle lorsqu'un jeton Compute Engine est compromis à partir d'un service sans serveur. Par défaut, les résultats sont classés dans le niveau de gravité faible. |
Étapes suivantes
- Découvrez comment utiliser la détection des menaces Cloud Run.
- Découvrez comment tester la détection des menaces Cloud Run.
- Découvrez comment utiliser Event Threat Detection.
- Découvrez comment réagir aux résultats de détection des menaces Cloud Run.
- Consultez l'index des résultats de détection de menace.