Ringkasan Cloud Run Threat Detection

Cloud Run Threat Detection adalah layanan bawaan Security Command Center yang terus memantau status resource Cloud Run yang didukung untuk mendeteksi serangan runtime yang paling umum. Jika Cloud Run Threat Detection mendeteksi serangan, sistem ini akan menghasilkan temuan di Security Command Center hampir secara real-time.

Detektor runtime Cloud Run Threat Detection memantau resource Cloud Run untuk mencari biner dan library yang mencurigakan, serta menggunakan natural language processing (NLP) untuk mendeteksi kode Bash dan Python yang berbahaya.

Selain itu, detektor bidang kontrol tersedia melalui Event Threat Detection. Detektor ini memantau aliran data Cloud Logging organisasi atau project Anda untuk mendeteksi potensi serangan terhadap bidang kontrol resource Cloud Run Anda.

Resource yang didukung

Cloud Run Threat Detection memantau resource berikut:

Lingkungan eksekusi yang didukung

Lingkungan eksekusi yang didukung berbeda untuk detektor runtime dan detektor bidang kontrol.

Lingkungan eksekusi yang didukung untuk pendeteksi runtime

Detektor runtime Cloud Run Threat Detection hanya mendukung resource Cloud Run yang berjalan di lingkungan eksekusi generasi kedua. Pertimbangkan hal berikut sebelum mengaktifkan Deteksi Ancaman Cloud Run:

  • Saat mengaktifkan Cloud Run Threat Detection, Anda tidak dapat membuat layanan Cloud Run atau revisi layanan yang berjalan di lingkungan eksekusi generasi pertama. Layanan Cloud Run harus menggunakan lingkungan eksekusi generasi kedua. Sebaiknya uji workload Anda di lingkungan eksekusi generasi kedua sebelum mengaktifkan Cloud Run Threat Detection.

  • Untuk mengaktifkan deteksi ancaman runtime untuk layanan, deploy revisi yang menetapkan lingkungan eksekusi layanan ke generasi kedua atau lingkungan eksekusi default.

Lingkungan eksekusi yang didukung untuk detektor bidang kontrol

Detektor bidang kontrol mendukung lingkungan eksekusi generasi pertama dan kedua.

Cara kerja deteksi ancaman runtime Deteksi Ancaman Cloud Run

Saat Anda mengaktifkan Cloud Run Threat Detection, fitur ini akan mengumpulkan telemetri dari resource Cloud Run yang didukung untuk menganalisis proses, skrip, dan library yang mungkin mengindikasikan serangan runtime. Berikut adalah jalur eksekusi saat peristiwa terdeteksi:

  1. Cloud Run Threat Detection menggunakan proses watcher untuk mengumpulkan informasi container dan peristiwa selama durasi lengkap workload Cloud Run.

  2. Cloud Run Threat Detection menganalisis informasi peristiwa yang dikumpulkan untuk menentukan apakah suatu peristiwa mengindikasikan adanya insiden. Alat ini menggunakan NLP untuk menganalisis skrip Bash dan Python guna mendeteksi kode berbahaya.

    • Jika Cloud Run Threat Detection mengidentifikasi insiden, Cloud Run Threat Detection akan melaporkan insiden tersebut sebagai temuan di Security Command Center.

    • Jika Deteksi Ancaman Cloud Run tidak mengidentifikasi insiden, tidak ada informasi yang disimpan.

    • Semua data yang dikumpulkan bersifat sementara dan tidak disimpan secara persisten.

Untuk mengetahui informasi tentang cara meninjau temuan Cloud Run Threat Detection di konsolGoogle Cloud , lihat Meninjau temuan.

Masalah umum

  • Jika proses watcher berhenti sebelum waktunya dalam instance yang berjalan dari layanan, tugas, atau kumpulan worker Cloud Run, proses watcher tidak akan dimulai ulang. Instance akan berhenti mengirim informasi telemetri ke Cloud Run Threat Detection. Log Cloud Run Threat Detection tidak ada dalam log instance. Tidak ada indikator bahwa proses watcher telah berhenti.

Pendeteksi

Bagian ini mencantumkan detektor runtime dan bidang kontrol yang tersedia. Kami secara rutin menambahkan detektor baru seiring munculnya ancaman cloud baru.

Detektor runtime

Deteksi Ancaman Cloud Run mencakup detektor runtime berikut:

Nama tampilan Nama API Deskripsi
Perintah dan Kontrol: Alat Steganografi Terdeteksi CLOUD_RUN_STEGANOGRAPHY_TOOL_DETECTED

Program yang diidentifikasi sebagai alat steganografi telah dijalankan, yang menandakan potensi upaya untuk menyembunyikan komunikasi atau transfer data.

Penyerang mungkin menggunakan teknik steganografi untuk menyematkan petunjuk perintah dan kontrol (C2) berbahaya atau data yang dieksfiltrasi dalam file digital yang tampaknya tidak berbahaya, dengan tujuan menghindari pemantauan dan deteksi keamanan standar. Mengidentifikasi penggunaan alat tersebut sangat penting untuk mengungkap aktivitas berbahaya yang tersembunyi.

Akses Kredensial: Menemukan Google Cloud Kredensial CLOUD_RUN_FIND_GCP_CREDENTIALS

Perintah dijalankan untuk menelusuri Google Cloud kunci pribadi, sandi, atau kredensial sensitif lainnya dalam lingkungan container.

Penyerang dapat menggunakan kredensial Google Cloud yang dicuri untuk mendapatkan akses tidak sah ke data atau resource sensitif dalam lingkungan Google Cloud yang ditargetkan.

Akses Kredensial: Pengintaian Kunci GPG CLOUD_RUN_GPG_KEY_RECONNAISSANCE

Perintah dijalankan untuk menelusuri kunci keamanan GPG.

Penyerang dapat menggunakan kunci keamanan GPG yang dicuri untuk mendapatkan akses tidak sah ke komunikasi atau file terenkripsi.

Akses Kredensial: Menelusuri Kunci Pribadi atau Sandi CLOUD_RUN_SEARCH_PRIVATE_KEYS_OR_PASSWORDS

Perintah dijalankan untuk menelusuri kunci pribadi, sandi, atau kredensial sensitif lainnya dalam lingkungan container, yang menunjukkan potensi upaya untuk mengumpulkan data autentikasi.

Penyerang sering kali mencari file kredensial untuk mendapatkan akses tidak sah ke sistem, mengeskalasi hak istimewa, atau berpindah secara lateral dalam lingkungan. Mendeteksi aktivitas tersebut sangat penting untuk mencegah pelanggaran keamanan.

Penghindaran Pertahanan: Command Line File ELF Base64 CLOUD_RUN_BASE64_ELF_FILE_CMDLINE

Proses yang dijalankan berisi argumen yang merupakan file ELF (Executable and Linkable Format).

Mendeteksi eksekusi file ELF yang dienkode menandakan bahwa penyerang mungkin mencoba mengenkode data biner untuk ditransfer ke command line khusus ASCII. Penyerang dapat menggunakan teknik ini untuk menghindari deteksi dan menjalankan kode berbahaya yang disematkan dalam file ELF.

Defense Evasion: Skrip Python Berenkode Base64 Dieksekusi CLOUD_RUN_BASE64_ENCODED_PYTHON_SCRIPT_EXECUTED

Proses yang dijalankan berisi argumen yang merupakan skrip Python berenkode base64.

Jika eksekusi skrip python yang dienkode terdeteksi, ini adalah sinyal bahwa penyerang mencoba mengenkode data biner untuk ditransfer ke command line khusus ASCII. Penyerang dapat menggunakan teknik ini untuk menghindari deteksi dan menjalankan kode berbahaya yang disematkan dalam skrip Python.

Defense Evasion: Base64 Encoded Shell Script Executed CLOUD_RUN_BASE64_ENCODED_SHELL_SCRIPT_EXECUTED

Proses yang dijalankan berisi argumen yang merupakan skrip shell berenkode base64.

Jika eksekusi skrip shell yang dienkode terdeteksi, ini adalah sinyal bahwa penyerang mencoba mengenkode data biner untuk ditransfer ke command line khusus ASCII. Penyerang dapat menggunakan teknik ini untuk menghindari deteksi dan menjalankan kode berbahaya yang disematkan dalam skrip shell.

Penghindaran Pertahanan: Meluncurkan Alat Compiler Kode di Container CLOUD_RUN_LAUNCH_CODE_COMPILER_TOOL_IN_CONTAINER

Proses dimulai untuk meluncurkan alat compiler kode dalam lingkungan container, yang menunjukkan potensi upaya untuk membangun atau mengubah kode yang dapat dieksekusi dalam konteks yang terisolasi.

Penyerang mungkin menggunakan compiler kode dalam container untuk mengembangkan payload berbahaya, memasukkan kode ke dalam biner yang ada, atau membuat alat untuk mengabaikan kontrol keamanan, semuanya saat beroperasi di lingkungan yang kurang diawasi untuk menghindari deteksi pada sistem host.

Execution: Added Malicious Binary Executed CLOUD_RUN_ADDED_MALICIOUS_BINARY_EXECUTED

Program biner yang memenuhi kondisi berikut telah dieksekusi:

  • Diidentifikasi sebagai berbahaya berdasarkan threat intelligence
  • Bukan bagian dari image container asli

Jika biner berbahaya tambahan dieksekusi, ini adalah tanda kuat bahwa penyerang telah mengontrol workload dan mereka mengeksekusi software berbahaya.

Eksekusi: Library Berbahaya yang Ditambahkan Dimuat CLOUD_RUN_ADDED_MALICIOUS_LIBRARY_LOADED

Library yang memenuhi kondisi berikut telah dimuat:

  • Diidentifikasi sebagai berbahaya berdasarkan threat intelligence
  • Bukan bagian dari image container asli

Jika library berbahaya yang ditambahkan dimuat, ini adalah tanda kuat bahwa penyerang memiliki kontrol atas workload dan mereka menjalankan software berbahaya.

Execution: Added Malicious Skill Executed CLOUD_RUN_ADDED_MALICIOUS_SKILL_EXECUTED

Keahlian yang memenuhi kondisi berikut telah dijalankan:

  • Diidentifikasi sebagai berbahaya berdasarkan threat intelligence
  • Bukan bagian dari image container asli

Jika skill berbahaya tambahan dijalankan, ini adalah tanda kuat bahwa penyerang telah mengontrol workload dan mereka menjalankan software berbahaya.

Execution: Added Malicious Skill Loaded CLOUD_RUN_ADDED_MALICIOUS_SKILL_LOADED

Keahlian yang memenuhi kondisi berikut telah dimuat:

  • Diidentifikasi sebagai berbahaya berdasarkan threat intelligence
  • Bukan bagian dari image container asli

Jika skill berbahaya tambahan dimuat, ini adalah tanda kuat bahwa penyerang memiliki kontrol atas workload dan mereka menjalankan software berbahaya.

Eksekusi: Biner Berbahaya Bawaan Dieksekusi CLOUD_RUN_BUILT_IN_MALICIOUS_BINARY_EXECUTED

Program biner yang memenuhi kondisi berikut telah dieksekusi:

  • Diidentifikasi sebagai berbahaya berdasarkan threat intelligence
  • Disertakan dalam image container asli

Jika biner berbahaya bawaan dieksekusi, ini adalah tanda bahwa penyerang men-deploy container berbahaya. Mereka mungkin telah mendapatkan kontrol atas repositori image atau pipeline build container yang sah dan memasukkan biner berbahaya ke dalam image container.

Eksekusi: Keahlian Berbahaya Bawaan Dijalankan CLOUD_RUN_BUILT_IN_MALICIOUS_SKILL_EXECUTED

Keahlian yang memenuhi kondisi berikut telah dijalankan:

  • Diidentifikasi sebagai berbahaya berdasarkan threat intelligence
  • Disertakan dalam image container asli

Jika skill berbahaya bawaan dijalankan, ini adalah tanda bahwa penyerang men-deploy container berbahaya. Mereka mungkin telah mendapatkan kontrol atas repositori image atau pipeline build container yang sah dan memasukkan kemampuan berbahaya ke dalam image container.

Eksekusi: Container Escape CLOUD_RUN_CONTAINER_ESCAPE

Proses dijalankan dalam container yang mencoba keluar dari isolasi container, menggunakan teknik escape atau biner yang diketahui. Jenis serangan ini dapat memberi penyerang akses ke sistem host. Proses ini diidentifikasi sebagai potensi ancaman berdasarkan data intelijen.

Jika upaya container escape terdeteksi, hal ini mungkin mengindikasikan bahwa penyerang mengeksploitasi kerentanan untuk keluar dari container. Akibatnya, penyerang mungkin mendapatkan akses tidak sah ke sistem host atau infrastruktur yang lebih luas, sehingga membahayakan seluruh lingkungan.

Execution: Fileless Execution in /memfd: CLOUD_RUN_FILELESS_EXECUTION_DETECTION_MEMFD

Proses dijalankan menggunakan deskriptor file dalam memori.

Proses yang diluncurkan dari file dalam memori mungkin menunjukkan bahwa penyerang mencoba mengabaikan metode deteksi lain untuk mengeksekusi kode berbahaya.

Execution: Kubernetes Attack Tool Execution CLOUD_RUN_KUBERNETES_ATTACK_TOOL_EXECUTION

Alat serangan khusus Kubernetes dijalankan dalam lingkungan, yang dapat mengindikasikan bahwa penyerang menargetkan komponen cluster Kubernetes. Alat serangan ini diidentifikasi sebagai potensi ancaman berdasarkan data intelijen.

Jika alat serangan dijalankan dalam lingkungan Kubernetes, hal ini dapat menunjukkan bahwa penyerang telah mendapatkan akses ke cluster dan menggunakan alat tersebut untuk mengeksploitasi kerentanan atau konfigurasi khusus Kubernetes.

Eksekusi: Eksekusi Alat Pengintaian Lokal CLOUD_RUN_LOCAL_RECONNAISSANCE_TOOL_EXECUTION

Alat pengintaian lokal yang biasanya tidak terkait dengan container atau lingkungan telah dijalankan, yang menunjukkan upaya untuk mengumpulkan informasi sistem internal. Alat pengintaian ini diidentifikasi sebagai potensi ancaman berdasarkan data intelijen.

Jika alat pengintaian dijalankan, hal ini menunjukkan bahwa penyerang mungkin mencoba memetakan infrastruktur, mengidentifikasi kerentanan, atau mengumpulkan data tentang konfigurasi sistem untuk merencanakan langkah berikutnya.

Eksekusi: Python berbahaya dieksekusi CLOUD_RUN_MALICIOUS_PYTHON_EXECUTED

Model machine learning mengidentifikasi kode Python yang ditentukan sebagai berbahaya. Penyerang dapat menggunakan Python untuk mentransfer alat atau file lain dari sistem eksternal ke lingkungan yang disusupi dan menjalankan perintah tanpa biner.

Detektor menggunakan teknik NLP untuk mengevaluasi konten kode Python yang dieksekusi. Karena pendekatan ini tidak didasarkan pada signature, detektor dapat mengidentifikasi kode Python yang diketahui dan baru.

Eksekusi: Biner Berbahaya yang Dimodifikasi Dieksekusi CLOUD_RUN_MODIFIED_MALICIOUS_BINARY_EXECUTED

Program biner yang memenuhi kondisi berikut telah dieksekusi:

  • Diidentifikasi sebagai berbahaya berdasarkan threat intelligence
  • Disertakan dalam image container asli
  • Dimodifikasi dari image container asli selama runtime

Jika biner berbahaya yang dimodifikasi dieksekusi, ini adalah tanda kuat bahwa penyerang memiliki kontrol atas workload dan mereka mengeksekusi software berbahaya.

Eksekusi: Library Berbahaya yang Dimodifikasi Dimuat CLOUD_RUN_MODIFIED_MALICIOUS_LIBRARY_LOADED

Library yang memenuhi kondisi berikut telah dimuat:

  • Diidentifikasi sebagai berbahaya berdasarkan threat intelligence
  • Disertakan dalam image container asli
  • Dimodifikasi dari image container asli selama runtime

Jika library berbahaya yang dimodifikasi dimuat, ini adalah tanda kuat bahwa penyerang memiliki kontrol atas workload dan mereka menjalankan software berbahaya.

Eksekusi: Keahlian Berbahaya yang Dimodifikasi Dijalankan CLOUD_RUN_MODIFIED_MALICIOUS_SKILL_EXECUTED

Keahlian yang memenuhi kondisi berikut telah dijalankan:

  • Diidentifikasi sebagai berbahaya berdasarkan threat intelligence
  • Disertakan dalam image container asli
  • Dimodifikasi dari image container asli selama runtime

Jika skill berbahaya yang dimodifikasi dijalankan, ini adalah tanda kuat bahwa penyerang memiliki kontrol atas workload dan mereka menjalankan software berbahaya.

Execution: Modified Malicious Skill Loaded CLOUD_RUN_MODIFIED_MALICIOUS_SKILL_LOADED

Keahlian yang memenuhi kondisi berikut telah dimuat:

  • Diidentifikasi sebagai berbahaya berdasarkan threat intelligence
  • Disertakan dalam image container asli
  • Dimodifikasi dari image container asli selama runtime

Jika skill berbahaya yang dimodifikasi dimuat, ini adalah tanda kuat bahwa penyerang memiliki kontrol atas workload dan mereka menjalankan software berbahaya.

Execution: Netcat Remote Code Execution in Container CLOUD_RUN_NETCAT_REMOTE_CODE_EXECUTION_IN_CONTAINER

Netcat, utilitas jaringan serbaguna, dijalankan dalam lingkungan container, yang berpotensi mengindikasikan upaya untuk membuat akses jarak jauh yang tidak sah atau memindahkan data.

Penggunaan Netcat di lingkungan dalam container dapat menandakan upaya penyerang untuk membuat reverse shell, memungkinkan pergerakan lateral, atau menjalankan perintah arbitrer, yang dapat membahayakan integritas sistem.

Execution: Possible Arbitrary Command Execution through CUPS (CVE-2024-47076) CLOUD_RUN_POSSIBLE_ARBITRARY_COMMAND_EXECUTION_THROUGH_CUPS

Aturan ini mendeteksi proses foomatic-rip yang menjalankan program shell umum, yang mungkin mengindikasikan bahwa penyerang telah mengeksploitasi CVE-2024-47076. foomatic-rip adalah bagian dari OpenPrinting CUPS, layanan pencetakan open source yang merupakan bagian dari banyak distribusi Linux. Sebagian besar image container menonaktifkan atau menghapus layanan pencetakan ini. Jika deteksi ini terjadi, evaluasi apakah ini adalah perilaku yang diinginkan atau segera nonaktifkan layanan.

Execution: Possible Remote Command Execution Detected CLOUD_RUN_POSSIBLE_REMOTE_COMMAND_EXECUTION_DETECTED

Proses terdeteksi memunculkan perintah UNIX umum melalui koneksi soket jaringan, yang mengindikasikan potensi upaya untuk membuat kemampuan eksekusi perintah jarak jauh yang tidak sah.

Penyerang sering kali menggunakan teknik yang meniru reverse shell untuk mendapatkan kontrol interaktif atas sistem yang disusupi, sehingga mereka dapat menjalankan perintah arbitrer dari jarak jauh dan mengabaikan langkah-langkah keamanan jaringan standar seperti pembatasan firewall. Mendeteksi eksekusi perintah melalui soket adalah indikator kuat adanya akses jarak jauh yang berbahaya.

Eksekusi: Program Dijalankan dengan Lingkungan Proxy HTTP yang Tidak Diizinkan CLOUD_RUN_PROGRAM_RUN_WITH_DISALLOWED_HTTP_PROXY_ENV

Program dijalankan dengan variabel lingkungan proxy HTTP yang tidak diizinkan. Hal ini dapat mengindikasikan upaya untuk mengabaikan kontrol keamanan, mengalihkan traffic untuk tujuan berbahaya, atau mengekstrak data melalui saluran yang tidak sah.

Penyerang mungkin mengonfigurasi proxy HTTP yang tidak diizinkan untuk menyadap informasi sensitif, merutekan traffic melalui server berbahaya, atau membuat saluran komunikasi rahasia. Mendeteksi eksekusi program dengan variabel lingkungan ini sangat penting untuk menjaga keamanan jaringan dan mencegah pelanggaran data.

Eksekusi: Reverse Shell Socat Terdeteksi CLOUD_RUN_SOCAT_REVERSE_SHELL_DETECTED

Perintah socat telah digunakan untuk membuat reverse shell.

Aturan ini mendeteksi eksekusi socat untuk membuat reverse shell dengan mengalihkan deskriptor file stdin, stdout, dan stderr. Ini adalah teknik umum yang digunakan oleh penyerang untuk mendapatkan akses jarak jauh ke sistem yang telah disusupi.

Eksekusi: Objek Bersama OpenSSL yang Mencurigakan Dimuat CLOUD_RUN_SUSPICIOUS_OPENSSL_SHARED_OBJECT_LOADED

OpenSSL telah dijalankan untuk memuat objek bersama kustom.

Penyerang mungkin memuat library kustom dan mengganti library yang ada yang digunakan oleh OpenSSL untuk menjalankan kode berbahaya. Penggunaannya dalam produksi tidak umum dan harus segera diselidiki.

Exfiltration: Launch Remote File Copy Tools in Container CLOUD_RUN_LAUNCH_REMOTE_FILE_COPY_TOOLS_IN_CONTAINER

Eksekusi alat penyalinan file jarak jauh terdeteksi dalam container, yang mengindikasikan potensi pemindahan data yang tidak sah, pergerakan lateral, atau deployment payload berbahaya.

Penyerang sering menggunakan alat ini untuk mentransfer data sensitif ke luar container, bergerak secara lateral dalam jaringan untuk menyusupi sistem lain, atau memasukkan malware untuk aktivitas berbahaya lebih lanjut. Mendeteksi penggunaan alat penyalinan file jarak jauh sangat penting untuk mencegah pelanggaran data, akses tidak sah, dan penyusupan lebih lanjut pada container dan berpotensi pada sistem host.

Dampak: Mendeteksi Cmdline Berbahaya CLOUD_RUN_DETECT_MALICIOUS_CMDLINES

Perintah dijalankan dengan argumen yang diketahui berpotensi merusak, seperti upaya untuk menghapus file sistem penting atau mengubah konfigurasi terkait sandi.

Penyerang mungkin mengeluarkan command line berbahaya untuk menyebabkan ketidakstabilan sistem, mencegah pemulihan dengan menghapus file penting, atau mendapatkan akses tidak sah dengan memanipulasi kredensial pengguna. Mendeteksi pola perintah spesifik ini sangat penting untuk mencegah dampak sistem yang signifikan.

Dampak: Menghapus Data Massal Dari Disk CLOUD_RUN_REMOVE_BULK_DATA_FROM_DISK

Proses terdeteksi melakukan operasi penghapusan data massal, yang mungkin mengindikasikan upaya untuk menghapus bukti, mengganggu layanan, atau menjalankan serangan penghapusan data dalam lingkungan container.

Penyerang mungkin menghapus data dalam jumlah besar untuk menutupi jejak mereka, menyabotase operasi, atau bersiap untuk men-deploy ransomware. Mendeteksi aktivitas tersebut membantu mengidentifikasi potensi ancaman sebelum terjadi kehilangan data penting.

Dampak: Aktivitas penambangan mata uang kripto yang mencurigakan menggunakan Stratum Protocol CLOUD_RUN_SUSPICIOUS_CRYPTO_MINING_ACTIVITY_USING_STRATUM_PROTOCOL

Proses terdeteksi berkomunikasi melalui protokol Stratum, yang biasanya digunakan oleh software penambangan mata uang kripto. Aktivitas ini menunjukkan potensi operasi penambangan yang tidak sah dalam lingkungan container.

Penyerang sering kali men-deploy penambang mata uang kripto untuk mengeksploitasi resource sistem demi keuntungan finansial, yang menyebabkan penurunan performa, peningkatan biaya operasional, dan potensi risiko keamanan. Mendeteksi aktivitas tersebut membantu memitigasi penyalahgunaan resource dan akses tidak sah.

Skrip Berbahaya Dieksekusi CLOUD_RUN_MALICIOUS_SCRIPT_EXECUTED

Model machine learning mengidentifikasi kode Bash yang ditentukan sebagai berbahaya. Penyerang dapat menggunakan Bash untuk mentransfer alat atau file lain dari sistem eksternal ke lingkungan yang disusupi dan menjalankan perintah tanpa biner.

Detektor menggunakan teknik NLP untuk mengevaluasi konten kode Bash yang dieksekusi. Karena pendekatan ini tidak didasarkan pada pola, detektor dapat mengidentifikasi kode Bash berbahaya yang diketahui dan baru.
URL Berbahaya Teramati CLOUD_RUN_MALICIOUS_URL_OBSERVED

Deteksi Ancaman Cloud Run mengamati URL berbahaya dalam daftar argumen proses yang sedang berjalan.

Detektor memeriksa URL yang diamati dalam daftar argumen proses yang berjalan berdasarkan daftar resource web tidak aman yang dikelola oleh layanan Safe Browsing Google. Jika URL salah diklasifikasikan sebagai situs phishing atau malware, laporkan di Melaporkan Data yang Salah.
Eskalasi Akses: Penyalahgunaan Sudo untuk Eskalasi Akses (CVE-2019-14287) CLOUD_RUN_ABUSE_SUDO_FOR_PRIVILEGE_ESCALATION

sudo telah dijalankan dengan argumen yang mencoba meningkatkan hak istimewa.

Aturan ini mendeteksi upaya untuk mengeksploitasi CVE-2019-14287, yaitu kerentanan yang memungkinkan eskalasi hak istimewa dengan menyalahgunakan perintah sudo. sudo versi sebelum v1.8.28 memiliki eksploitasi yang memungkinkan pengguna non-root mendapatkan hak istimewa root.

Eskalasi Akses: Kerentanan Eskalasi Akses Lokal Polkit (CVE-2021-4034) CLOUD_RUN_POLKIT_LOCAL_PRIVILEGE_ESCALATION_VULNERABILITY

Pengguna non-root telah menjalankan pkexec dengan variabel lingkungan yang mencoba meningkatkan hak istimewa.

Aturan ini mendeteksi upaya untuk mengeksploitasi kerentanan eskalasi hak istimewa (CVE-2021-4034) di pkexec Polkit. Dengan menjalankan kode yang dibuat khusus, pengguna non-root dapat menggunakan kelemahan ini untuk mendapatkan hak istimewa root pada sistem yang disusupi.

Eskalasi Akses: Potensi Eskalasi Akses Sudo (CVE-2021-3156) CLOUD_RUN_SUDO_POTENTIAL_PRIVILEGE_ESCALATION

Pengguna non-root telah mengeksekusi sudo atau sudoedit dengan pola argumen yang mencoba meningkatkan hak istimewa.

Mendeteksi upaya untuk mengeksploitasi kerentanan yang memengaruhi sudo versi 1.9.5p2 dan yang lebih lama. Menjalankan sudo atau sudoedit dengan argumen tertentu, termasuk yang diakhiri dengan satu karakter garis miring terbalik, sebagai pengguna tanpa hak istimewa dapat meningkatkan hak istimewa pengguna tersebut menjadi pengguna root.

Reverse Shell CLOUD_RUN_REVERSE_SHELL

Proses dimulai dengan pengalihan aliran data ke soket jarak jauh yang terhubung. Detektor mencari stdin yang terikat ke soket jarak jauh.

Dengan reverse shell, penyerang dapat berkomunikasi dari workload yang disusupi ke mesin yang dikontrol penyerang. Penyerang kemudian dapat memerintah dan mengontrol workload—misalnya, sebagai bagian dari botnet.

Shell Turunan yang Tidak Terduga CLOUD_RUN_UNEXPECTED_CHILD_SHELL

Proses yang biasanya tidak memanggil shell memunculkan proses shell.

Detektor memantau semua eksekusi proses. Saat shell dipanggil, detektor akan menghasilkan temuan jika proses induk diketahui biasanya tidak memanggil shell.

Detektor bidang kontrol

Detektor bidang kontrol berikut tersedia melalui Event Threat Detection. Detektor ini diaktifkan secara default. Anda mengelola detektor ini dengan cara yang sama seperti mengelola detektor Event Threat Detection lainnya. Untuk mengetahui informasi selengkapnya, lihat Menggunakan Event Threat Detection.

Nama tampilan Nama API Jenis sumber log Deskripsi
Dampak: Perintah Penambangan Kripto CLOUD_RUN_JOBS_CRYPTOMINING_COMMANDS Cloud Audit Logs:
Log audit Peristiwa Sistem IAM 		Perintah penambangan kripto tertentu dilampirkan ke tugas Cloud Run selama eksekusi. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.
Eksekusi: Image Docker Penambangan Kripto CLOUD_RUN_CRYPTOMINING_DOCKER_IMAGES Cloud Audit Logs:
Log audit Peristiwa Sistem IAM 		Image docker buruk tertentu yang diketahui telah dilampirkan ke layanan atau tugas Cloud Run baru atau yang sudah ada. Temuan diklasifikasikan sebagai tingkat keparahan Tinggi secara default.
Eskalasi Hak Istimewa: SetIAMPolicy Akun Layanan Compute Engine Default CLOUD_RUN_SERVICES_SET_IAM_POLICY Cloud Audit Logs:
Log Aktivitas Admin 		Akun layanan Compute Engine default digunakan untuk menetapkan kebijakan IAM untuk layanan Cloud Run. Ini adalah potensi tindakan pasca-eksploitasi saat token Compute Engine disusupi dari layanan serverless. Temuan diklasifikasikan sebagai tingkat keparahan Rendah secara default.
Untuk aturan yang tidak digunakan lagi dan dihentikan, lihat Penghentian penggunaan.

Langkah berikutnya