Una descripción general de alto nivel de los conceptos y las características de la detección de amenazas a contenedores. La detección de amenazas a los contenedores puede detectar los ataques más comunes en el entorno de ejecución del contenedor y alertarte en el Security Command Center y, de manera opcional, en Cloud Logging. La detección de amenazas a los contenedores incluye varias funciones de detección, una herramienta de análisis y una API.
Cómo funciona la Detección de amenazas a contenedores
La instrumentación de detección de amenazas a contenedores recopila el comportamiento de bajo nivel en el kernel invitado. Cuando se detectan eventos:
Se pasa la información de eventos y la información que identifica el contenedor para el análisis a través del modo de usuario a un servicio de detector. La exportación de eventos se configura automáticamente cuando la detección de amenazas a contenedores está habilitada.
El servicio de detector analiza los eventos para determinar si un evento indica que se produjo un incidente.
Si el servicio de detector identifica un incidente, el incidente se escribe como un resultado en Security Command Center y, de forma opcional, en Cloud Logging.
- Si el servicio del detector no identifica un incidente, no se almacena información de búsqueda.
- Todos los datos en el servicio de kernel y detector son efímeros y no se almacenan de forma persistente.
Puedes ver los detalles de los hallazgos en el panel de Security Command Center y, luego, investigar la información de búsqueda.
Detectores de detección de amenazas de contenedores
La detección de amenazas a contenedores incluye los siguientes detectores:
| Detector | Descripción | Entradas para la detección |
|---|---|---|
| Se ejecutó el objeto binario añadido |
Se ejecutó un objeto binario que no era parte de la imagen del contenedor original. Si un atacante agrega un objeto binario agregado, es posible que un atacante tenga control de la carga de trabajo y ejecute comandos arbitrarios. |
El detector busca un objeto binario en ejecución que no formaba parte de la imagen del contenedor original o se modificó desde la imagen del contenedor original. |
| Se cargó la biblioteca agregada |
Se cargó una biblioteca que no formaba parte de la imagen del contenedor original. Si se carga una biblioteca agregada, es posible que un atacante tenga el control de la carga de trabajo y ejecute un código arbitrario. |
El detector busca una biblioteca que se está cargando y que no formaba parte de la imagen del contenedor original, o que se modificó desde la imagen del contenedor original. |
| Shells inversas |
Un proceso iniciado con redireccionamiento de transmisión a un socket remoto conectado Con una shell inversa, un atacante puede comunicarse desde una carga de trabajo comprometida a una máquina controlada por atacantes. Luego, el atacante puede controlar y controlar la carga de trabajo para realizar las acciones deseadas, por ejemplo, como parte de un botnet. |
El detector busca "stdin" vinculada a un socket remoto. |
¿Qué sigue?
- Obtén más información sobre el uso de la detección de amenazas a contenedores.
- Obtén más información sobre cómo probar la detección de amenazas a contenedores.