Resumen conceptual de la detección de amenazas de contenedores

>

Una descripción general de alto nivel de los conceptos y las características de la detección de amenazas a contenedores. La detección de amenazas a los contenedores puede detectar los ataques más comunes en el entorno de ejecución del contenedor y alertarte en el Security Command Center y, de manera opcional, en Cloud Logging. La detección de amenazas a los contenedores incluye varias funciones de detección, una herramienta de análisis y una API.

Cómo funciona la Detección de amenazas a contenedores

La instrumentación de detección de amenazas a contenedores recopila el comportamiento de bajo nivel en el kernel invitado. Cuando se detectan eventos:

  1. Se pasa la información de eventos y la información que identifica el contenedor para el análisis a través del modo de usuario a un servicio de detector. La exportación de eventos se configura automáticamente cuando la detección de amenazas a contenedores está habilitada.

  2. El servicio de detector analiza los eventos para determinar si un evento indica que se produjo un incidente.

  3. Si el servicio de detector identifica un incidente, el incidente se escribe como un resultado en Security Command Center y, de forma opcional, en Cloud Logging.

    • Si el servicio del detector no identifica un incidente, no se almacena información de búsqueda.
    • Todos los datos en el servicio de kernel y detector son efímeros y no se almacenan de forma persistente.

Puedes ver los detalles de los hallazgos en el panel de Security Command Center y, luego, investigar la información de búsqueda.

Detectores de detección de amenazas de contenedores

La detección de amenazas a contenedores incluye los siguientes detectores:

Detector Descripción Entradas para la detección
Se ejecutó el objeto binario añadido

Se ejecutó un objeto binario que no era parte de la imagen del contenedor original.

Si un atacante agrega un objeto binario agregado, es posible que un atacante tenga control de la carga de trabajo y ejecute comandos arbitrarios.

El detector busca un objeto binario en ejecución que no formaba parte de la imagen del contenedor original o se modificó desde la imagen del contenedor original.
Se cargó la biblioteca agregada

Se cargó una biblioteca que no formaba parte de la imagen del contenedor original.

Si se carga una biblioteca agregada, es posible que un atacante tenga el control de la carga de trabajo y ejecute un código arbitrario.

El detector busca una biblioteca que se está cargando y que no formaba parte de la imagen del contenedor original, o que se modificó desde la imagen del contenedor original.
Shells inversas

Un proceso iniciado con redireccionamiento de transmisión a un socket remoto conectado

Con una shell inversa, un atacante puede comunicarse desde una carga de trabajo comprometida a una máquina controlada por atacantes. Luego, el atacante puede controlar y controlar la carga de trabajo para realizar las acciones deseadas, por ejemplo, como parte de un botnet.

El detector busca "stdin" vinculada a un socket remoto.

¿Qué sigue?