Auf dieser Seite erhalten Sie eine Übersicht über Virtual Machine Threat Detection.
Überblick
Virtual Machine Threat Detection, ein integrierter Dienst von Security Command Center Premium, bietet Bedrohungserkennung durch Instrumentierung auf Hypervisorebene und die Analyse nichtflüchtiger Speicher. VM Threat Detection erkennt potenziell schädliche Anwendungen wie Mining-Software von Kryptowährungen, Rootkits im Kernel-Modus und Malware, die in manipulierten Cloud-Umgebungen ausgeführt wird.
VM Threat Detection ist Teil der Bedrohungserkennungs-Suite der Premium-Version von Security Command Center und ergänzt die vorhandenen Funktionen von Event Threat Detection und Container Threat Detection.
VM Threat Detection-Ergebnisse stellen Bedrohungen mit hohem Schweregrad dar, die Sie sofort beheben müssen. VM Threat Detection-Ergebnisse können im Security Command Center abgerufen werden.
Für Organisationen, die für das Security Command Center Premium registriert sind, werden VM-Bedrohungserkennungsscans automatisch aktiviert. Bei Bedarf können Sie den Dienst deaktivieren und/oder auf Projektebene aktivieren. Weitere Informationen finden Sie unter VM Threat Detection aktivieren oder deaktivieren.
Funktionsweise von VM Threat Detection
VM Threat Detection ist ein verwalteter Dienst, der aktivierte Compute Engine-Projekte und VM-Instanzen scannt, um potenziell schädliche Anwendungen wie Kryptomining-Software und Rootkits im Kernelmodus zu erkennen.
Folgende vereinfachte Abbildung zeigt, wie das Analysemodul von VM Threat Detection Metadaten aus dem VM-Gastspeicher aufnimmt und Ergebnisse in Security Command Center schreibt.
Die VM Threat Detection ist in den Hypervisor von Google Cloud eingebunden, eine sichere Plattform, die alle Compute Engine-VMs erstellt und verwaltet.
VM Threat Detection führt regelmäßig Scans vom Hypervisor in den Arbeitsspeicher einer laufenden Gast-VM durch, ohne den Betrieb des Gasts zu unterbrechen. Außerdem werden Laufwerkklone regelmäßig gescannt. Da dieser Dienst von außerhalb der Gast-VM-Instanz ausgeführt wird, sind keine Gast-Agents oder eine spezielle Konfiguration des Gastbetriebssystems erforderlich. Außerdem ist er resistent gegen Gegenmaßnahmen, die von ausgefeilter Malware verwendet werden. Innerhalb der Gast-VM werden keine CPU-Zyklen verwendet und es ist keine Netzwerkverbindung erforderlich. Sicherheitsteams müssen weder Signaturen aktualisieren noch den Dienst verwalten.
So funktioniert die Erkennung von Kryptomining
Basierend auf den Regeln für die Bedrohungserkennung von Google Cloud analysiert die VM-Bedrohungserkennung Informationen zu Software, die auf VMs ausgeführt wird. Dazu gehören eine Liste von Anwendungsnamen, die CPU-Nutzung pro Prozess, Hashes von Speicherseiten, Zähler für die CPU-Hardwareleistung und Informationen zum ausgeführten Maschinencode, um festzustellen, ob eine Anwendung mit bekannten Kryptomining-Signaturen übereinstimmt. Wenn möglich, ermittelt VM Threat Detection dann den laufenden Prozess, der mit den erkannten Signaturen übereinstimmt, und fügt Informationen zu diesem Prozess im Ergebnis hinzu.
Funktionsweise der Rootkit-Erkennung im Kernelmodus
VM Threat Detection leitet den Betriebssystemtyp ab, der auf der VM ausgeführt wird, und ermittelt anhand dieser Informationen den Kernel-Code, schreibgeschützte Speicherorte für Daten und andere Kernel-Datenstrukturen im Arbeitsspeicher. VM Threat Detection verwendet verschiedene Techniken, um festzustellen, ob diese Regionen manipuliert wurden. Dazu werden sie mit vorab berechneten Hashes verglichen, die für das Kernel-Image erwartet werden, und die Integrität wichtiger Kernel-Datenstrukturen geprüft.
Funktionsweise der Malwareerkennung
VM Threat Detection scannt die Laufwerkklone und scannt kurzlebige Klone des nichtflüchtigen Speichers Ihrer VM, ohne Ihre Arbeitslasten zu unterbrechen. Dieser Dienst analysiert ausführbare Dateien auf der VM, um festzustellen, ob Dateien mit bekannten Malware-Signaturen übereinstimmen. Das generierte Ergebnis enthält Informationen zur Datei und zu den erkannten Malware-Signaturen.
Scanhäufigkeit
Beim Scannen des Arbeitsspeichers scannt die VM-Bedrohungserkennung jede VM-Instanz sofort nach dem Erstellen der Instanz. Darüber hinaus scannt VM Threat Detection alle VM-Instanzen alle 30 Minuten.
- Für die Erkennung von Kryptomining generiert VM Threat Detection ein Ergebnis pro Prozess, VM und Tag. Jedes Ergebnis enthält nur die Bedrohungen im Zusammenhang mit dem Prozess, der durch das Ergebnis identifiziert wurde. Wenn VM Threat Detection Bedrohungen findet, sie jedoch keinem Prozess zuordnen kann, fasst VM Threat Detection für jede VM alle nicht zugehörigen Bedrohungen in einem einzigen Ergebnis zusammen, das jeweils einmal innerhalb eines Zeitraums von 24 Stunden ausgeführt wird. Bei Bedrohungen, die länger als 24 Stunden andauern, generiert die VM Threat Detection alle 24 Stunden neue Ergebnisse.
- Für die Rootkit-Erkennung im Kernelmodus, die sich in der Vorabversion befindet, generiert VM Threat Detection alle drei Tage ein Ergebnis pro Kategorie, pro VM.
Beim Scannen von nichtflüchtigen Speichern, bei dem bekannte Malware erkannt wird, scannt die VM-Bedrohungserkennung jede VM-Instanz mindestens einmal täglich.
Wenn Sie die Premium-Stufe von Security Command Center aktivieren, werden VM-Bedrohungserkennungs-Scans automatisch aktiviert. Bei Bedarf können Sie den Dienst deaktivieren und/oder auf Projektebene aktivieren. Weitere Informationen finden Sie unter VM Threat Detection aktivieren oder deaktivieren.
Ergebnisse
In diesem Abschnitt werden die Bedrohungs- und Beobachtungsergebnisse beschrieben, die von VM Threat Detection generiert werden.
Gefundene Bedrohungen
VM Threat Detection bietet die folgenden Bedrohungserkennungen.
Bedrohungsdaten für das Mining von Kryptowährungen
VM Threat Detection erkennt die folgenden Ergebniskategorien über Hash-Abgleich oder YARA-Regeln.
Kategorie | Modul | Beschreibung |
---|---|---|
Execution: Cryptocurrency Mining Hash Match
|
CRYPTOMINING_HASH
|
Vergleicht Speicher-Hashes von laufenden Programmen mit bekannten Speicher-Hashes von Kryptowährung-Mining-Software. |
Execution: Cryptocurrency Mining YARA Rule
|
CRYPTOMINING_YARA
|
Prüft Übereinstimmung mit Speichermustern, darunter Proof of Work-Konstanten, die bekanntermaßen von Kryptowährungs-Mining-Software verwendet werden. |
Execution: Cryptocurrency Mining Combined Detection
|
|
Erkennt eine Bedrohung, die von den Modulen CRYPTOMINING_HASH und CRYPTOMINING_YARA erkannt wurde.
Weitere Informationen finden Sie unter
Kombinierte Erkennungen.
|
Rootkit-Bedrohungsergebnisse im Kernelmodus
VM Threat Detection analysiert die Kernel-Integrität während der Laufzeit, um gängige Täuschverfahren zu erkennen, die von Malware verwendet werden.
Das Modul KERNEL_MEMORY_TAMPERING
erkennt Bedrohungen durch einen Hash-Vergleich im Kernel-Code und im schreibgeschützten Kernel-Datenspeicher einer virtuellen Maschine.
Das Modul KERNEL_INTEGRITY_TAMPERING
erkennt Bedrohungen und prüft dazu die Integrität wichtiger Kernel-Datenstrukturen.
Kategorie | Modul | Beschreibung |
---|---|---|
Manipulation des Kernel-Arbeitsspeichers | ||
Defense Evasion: Unexpected kernel code modification Vorschau
|
KERNEL_MEMORY_TAMPERING
|
Unerwartete Änderungen des Kernel-Codespeichers. |
Defense Evasion: Unexpected kernel read-only data modification Vorschau
|
KERNEL_MEMORY_TAMPERING
|
Unerwartete Änderungen am schreibgeschützten Kernel-Datenspeicher. |
Manipulation der Kernel-Integrität | ||
Defense Evasion: Unexpected ftrace handler Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
ftrace -Punkte sind mit Callbacks vorhanden, die auf Regionen verweisen, die sich nicht im erwarteten Kernel- oder Modulcodebereich befinden.
|
Defense Evasion: Unexpected interrupt handler Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
Es sind Unterbrechungs-Handler vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcoderegionen befinden. |
Defense Evasion: Unexpected kernel modules Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
Es sind Kernel-Codeseiten vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcoderegionen befinden. |
Defense Evasion: Unexpected kprobe handler Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
kprobe -Punkte sind mit Callbacks vorhanden, die auf Regionen verweisen, die sich nicht im erwarteten Kernel- oder Modulcodebereich befinden.
|
Defense Evasion: Unexpected processes in runqueue Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
In der Ausführungswarteschlange des Planers sind unerwartete Prozesse vorhanden. Solche Prozesse befinden sich in der Ausführungswarteschlange, aber nicht in der Prozessaufgabenliste. |
Defense Evasion: Unexpected system call handler Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
Es sind Systemaufruf-Handler vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcoderegionen befinden. |
Rootkit | ||
Defense Evasion: Rootkit Vorschau
|
|
Es ist eine Kombination von Signalen vorhanden, die mit einem bekannten Kernelmodus-Rootkit übereinstimmen. Damit Sie Ergebnisse für diese Kategorie erhalten, müssen beide Module aktiviert sein. |
Malware-Bedrohungsergebnisse
VM Threat Detection erkennt die folgenden Ergebniskategorien, indem der nichtflüchtige Speicher einer VM auf bekannte Malware gescannt wird.
Kategorie | Modul | Beschreibung |
---|---|---|
Malware: Malicious file on disk (YARA)
|
MALWARE_DISK_SCAN_YARA
|
Gleicht Signaturen ab, die von bekannter Malware verwendet werden. |
Beobachtungsergebnis
VM Threat Detection generiert das folgende Beobachtungsergebnis:
Kategoriename | API-Name | Fazit | Schweregrad |
---|---|---|---|
VMTD disabled
|
VMTD_DISABLED |
VM Threat Detection ist deaktiviert. Bevor dieser Dienst enable wird, kann er Ihre Compute Engine-Projekte und VM-Instanzen nicht auf unerwünschte Anwendungen scannen.
Dieses Ergebnis wird nach 30 Tagen auf |
Hoch |
Beschränkungen
VM Threat Detection unterstützt Compute Engine-VM-Instanzen mit den folgenden Einschränkungen:
Begrenzte Unterstützung für Windows-VMs:
Bei der Erkennung von Kryptomining konzentriert sich VM Threat Detection hauptsächlich auf Linux-Binärdateien und deckt nur begrenzt Kryptowährungs-Mininger ab, die unter Windows ausgeführt werden.
Für die Rootkit-Erkennung im Kernelmodus, die sich in der Vorabversion befindet, unterstützt die VM-Bedrohungserkennung nur Linux-Betriebssysteme.
Keine Unterstützung für Compute Engine-VMs, die Confidential VM verwenden. Confidential VM-Instanzen verwenden Kryptografie, um den Inhalt des Speichers zu schützen, wenn er in und aus der CPU verschoben wird. Daher kann VM Threat Detection sie nicht scannen.
Einschränkungen beim Scannen von Laufwerken:
Nichtflüchtige Speicher, die mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln (Customer-Supplied Encryption Keys, CSEK) oder vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) verschlüsselt sind, werden nicht unterstützt.
Nur
vfat
-,ext2
- undext4
-Partitionen werden gescannt.
Für VM Threat Detection muss der Security Center-Dienst-Agent die VMs in den Projekten auflisten und die Laufwerke in Google-Projekten klonen. Einige Sicherheits- und Richtlinienkonfigurationen wie VPC Service Controls-Perimeter und Einschränkungen für Organisationsrichtlinien können solche Vorgänge beeinträchtigen. In diesem Fall funktioniert das VM-Bedrohungserkennungs-Scan möglicherweise nicht.
VM Threat Detection basiert auf den Funktionen des Hypervisors von Google Cloud und der Compute Engine. Daher kann VM Threat Detection nicht in lokalen Umgebungen oder anderen öffentlichen Cloud-Umgebungen ausgeführt werden.
Datenschutz und Sicherheit
VM Threat Detection greift zur Analyse auf die Laufwerkklone und den Arbeitsspeicher einer laufenden VM zu. Der Dienst analysiert nur das, was zum Erkennen von Bedrohungen erforderlich ist.
Der Inhalt des VM-Arbeitsspeichers und der Laufwerkklone werden als Eingaben in der Risikoanalysepipeline von VM Threat Detection verwendet. Die Daten werden bei der Übertragung verschlüsselt und von automatisierten Systemen verarbeitet. Während der Verarbeitung werden Daten durch die Sicherheitskontrollsysteme von Google Cloud geschützt.
Zu Monitoring- und Debugging-Zwecken speichert VM Threat Detection grundlegende Diagnose- und statistische Informationen zu Projekten, die der Dienst schützt.
VM Threat Detection scannt VM-Arbeitsspeicherinhalte und Laufwerksklone in ihrer jeweiligen Region. Die resultierenden Ergebnisse und Metadaten (z. B. Projekt- und Organisationsnummern) können jedoch außerhalb dieser Regionen gespeichert werden.
Nächste Schritte
- So verwenden Sie VM Threat Detection.
- Ergebnisse von VM Threat Detection untersuchen.