Virtual Machine Threat Detection – Übersicht

Nur Premium-Stufe: Diese Funktion ist nur mit der Premium-Stufe von Security Command Center.

Auf dieser Seite erhalten Sie eine Übersicht über Virtual Machine Threat Detection.

Übersicht

Virtual Machine Threat Detection, ein integrierter Dienst von Security Command Center Premium, Bedrohungserkennung durch Instrumentierung auf Hypervisorebene und nichtflüchtigen Speicher Analyse. VM Threat Detection erkennt potenziell schädliche Anwendungen wie Kryptomining-Software, Rootkits im Kernelmodus und Malware, kompromittierten Cloud-Umgebungen.

VM Threat Detection ist Teil der Bedrohungserkennungs-Suite der Premium-Version von Security Command Center und ergänzt die vorhandenen Funktionen von Event Threat Detection und Container Threat Detection.

VM Threat Detection-Ergebnisse stellen Bedrohungen mit hohem Schweregrad dar, die Sie sofort beheben müssen. VM Threat Detection-Ergebnisse können im Security Command Center abgerufen werden.

Für Organisationen, die für das Security Command Center Premium registriert sind, werden VM-Bedrohungserkennungsscans automatisch aktiviert. Bei Bedarf können Sie den Dienst deaktivieren und/oder auf Projektebene aktivieren. Weitere Informationen finden Sie unter VM Threat Detection aktivieren oder deaktivieren.

Funktionsweise von VM Threat Detection

VM Threat Detection ist ein verwalteter Dienst, der aktivierte Compute Engine scannt Projekte und VM-Instanzen, um potenziell schädliche Anwendungen zu erkennen wie Kryptomining-Software und Rootkits im Kernelmodus.

Folgende vereinfachte Abbildung zeigt, wie das Analysemodul von VM Threat Detection Metadaten aus dem VM-Gastspeicher aufnimmt und Ergebnisse in Security Command Center schreibt.

Vereinfachter Datenpfad für die Virtual Machine Threat Detection

Die VM Threat Detection ist in den Hypervisor von Google Cloud eingebunden, eine sichere Plattform, die alle Compute Engine-VMs erstellt und verwaltet.

VM Threat Detection führt regelmäßig Scans vom Hypervisor in den einer laufenden Gast-VM, ohne den Betrieb des Gasts zu unterbrechen. Außerdem scannt Laufwerkklone regelmäßig. Da dieser Dienst von außerhalb des Gast-VM-Instanz erfordert, sind keine Gast-Agents oder eine spezielle Konfiguration des Gastbetriebssystems und widerstandsfähig gegen Gegenmaßnahmen ausgeklügelte Malware. In der Gast-VM und im Netzwerk werden keine CPU-Zyklen verwendet Verbindung ist nicht erforderlich. Sicherheitsteams müssen keine Signaturen den Dienst verwalten.

So funktioniert die Erkennung von Kryptomining

Powered by Google Cloud Regeln für die Bedrohungserkennung und VM Threat Detection analysiert Informationen zu Software, die auf VMs ausgeführt wird, einschließlich einer Liste von Anwendungen Namen, CPU-Auslastung pro Prozess, Hashes von Speicherseiten, Leistung der CPU-Hardware und Informationen über ausgeführten Maschinencode, um zu ermitteln, alle Anwendungen stimmt mit bekannten Kryptomining-Signaturen überein. Wenn möglich, ermittelt VM Threat Detection dann den laufenden Prozess, der mit den erkannten Signaturen übereinstimmt, und fügt Informationen zu diesem Prozess im Ergebnis hinzu.

Funktionsweise der Rootkit-Erkennung im Kernelmodus

Vorschau

Diese Funktion unterliegt den „Nutzungsbedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Nutzungsbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA-Funktionen sind „wie besehen“ verfügbar und werden möglicherweise nur eingeschränkt unterstützt. Weitere Informationen finden Sie in den Beschreibungen der Startphase.

VM Threat Detection leitet den Betriebssystemtyp ab, der auf der VM ausgeführt wird, verwendet diese Informationen, um den Kernel-Code, schreibgeschützte Speicherorte für Daten und anderen Kernel-Datenstrukturen im Arbeitsspeicher, VM Threat Detection nutzt verschiedene um festzustellen, ob diese Regionen manipuliert wurden, indem sie für das Kernel-Image erwartete vorberechnete Hashes und Integrität wichtiger Kernel-Datenstrukturen.

Funktionsweise der Malwareerkennung

VM Threat Detection verwendet kurzlebige Klone des nichtflüchtigen Speichers Ihrer VM, ohne Ihre Arbeitslasten zu beeinträchtigen, und scannt die Laufwerkklone. Dieser Dienst Sie analysiert ausführbare Dateien auf der VM, um festzustellen, ob Dateien mit bekannten Dateien übereinstimmen. Malware-Signaturen. Das generierte Ergebnis enthält Informationen zur Datei und die Malware-Signaturen erkannt.

Scanhäufigkeit

Beim Arbeitsspeicherscan scannt die VM-Bedrohungserkennung jede VM-Instanz direkt nach der Instanz erstellt wird. Darüber hinaus scannt VM Threat Detection alle VM-Instanzen alle 30 Minuten.

• Für die Erkennung von Kryptomining generiert VM Threat Detection eine einem Prozess, einer VM und einem Tag. Jedes Ergebnis enthält nur die mit dem der durch das Ergebnis identifiziert wird. Wenn VM Threat Detection Bedrohungen findet, sie jedoch keinem Prozess zuordnen kann, fasst VM Threat Detection für jede VM alle nicht zugehörigen Bedrohungen in einem einzigen Ergebnis zusammen, das jeweils einmal innerhalb eines Zeitraums von 24 Stunden ausgeführt wird. Bei Bedrohungen, die länger als 24 Stunden andauern, generiert die VM Threat Detection alle 24 Stunden neue Ergebnisse.
• Für die Rootkit-Erkennung im Kernelmodus, die sich in der Vorabversion befindet, generiert VM Threat Detection ein pro Kategorie, pro VM und alle drei Tage ermittelt.

Beim Scannen nichtflüchtiger Speicher, bei denen bekannte Malware erkannt wird, wird VM Threat Detection scannt jede VM-Instanz mindestens einmal täglich.

Wenn Sie die Premium-Stufe von Security Command Center aktivieren, VM Threat Detection-Scans werden automatisch aktiviert. Bei Bedarf können Sie den Dienst deaktivieren und/oder auf Projektebene aktivieren. Weitere Informationen finden Sie unter VM Threat Detection aktivieren oder deaktivieren.

Ergebnisse

Dieser Abschnitt beschreibt die Bedrohungs- und Beobachtungsergebnisse, VM Threat Detection generiert.

Gefundene Bedrohungen

VM Threat Detection bietet die folgenden Bedrohungserkennungen.

Bedrohungsdaten für das Mining von Kryptowährungen

VM Threat Detection erkennt die folgenden Ergebniskategorien über Hash-Abgleich oder YARA-Regeln.

Bedrohungsergebnisse zum Mining von Kryptowährungen durch VM Threat Detection

Kategorie	Modul	Beschreibung
Execution: Cryptocurrency Mining Hash Match	CRYPTOMINING_HASH	Vergleicht Speicher-Hashes von laufenden Programmen mit bekannten Speicher-Hashes von Kryptowährung-Mining-Software.
Execution: Cryptocurrency Mining YARA Rule	CRYPTOMINING_YARA	Prüft Übereinstimmung mit Speichermustern, darunter Proof of Work-Konstanten, die bekanntermaßen von Kryptowährungs-Mining-Software verwendet werden.
Execution: Cryptocurrency Mining Combined Detection	CRYPTOMINING_HASH CRYPTOMINING_YARA	Identifiziert eine Bedrohung, die sowohl vom Die Module CRYPTOMINING_HASH und CRYPTOMINING_YARA. Weitere Informationen finden Sie unter Kombinierte Erkennungen:

Rootkit-Bedrohungsergebnisse im Kernelmodus

Vorschau

Diese Funktion unterliegt den „Nutzungsbedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Nutzungsbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA-Funktionen sind „wie besehen“ verfügbar und werden möglicherweise nur eingeschränkt unterstützt. Weitere Informationen finden Sie in den Beschreibungen der Startphase.

VM Threat Detection analysiert die Kernel-Integrität während der Laufzeit, um gängige Täuschverfahren zu erkennen die von Malware verwendet werden.

Das KERNEL_MEMORY_TAMPERING das Modul Bedrohungen, indem es einen Hash-Vergleich auf der Kernel-Code und schreibgeschützter Kernel-Datenspeicher einer virtuellen Maschine.

Das Modul KERNEL_INTEGRITY_TAMPERING erkennt Bedrohungen durch Prüfen die Integrität wichtiger Kernel-Datenstrukturen.

Rootkit-Bedrohungsergebnisse im Kernelmodus von VM Threat Detection

Kategorie	Modul	Beschreibung
Manipulation des Kernel-Arbeitsspeichers
Defense Evasion: Unexpected kernel code modification^Vorschau	KERNEL_MEMORY_TAMPERING	Unerwartete Änderungen des Kernel-Codespeichers.
Defense Evasion: Unexpected kernel read-only data modification^Vorschau	KERNEL_MEMORY_TAMPERING	Unerwartete Änderungen am schreibgeschützten Kernel-Datenspeicher.
Manipulation der Kernel-Integrität
Defense Evasion: Unexpected ftrace handler^Vorschau	KERNEL_INTEGRITY_TAMPERING	ftrace Punkte mit Callbacks, die auf Regionen verweisen, die sich nicht in dieser Region befinden den erwarteten Kernel- oder Modulcodebereich.
Defense Evasion: Unexpected interrupt handler^Vorschau	KERNEL_INTEGRITY_TAMPERING	Es sind Unterbrechungs-Handler vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcoderegionen befinden.
Defense Evasion: Unexpected kernel modules^Vorschau	KERNEL_INTEGRITY_TAMPERING	Es sind Kernel-Codeseiten vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcoderegionen befinden.
Defense Evasion: Unexpected kprobe handler^Vorschau	KERNEL_INTEGRITY_TAMPERING	kprobe Punkte mit Callbacks, die auf Regionen verweisen, die sich nicht in dieser Region befinden den erwarteten Kernel- oder Modulcodebereich.
Defense Evasion: Unexpected processes in runqueue^Vorschau	KERNEL_INTEGRITY_TAMPERING	In der Ausführungswarteschlange des Planers sind unerwartete Prozesse vorhanden. Solche Prozesse befinden sich in der Warteschlange, aber nicht in der Prozessaufgabenliste.
Defense Evasion: Unexpected system call handler^Vorschau	KERNEL_INTEGRITY_TAMPERING	Es sind Systemaufruf-Handler vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcoderegionen befinden.
Rootkit
Defense Evasion: Rootkit^Vorschau	KERNEL_MEMORY_TAMPERING KERNEL_INTEGRITY_TAMPERING	Es ist eine Kombination von Signalen vorhanden, die mit einem bekannten Kernelmodus-Rootkit übereinstimmen. Empfangen Ergebnisse dieser Kategorie erhalten, achten Sie darauf, dass beide Module aktiviert sind.

Malware-Bedrohungsergebnisse

VM Threat Detection erkennt die folgenden Ergebniskategorien durch Scannen des nichtflüchtigen Speichers einer VM auf bekannte Malware.

Malware-Bedrohungsergebnisse von VM Threat Detection

Kategorie	Modul	Beschreibung
Malware: Malicious file on disk (YARA)	MALWARE_DISK_SCAN_YARA	Gleicht Signaturen ab, die von bekannter Malware verwendet werden.

Beobachtungsergebnis

VM Threat Detection generiert das folgende Beobachtungsergebnis:

Beobachtungsergebnisse von VM Threat Detection

Kategoriename	API-Name	Fazit	Schweregrad
VMTD disabled	VMTD_DISABLED	VM Threat Detection ist deaktiviert. Bevor dieser Dienst aktiviert wird, kann er Ihre Compute Engine-Projekte und VM-Instanzen nicht auf unerwünschte Anwendungen scannen. Dieses Ergebnis wird nach 30 Tagen auf INACTIVE gesetzt. Danach wird dieses Ergebnis nicht noch einmal generiert.	Hoch

Beschränkungen

VM Threat Detection unterstützt Compute Engine-VM-Instanzen mit den folgenden Einschränkungen:

• Begrenzte Unterstützung für Windows-VMs:

  • Bei der Erkennung von Kryptomining wird VM Threat Detection primär auf Linux-Binärprogrammen. Die Anzahl der Miner, die für Windows.

  • Für die Rootkit-Erkennung im Kernelmodus, die sich in der Vorabversion befindet, VM Threat Detection unterstützt nur Linux-Betriebssysteme.

• Keine Unterstützung für Compute Engine-VMs, die Confidential VM verwenden. Confidential VM-Instanzen verwenden Kryptografie, um den Inhalt des Speichers zu schützen, wenn er in und aus der CPU verschoben wird. Daher kann VM Threat Detection sie nicht scannen.

• Einschränkungen beim Scannen von Laufwerken:

  • Nichtflüchtige Speicher, die mit vom Kunden bereitgestellter Verschlüsselung verschlüsselt sind“ Schlüssel (CSEK) oder vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK) nicht unterstützt.

  • Nur vfat-, ext2- und ext4-Partitionen werden gescannt.

• VM Threat Detection erfordert den Security Center-Dienst Kundenservicemitarbeiter auf Sie können die VMs in den Projekten auflisten und die Laufwerke im Eigentum von Google klonen. Projekten. Einige Sicherheits- und Richtlinienkonfigurationen, z. B. VPC Service Controls Perimeter und Organisationsrichtlinien Einschränkungen: solche Vorgänge behindern. In diesem Fall werden VM-Bedrohungserkennungs-Scans funktioniert möglicherweise nicht.

• VM Threat Detection basiert auf den Funktionen der Hypervisor und Compute Engine. Daher kann VM Threat Detection nicht in lokalen Umgebungen oder anderen öffentlichen Cloud-Umgebungen.

Datenschutz und Sicherheit

VM Threat Detection greift auf die Laufwerkklone und den Arbeitsspeicher einer ausgeführten VM für Analyse. Der Dienst analysiert nur das, was zum Erkennen von Bedrohungen erforderlich ist.

Der Inhalt des VM-Arbeitsspeichers und der Laufwerkklone werden als Eingaben in der Pipeline für die Risikoanalyse von VM Threat Detection. Die Daten werden bei der Übertragung die von automatisierten Systemen verarbeitet werden. Bei der Verarbeitung werden Daten durch Sicherheitskontrollsysteme von Google Cloud.

Zu Monitoring- und Debugging-Zwecken speichert VM Threat Detection grundlegende Diagnose- und statistische Informationen zu Projekten, die der Dienst schützt.

VM Threat Detection scannt VM-Arbeitsspeicherinhalte und Laufwerkklone in den jeweiligen Regionen. Die resultierenden Ergebnisse und Metadaten (z. B. Projekt- und Organisationsnummern) können jedoch außerhalb dieser Regionen gespeichert werden.

Nächste Schritte

• So verwenden Sie VM Threat Detection.
• Ergebnisse von VM Threat Detection untersuchen.