Panoramica di Virtual Machine Threat Detection

Solo il livello Premium: questa funzionalità è disponibile solo con il livello Premium di Security Command Center.

Questa pagina fornisce una panoramica di Virtual Machine Threat Detection.

Panoramica

Virtual Machine Threat Detection, un servizio integrato di Security Command Center Premium, fornisce il rilevamento delle minacce attraverso la strumentazione a livello di hypervisor e l'analisi del disco permanente. VM Threat Detection rileva applicazioni potenzialmente dannose, come software di cryptomining, rootkit in modalità kernel e malware in esecuzione in ambienti cloud compromessi.

VM Threat Detection fa parte della suite di rilevamento delle minacce di Security Command Center Premium ed è progettato per integrare le funzionalità esistenti di Event Threat Detection e Container Threat Detection.

I risultati di VM Threat Detection sono minacce ad alta gravità che ti consigliamo di risolvere immediatamente. Puoi visualizzare i risultati di VM Threat Detection in Security Command Center.

Per le organizzazioni registrate a Security Command Center Premium, le analisi di VM Threat Detection vengono abilitate automaticamente. Se necessario, puoi disabilitare il servizio e/o abilitare il servizio a livello di progetto. Per ulteriori informazioni, consulta Abilitare o disabilitare VM Threat Detection.

Come funziona VM Threat Detection

VM Threat Detection è un servizio gestito che analizza i progetti Compute Engine e le istanze di macchine virtuali (VM) abilitati per rilevare le applicazioni potenzialmente dannose in esecuzione nelle VM, come software di mining di criptovaluta e rootkit in modalità kernel.

La figura seguente è un'illustrazione semplificata che mostra come il motore di analisi di VM Threat Detection importa i metadati dalla memoria guest della VM e scrive i risultati in Security Command Center.

Percorso dei dati semplificato per Virtual Machine Threat Detection

VM Threat Detection è integrato nell'hypervisor di Google Cloud, una piattaforma sicura che crea e gestisce tutte le VM di Compute Engine.

VM Threat Detection esegue periodicamente scansioni dall'hypervisor nella memoria di una VM guest in esecuzione senza mettere in pausa l'operazione dell'ospite. Analizza inoltre periodicamente i cloni di dischi. Poiché questo servizio opera al di fuori dell'istanza VM guest, non richiede agenti guest o una configurazione speciale del sistema operativo guest ed è resistente alle contromisure utilizzate da malware sofisticati. Nella VM guest non vengono utilizzati cicli della CPU e la connettività di rete non è richiesta. I team di sicurezza non devono aggiornare le firme o gestire il servizio.

Come funziona il rilevamento del mining di criptovaluta

Basato sulle regole di rilevamento delle minacce di Google Cloud, VM Threat Detection analizza le informazioni sul software in esecuzione sulle VM, tra cui un elenco di nomi di applicazioni, utilizzo della CPU per processo, hash di pagine di memoria, contatori delle prestazioni hardware della CPU e informazioni sul codice macchina eseguito per determinare se qualsiasi applicazione corrisponde alle firme note per il mining di criptovaluta. Se possibile, VM Threat Detection determina quindi il processo in esecuzione associato alle corrispondenze di firma rilevate e include nel risultato informazioni su quel processo.

Come funziona il rilevamento dei rootkit in modalità kernel

Anteprima

Questa funzionalità è soggetta ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

VM Threat Detection deduce il tipo di sistema operativo in esecuzione sulla VM e utilizza queste informazioni per determinare il codice kernel, le regioni di dati di sola lettura e altre strutture di dati kernel in memoria. VM Threat Detection applica varie tecniche per determinare se queste regioni sono state manomesse, confrontandole con gli hash precalcolati previsti per l'immagine kernel e verificando l'integrità di importanti strutture di dati del kernel.

Come funziona il rilevamento del malware

VM Threat Detection accetta cloni di breve durata del disco permanente della tua VM, senza interrompere i carichi di lavoro, e analizza i cloni dei dischi. Questo servizio analizza i file eseguibili sulla VM per determinare se esistono file corrispondenti a firme di malware note. Il risultato generato contiene informazioni sul file e sulle firme del malware rilevate.

Frequenza di ricerca

Per la scansione della memoria, VM Threat Detection analizza ogni istanza VM immediatamente dopo la sua creazione. Inoltre, VM Threat Detection analizza ogni istanza VM ogni 30 minuti.

• Per il rilevamento del mining di criptovaluta, VM Threat Detection genera un risultato per processo, per VM, al giorno. Ogni risultato include solo le minacce associate al processo identificato dal risultato. Se VM Threat Detection trova minacce ma non riesce ad associarle ad alcun processo, per ogni VM, VM Threat Detection raggruppa tutte le minacce non associate in un unico risultato che emette una volta ogni 24 ore. Per qualsiasi minaccia che persiste per più di 24 ore, VM Threat Detection genera nuovi risultati una volta ogni 24 ore.
• Per il rilevamento del rootkit in modalità kernel, in anteprima, VM Threat Detection genera un risultato per categoria, per VM, ogni tre giorni.

Per la scansione disco permanente, che rileva la presenza di malware noto, VM Threat Detection analizza ogni istanza VM almeno una volta al giorno.

Se attivi il livello Premium di Security Command Center, le analisi di VM Threat Detection vengono abilitate automaticamente. Se necessario, puoi disabilitare il servizio e/o abilitare il servizio a livello di progetto. Per ulteriori informazioni, consulta Abilitare o disabilitare VM Threat Detection.

Risultati

Questa sezione descrive i risultati relativi a minacce e osservazioni che VM Threat Detection genera.

Risultati della minaccia

VM Threat Detection rileva i seguenti tipi di minacce.

Risultati delle minacce di mining di criptovalute

VM Threat Detection rileva le seguenti categorie di risultati tramite la corrispondenza di hash o le regole YARA.

Risultati delle minacce di mining di criptovaluta di VM Threat Detection

Categoria	Modulo	Descrizione
Execution: Cryptocurrency Mining Hash Match	CRYPTOMINING_HASH	Abbina gli hash di memoria dei programmi in esecuzione con gli hash di memoria noti del software di mining di criptovaluta.
Execution: Cryptocurrency Mining YARA Rule	CRYPTOMINING_YARA	Corrisponde ai pattern di memoria, come le costanti del proof of work, note per essere utilizzate da software di mining di criptovalute.
Execution: Cryptocurrency Mining Combined Detection	CRYPTOMINING_HASH CRYPTOMINING_YARA	Identifica una minaccia rilevata sia dai moduli CRYPTOMINING_HASH che CRYPTOMINING_YARA. Per maggiori informazioni, consulta Rilevamenti combinati.

Risultati delle minacce rootkit in modalità kernel

Anteprima

Questa funzionalità è soggetta ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

VM Threat Detection analizza l'integrità del kernel in fase di esecuzione per rilevare le tecniche di evasione comunemente utilizzate dal malware.

Il modulo KERNEL_MEMORY_TAMPERING rileva le minacce facendo un confronto di hash sul codice kernel e nella memoria dati di sola lettura del kernel di una macchina virtuale.

Il modulo KERNEL_INTEGRITY_TAMPERING rileva le minacce controllando l'integrità di importanti strutture di dati del kernel.

Risultati delle minacce rootkit in modalità kernel di VM Threat Detection

Categoria	Modulo	Descrizione
Manomissione della memoria del kernel
Defense Evasion: Unexpected kernel code modification^Anteprima	KERNEL_MEMORY_TAMPERING	Sono presenti modifiche impreviste della memoria del codice kernel.
Defense Evasion: Unexpected kernel read-only data modification^Anteprima	KERNEL_MEMORY_TAMPERING	Sono presenti modifiche impreviste della memoria dei dati di sola lettura del kernel.
Manomissione dell'integrità del kernel
Defense Evasion: Unexpected ftrace handler^Anteprima	KERNEL_INTEGRITY_TAMPERING	Sono presenti punti ftrace con callback che puntano a regioni che non rientrano nell'intervallo di codice previsto del kernel o del modulo.
Defense Evasion: Unexpected interrupt handler^Anteprima	KERNEL_INTEGRITY_TAMPERING	Sono presenti gestori di interruzioni che non si trovano nelle regioni previste del kernel o del codice del modulo.
Defense Evasion: Unexpected kernel modules^Anteprima	KERNEL_INTEGRITY_TAMPERING	Sono presenti pagine di codice del kernel che non si trovano nelle regioni di codice del kernel o del modulo previste.
Defense Evasion: Unexpected kprobe handler^Anteprima	KERNEL_INTEGRITY_TAMPERING	Sono presenti punti kprobe con callback che puntano a regioni che non rientrano nell'intervallo di codice previsto del kernel o del modulo.
Defense Evasion: Unexpected processes in runqueue^Anteprima	KERNEL_INTEGRITY_TAMPERING	Sono presenti processi imprevisti nella coda di esecuzione dello scheduler. Questi processi si trovano nella coda di esecuzione, ma non nell'elenco di attività dei processi.
Defense Evasion: Unexpected system call handler^Anteprima	KERNEL_INTEGRITY_TAMPERING	Sono presenti gestori di chiamate di sistema che non si trovano nelle regioni previste del kernel o del codice del modulo.
rootkit
Defense Evasion: Rootkit^Anteprima	KERNEL_MEMORY_TAMPERING KERNEL_INTEGRITY_TAMPERING	È presente una combinazione di indicatori che corrispondono a un rootkit in modalità kernel noto. Per ricevere i risultati di questa categoria, assicurati che entrambi i moduli siano abilitati.

Risultati della minaccia di malware

VM Threat Detection rileva le seguenti categorie di risultati analizzando il disco permanente di una VM per rilevare malware noto.

Risultati delle minacce malware di VM Threat Detection

Categoria	Modulo	Descrizione
Malware: Malicious file on disk (YARA)	MALWARE_DISK_SCAN_YARA	Corrisponde alle firme utilizzate dal malware noto.

Risultato osservazione

VM Threat Detection genera il seguente risultato di osservazione:

Risultato di osservazione di VM Threat Detection

Nome categoria	Nome API	Riepilogo	Gravità
VMTD disabled	VMTD_DISABLED	VM Threat Detection è disabilitato. Finché non lo enable, questo servizio non può analizzare i progetti Compute Engine e le istanze VM per individuare applicazioni indesiderate. Questo risultato viene impostato su INACTIVE dopo 30 giorni. Dopodiché, questo risultato non viene generato di nuovo.	Alta

Limitazioni

VM Threat Detection supporta le istanze VM di Compute Engine, con le seguenti limitazioni:

• Supporto limitato per le VM Windows:

  • Per il rilevamento del mining di criptovaluta, VM Threat Detection si concentra principalmente sui file binari Linux e ha una copertura limitata di miner di criptovalute eseguiti su Windows.

  • Per il rilevamento dei rootkit in modalità kernel, in anteprima, VM Threat Detection supporta solo i sistemi operativi Linux.

• Nessun supporto per le VM di Compute Engine che utilizzano Confidential VM. Le istanze Confidential VM utilizzano la crittografia per proteggere i contenuti della memoria durante lo spostamento all'interno e all'esterno della CPU. Pertanto, VM Threat Detection non può analizzarle.

• Limitazioni della scansione dei dischi:

  • I dischi permanenti criptati con chiavi di crittografia fornite dal cliente (CSEK) o chiavi di crittografia gestite dal cliente (CMEK) non sono supportati.

  • Vengono analizzate solo le partizioni vfat, ext2 e ext4.

• VM Threat Detection richiede che l'agente di servizio del Centro sicurezza sia in grado di elencare le VM nei progetti e di clonare i dischi in progetti di proprietà di Google. Alcune configurazioni di sicurezza e dei criteri, come i perimetri dei Controlli di servizio VPC e i vincoli dei criteri dell'organizzazione, possono interferire con queste operazioni. In questo caso, l'analisi di VM Threat Detection potrebbe non funzionare.

• VM Threat Detection si basa sulle funzionalità dell'hypervisor di Google Cloud e di Compute Engine. Pertanto, VM Threat Detection non può essere eseguito in ambienti on-premise o in altri ambienti cloud pubblico.

Privacy e sicurezza

VM Threat Detection accede ai cloni dei dischi e alla memoria di una VM in esecuzione per l'analisi. Il servizio analizza solo ciò che è necessario per rilevare le minacce.

I contenuti della memoria delle VM e dei cloni dei dischi vengono utilizzati come input nella pipeline di analisi del rischio di VM Threat Detection. I dati vengono criptati in transito ed elaborati da sistemi automatici. Durante l'elaborazione, i dati sono protetti dai sistemi di controllo della sicurezza di Google Cloud.

A scopo di monitoraggio e debug, VM Threat Detection archivia informazioni statistiche e diagnostiche di base sui progetti protetti dal servizio.

VM Threat Detection analizza i contenuti della memoria delle VM e i cloni di dischi nelle rispettive regioni. Tuttavia, i risultati e i metadati risultanti (ad esempio i numeri di progetto e organizzazione) potrebbero essere archiviati al di fuori di queste regioni.

Passaggi successivi

• Scopri come utilizzare VM Threat Detection.
• Scopri come esaminare i risultati di VM Threat Detection.