Acceso a credenciales: acceder a archivos sensibles en nodos
Organízate con las colecciones
Guarda y clasifica el contenido según tus preferencias.
En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.
Información general
Se ha ejecutado un programa que ha accedido a /etc/shadow o SSH authorized_keys. Los atacantes pueden acceder a los archivos de autorización para copiar los hashes de las contraseñas. Se trata de un detector de monitorización de archivos y tiene requisitos específicos de la versión de GKE. Este detector está inhabilitado de forma predeterminada. Para obtener instrucciones sobre cómo habilitarlo, consulta Probar Container Threat Detection.
Para responder a esta observación, sigue estos pasos:
Consultar los detalles de los resultados
Abra el Credential Access: Access Sensitive Files On Nodes tal como se indica en el artículo Revisar los resultados.
Revisa los detalles en las pestañas Resumen y JSON.
Identifica otros resultados que se hayan producido en un momento similar para este recurso.
Los resultados relacionados pueden indicar que esta actividad era maliciosa, en lugar de
que no se hayan seguido las prácticas recomendadas.
Revisa la configuración del recurso afectado.
Consulta los registros del recurso afectado.
Investigar métodos de ataque y respuesta
Consulta la entrada del framework ATT&CK de MITRE para este tipo de resultado: Acceso a credenciales.
[[["Es fácil de entender","easyToUnderstand","thumb-up"],["Me ofreció una solución al problema","solvedMyProblem","thumb-up"],["Otro","otherUp","thumb-up"]],[["Es difícil de entender","hardToUnderstand","thumb-down"],["La información o el código de muestra no son correctos","incorrectInformationOrSampleCode","thumb-down"],["Me faltan las muestras o la información que necesito","missingTheInformationSamplesINeed","thumb-down"],["Problema de traducción","translationIssue","thumb-down"],["Otro","otherDown","thumb-down"]],["Última actualización: 2025-09-10 (UTC)."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nA program was executed that accessed `/etc/shadow` or SSH `authorized_keys`. Attackers may access authorization files to copy password hashes. This is a file monitoring detector and has [specific GKE version requirements](/security-command-center/docs/how-to-use-container-threat-detection#gke-version). This detector is disabled by default. For instructions on how to enable it, see [Testing Container Threat Detection](/security-command-center/docs/how-to-test-container-threat-detection).\n\nDetection service\n\n[Container Threat Detection](/security-command-center/docs/concepts-container-threat-detection-overview)\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nReview finding details\n\n1. Open the `Credential Access: Access Sensitive Files On Nodes` finding as directed in\n [Reviewing findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n Review the details in the **Summary** and **JSON** tabs.\n\n2. Identify other findings that occurred at a similar time for this resource.\n Related findings might indicate that this activity was malicious, instead of\n a failure to follow best practices.\n\n3. Review the settings of the affected resource.\n\n4. Check the logs for the affected resource.\n\nResearch attack and response methods\n\nReview the MITRE ATT\\&CK framework entry for this finding type:\n[Credential Access](https://attack.mitre.org/tactics/TA0006/).\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
