このページは Cloud Translation API によって翻訳されました。

認証情報アクセス: ノード上の機密ファイルへのアクセス

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウドリソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

/etc/shadow または SSH authorized_keys にアクセスするプログラムが実行されました。攻撃者は認証ファイルにアクセスして、パスワードハッシュをコピーする可能性があります。これはファイルモニタリング検出器であり、特定の GKE バージョンの要件があります。この検出機能はデフォルトで無効になっています。有効にする手順については、 Container Threat Detection のテストをご覧ください。

この検出結果のソースは Container Threat Detection です。

顧客への対処方法

この検出結果に対応する手順は次のとおりです。

検出結果の詳細を確認する

検出結果の確認の説明に従って、Credential Access: Access Sensitive Files On Nodes の検出結果を開きます。[概要] タブと [JSON] タブで詳細を確認します。
このリソースで同様のタイミングで発生した他の検出結果を特定します。関連する検出結果は、このアクティビティがベストプラクティスに従っていないのではなく、悪意のあるものであることを示している可能性があります。
影響を受けるリソースの設定を確認します。
影響を受けるリソースのログを確認します。

攻撃とレスポンスの手法を調査する

この検出結果タイプに対応する MITRE ATT&CK フレームワークエントリ（Credential Access）を確認します。

次のステップ

Security Command Center で脅威の検出結果を操作する方法を学習する。
脅威の検出結果のインデックスを参照してください。
Google Cloud コンソールで検出結果を確認する方法を学習する。
脅威の検出結果を生成するサービスについて学習する。