Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
In diesem Dokument wird ein Typ von Bedrohungsergebnissen in Security Command Center beschrieben. Bedrohungsergebnisse werden von Bedrohungsdetektoren generiert, wenn sie eine potenzielle Bedrohung in Ihren Cloud-Ressourcen erkennen. Eine vollständige Liste der verfügbaren Bedrohungsergebnisse finden Sie im Index der Bedrohungsergebnisse.
Übersicht
Eine Binärdatei, die im ursprünglichen Container-Image enthalten ist, wurde ausgeführt. Die Binärdatei wurde anhand von Threat Intelligence als schädlich identifiziert.
Ein potenzieller Angreifer hat die Kontrolle über das Container-Image-Repository oder die Erstellungspipeline, in die die schädliche Binärdatei in das Container-Image eingefügt wird.
Gehen Sie folgendermaßen vor, um auf dieses Ergebnis zu reagieren:
Details zu Ergebnissen ansehen
Öffnen Sie das Ergebnis Execution: Built in Malicious Binary Executed, wie unter Ergebnisse prüfen beschrieben.
Sehen Sie sich die Details auf den Tabs Zusammenfassung und JSON an.
Sehen Sie sich auf dem Tab Zusammenfassung die Informationen in den folgenden Abschnitten an:
Was wurde erkannt?, insbesondere die folgenden Felder:
Binärprogramm: der absolute Pfad des integrierten Binärprogramms
Argumente: die Argumente, die beim Aufrufen der integrierten Binärdatei angegeben werden
Containers: der Name des betroffenen Containers
Container-URI: Der Name des bereitgestellten Container-Images
Betroffene Ressource, insbesondere die folgenden Felder:
Weitere Informationen, insbesondere die folgenden Felder:
VirusTotal-Indikator: Link zur VirusTotal-Analyseseite
Suchen Sie nach anderen Ergebnissen, die für den betroffenen Container zu einem ähnlichen Zeitpunkt aufgetreten sind. Zugehörige Ergebnisse können darauf hindeuten, dass diese Aktivität böswillig war und nicht auf einen Verstoß gegen die Best Practices zurückzuführen ist.
Überprüfen Sie die Einstellungen des betroffenen Containers.
Prüfen Sie den SHA-256-Hashwert für die als schädlich gekennzeichnete Binärdatei auf VirusTotal, indem Sie auf den Link in VirusTotal-Indikator klicken. VirusTotal ist ein Alphabet-eigener Dienst, der Kontext zu potenziell schädlichen Dateien, URLs, Domains und IP-Adressen bereitstellt.
Wenn Sie einen Reaktionsplan entwickeln möchten, kombinieren Sie Ihre Untersuchungsergebnisse mit der MITRE-Forschung und der VirusTotal-Analyse.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-05 (UTC)."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nA binary that is included in the original container image was executed. The\nbinary was identified as malicious based on threat intelligence.\n\nA potential attacker has control of the container image repository or creation\npipeline, where the malicious binary is injected into the container image.\n\nDetection service\n\n[Cloud Run Threat Detection](/security-command-center/docs/cloud-run-threat-detection-overview)\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nReview finding details\n\n1. Open the `Execution: Built in Malicious Binary Executed` finding as directed in\n [Reviewing findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n Review the details on the **Summary** and **JSON** tabs.\n\n2. On the **Summary** tab, review the information in the following sections:\n\n - **What was detected** , especially the following fields:\n - **Program binary**: the absolute path of the built-in binary\n - **Arguments**: the arguments provided when invoking the built-in binary\n - **Containers**: the name of the affected container\n - **Containers URI**: the name of the container image being deployed\n - **Affected resource** , especially the following fields:\n - **Resource full name** : the [full resource name](/apis/design/resource_names) of the affected Cloud Run resource\n - **Related links** , especially the following fields:\n - **VirusTotal indicator**: link to the VirusTotal analysis page\n3. Look for other findings that occurred at a similar time for the affected\n container. Related findings might indicate that this activity was malicious,\n instead of a failure to follow best practices.\n\n4. Review the settings of the affected container.\n\n5. Check the logs for the affected container.\n\nResearch attack and response methods\n\n1. Review MITRE ATT\\&CK framework entries for this finding type: [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105/) and [Native API](https://attack.mitre.org/techniques/T1106/).\n2. Check the SHA-256 hash value for the binary flagged as malicious on [VirusTotal](https://www.virustotal.com) by clicking the link in **VirusTotal indicator**. VirusTotal is an Alphabet-owned service that provides context on potentially malicious files, URLs, domains, and IP addresses.\n3. To develop a response plan, combine your investigation results with the MITRE research and VirusTotal analysis.\n\nImplement your response\n\nFor response recommendations, see [Respond to Cloud Run threat\nfindings](/security-command-center/docs/respond-cloud-run-threats).\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
