Exécution: exécution de l'outil d'attaque Kubernetes
Restez organisé à l'aide des collections
Enregistrez et classez les contenus selon vos préférences.
Ce document décrit un type de résultat de menace dans Security Command Center. Les résultats de menace sont générés par les détecteurs de menaces lorsqu'ils détectent une menace potentielle dans vos ressources cloud. Pour obtenir la liste complète des résultats de menace disponibles, consultez l'index des résultats de menace.
Présentation
Un outil d'attaque Kubernetes a été exécuté dans le conteneur. Cela indique une tentative potentielle d'exploitation des failles de l'environnement Kubernetes.
Les pirates informatiques utilisent souvent ces outils pour élever les privilèges, effectuer des déplacements latéraux ou compromettre d'autres ressources du cluster.
Ce résultat a une gravité Critical. L'exécution de tels outils suggère une tentative délibérée de prendre le contrôle des composants Kubernetes, tels que le serveur d'API, les nœuds ou les charges de travail. Les pirates informatiques peuvent utiliser ces outils pour contourner les contrôles de sécurité, manipuler les configurations ou exfiltrer des données sensibles.
Pour répondre à ce résultat, procédez comme suit :
Examiner les détails des résultats
Ouvrez le résultat Execution: Kubernetes Attack Tool Execution comme indiqué dans la section Examiner les résultats.
Consultez les détails dans les onglets Résumé et JSON.
Dans l'onglet Récapitulatif, examinez les informations des sections suivantes :
Ce qui a été détecté, en particulier les champs suivants :
Binaire du programme : chemin d'accès absolu du binaire exécuté
Arguments : arguments transmis lors de l'exécution du binaire
Ressource concernée, en particulier les champs suivants :
project_display_name : nom du projet contenant la ressource Cloud Run concernée.
finding :
processes :
binary :
path : chemin d'accès complet du binaire exécuté.
args : arguments fournis lors de l'exécution du binaire.
Identifiez les autres résultats qui se sont produits à peu près au même moment pour le conteneur concerné. Les résultats associés peuvent indiquer que cette activité était malveillante, plutôt qu'un manquement aux bonnes pratiques.
Sauf indication contraire, le contenu de cette page est régi par une licence Creative Commons Attribution 4.0, et les échantillons de code sont régis par une licence Apache 2.0. Pour en savoir plus, consultez les Règles du site Google Developers. Java est une marque déposée d'Oracle et/ou de ses sociétés affiliées.
Dernière mise à jour le 2025/09/05 (UTC).
[[["Facile à comprendre","easyToUnderstand","thumb-up"],["J'ai pu résoudre mon problème","solvedMyProblem","thumb-up"],["Autre","otherUp","thumb-up"]],[["Difficile à comprendre","hardToUnderstand","thumb-down"],["Informations ou exemple de code incorrects","incorrectInformationOrSampleCode","thumb-down"],["Il n'y a pas l'information/les exemples dont j'ai besoin","missingTheInformationSamplesINeed","thumb-down"],["Problème de traduction","translationIssue","thumb-down"],["Autre","otherDown","thumb-down"]],["Dernière mise à jour le 2025/09/05 (UTC)."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nA Kubernetes attack tool was executed within the container. This indicates a\npotential attempt to exploit vulnerabilities in the Kubernetes environment.\nAttackers often use these tools to escalate privileges, perform lateral\nmovement, or compromise other resources within the cluster.\n\nThe severity of this finding is `Critical`. The execution of such tools suggests\na deliberate attempt to gain control over Kubernetes components, such as the API\nserver, nodes, or workloads. Attackers might use these tools to bypass security\ncontrols, manipulate configurations, or exfiltrate sensitive data.\n\nDetection service\n\n[Cloud Run Threat Detection](/security-command-center/docs/cloud-run-threat-detection-overview)\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nReview finding details\n\n1. Open the `Execution: Kubernetes Attack Tool Execution` finding as directed in\n [Reviewing\n findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n Review the details on the **Summary** and **JSON** tabs.\n\n2. On the **Summary** tab, review the information in the following sections:\n\n - **What was detected** , especially the following fields:\n - **Program binary**: the absolute path of the executed binary\n - **Arguments**: the arguments passed during binary execution\n - **Affected resource** , especially the following fields:\n - **Resource full name** : the [full resource name](/apis/design/resource_names) of the affected Cloud Run resource\n3. On the **JSON** tab, note the following fields:\n\n - `resource`:\n - `project_display_name`: the name of the project that contains the affected Cloud Run resource\n - `finding`:\n - `processes`:\n - `binary`:\n - `path`: the full path of the executed binary\n - `args`: the arguments that were provided when the binary was executed\n4. Identify other findings that occurred at a similar time for the affected\n container. Related findings might indicate that this activity was malicious,\n instead of a failure to follow best practices.\n\n5. Review the settings of the affected container.\n\n6. Check the logs for the affected container.\n\nResearch attack and response methods\n\n1. Review MITRE ATT\\&CK framework entry for this finding type: [Obtain Capabilities: Tool](https://attack.mitre.org/techniques/T1588/002/).\n2. To develop a response plan, combine your investigation results with MITRE research.\n\nImplement your response\n\nFor response recommendations, see [Respond to Cloud Run threat\nfindings](/security-command-center/docs/respond-cloud-run-threats).\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
