Esecuzione: esecuzione dello strumento di attacco Kubernetes
Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai
rilevatori di minacce quando rilevano
una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.
Panoramica
All'interno del container è stato eseguito uno strumento di attacco Kubernetes. Ciò indica un
potenziale tentativo di sfruttare le vulnerabilità nell'ambiente Kubernetes.
Gli autori degli attacchi spesso utilizzano questi strumenti per aumentare i privilegi, eseguire movimenti laterali o compromettere altre risorse all'interno del cluster.
La gravità di questo risultato è Critical. L'esecuzione di questi strumenti suggerisce
un tentativo deliberato di ottenere il controllo dei componenti di Kubernetes, come il server API,
i nodi o i carichi di lavoro. I malintenzionati potrebbero utilizzare questi strumenti per bypassare i controlli di sicurezza, manipolare le configurazioni o esfiltrare dati sensibili.
Apri il risultato Execution: Kubernetes Attack Tool Execution come indicato in
Revisione
dei risultati.
Controlla i dettagli nelle schede Riepilogo e JSON.
Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:
Che cosa è stato rilevato, in particolare i seguenti campi:
Programma binario: il percorso assoluto del binario eseguito
Arguments (Argomenti): gli argomenti passati durante l'esecuzione del binario
Risorsa interessata, in particolare i seguenti campi:
Nella scheda JSON, prendi nota dei seguenti campi:
resource:
project_display_name: il nome del progetto che contiene
la risorsa Cloud Run interessata
finding:
processes:
binary:
path: il percorso completo del file binario eseguito
args: gli argomenti forniti durante l'esecuzione del file binario
Identifica altri risultati che si sono verificati in un periodo simile per il contenitore interessato. I risultati correlati potrebbero indicare che questa attività era dannosa,
anziché un mancato rispetto delle best practice.
Rivedi le impostazioni del contenitore interessato.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-05 UTC."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nA Kubernetes attack tool was executed within the container. This indicates a\npotential attempt to exploit vulnerabilities in the Kubernetes environment.\nAttackers often use these tools to escalate privileges, perform lateral\nmovement, or compromise other resources within the cluster.\n\nThe severity of this finding is `Critical`. The execution of such tools suggests\na deliberate attempt to gain control over Kubernetes components, such as the API\nserver, nodes, or workloads. Attackers might use these tools to bypass security\ncontrols, manipulate configurations, or exfiltrate sensitive data.\n\nDetection service\n\n[Cloud Run Threat Detection](/security-command-center/docs/cloud-run-threat-detection-overview)\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nReview finding details\n\n1. Open the `Execution: Kubernetes Attack Tool Execution` finding as directed in\n [Reviewing\n findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n Review the details on the **Summary** and **JSON** tabs.\n\n2. On the **Summary** tab, review the information in the following sections:\n\n - **What was detected** , especially the following fields:\n - **Program binary**: the absolute path of the executed binary\n - **Arguments**: the arguments passed during binary execution\n - **Affected resource** , especially the following fields:\n - **Resource full name** : the [full resource name](/apis/design/resource_names) of the affected Cloud Run resource\n3. On the **JSON** tab, note the following fields:\n\n - `resource`:\n - `project_display_name`: the name of the project that contains the affected Cloud Run resource\n - `finding`:\n - `processes`:\n - `binary`:\n - `path`: the full path of the executed binary\n - `args`: the arguments that were provided when the binary was executed\n4. Identify other findings that occurred at a similar time for the affected\n container. Related findings might indicate that this activity was malicious,\n instead of a failure to follow best practices.\n\n5. Review the settings of the affected container.\n\n6. Check the logs for the affected container.\n\nResearch attack and response methods\n\n1. Review MITRE ATT\\&CK framework entry for this finding type: [Obtain Capabilities: Tool](https://attack.mitre.org/techniques/T1588/002/).\n2. To develop a response plan, combine your investigation results with MITRE research.\n\nImplement your response\n\nFor response recommendations, see [Respond to Cloud Run threat\nfindings](/security-command-center/docs/respond-cloud-run-threats).\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
