Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
In diesem Dokument wird ein Typ von Bedrohungsergebnissen in Security Command Center beschrieben. Bedrohungsergebnisse werden von Bedrohungsdetektoren generiert, wenn sie eine potenzielle Bedrohung in Ihren Cloud-Ressourcen erkennen. Eine vollständige Liste der verfügbaren Bedrohungsergebnisse finden Sie im Index der Bedrohungsergebnisse.
Übersicht
Ein Prozess, bei dem die Stream-Weiterleitung an einen Remote-Socket gestartet wurde. Das Erstellen einer mit dem Netzwerk verbundenen Shell kann es einem Angreifer ermöglichen, nach einem begrenzten anfänglichen Kompromiss beliebige Aktionen auszuführen.
Vollständiger Name des Projekts: das betroffene Google Cloud Projekt
Weitere Informationen, insbesondere die folgenden Felder:
VirusTotal-Indikator: Link zur VirusTotal-Analyseseite
Beachten Sie auf dem Tab JSON die folgenden Felder:
resource:
project_display_name: Der Name des Projekts, das das Asset enthält.
sourceProperties:
Reverse_Shell_Stdin_Redirection_Dst_Ip: die Remote-IP-Adresse der Verbindung
Reverse_Shell_Stdin_Redirection_Dst_Port: der Remote-Port
Reverse_Shell_Stdin_Redirection_Src_Ip: die lokale IP-Adresse der Verbindung
Reverse_Shell_Stdin_Redirection_Src_Port: der lokale Port
Container_Image_Uri: der Name des ausgeführten Container-Images.
Suchen Sie nach ähnlichen Ergebnissen, die für den betroffenen Container zu einem ähnlichen Zeitpunkt aufgetreten sind. Solche Ergebnisse können darauf hindeuten, dass diese Aktivität böswillig war und nicht auf einem Verstoß gegen die Best Practices beruht.
Überprüfen Sie die Einstellungen des betroffenen Containers.
Prüfen Sie den SHA-256-Hashwert für die als schädlich gekennzeichnete Binärdatei auf VirusTotal, indem Sie auf den Link in VirusTotal-Indikator klicken. VirusTotal ist ein Alphabet-eigener Dienst, der Kontext zu potenziell schädlichen Dateien, URLs, Domains und IP-Adressen bereitstellt.
Wenn Sie einen Reaktionsplan entwickeln möchten, kombinieren Sie Ihre Untersuchungsergebnisse mit der MITRE-Forschung und der VirusTotal-Analyse.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-05 (UTC)."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nA process started with stream redirection to a remote connected socket. Spawning\na network-connected shell can allow an attacker to perform arbitrary actions\nafter a limited initial compromise.\n\n[Cloud Run Threat Detection](/security-command-center/docs/cloud-run-threat-detection-overview) is the source\nof this finding.\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nReview finding details\n\n1. Open the `Reverse Shell` finding as directed in [Reviewing\n findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n Review the details on the **Summary** and **JSON** tabs.\n\n2. On the **Summary** tab, review the information in the following sections:\n\n - **What was detected** , especially the following fields:\n - **Program binary**: the absolute path of the process started with stream redirection to a remote socket\n - **Arguments**: the arguments provided when the process binary was invoked\n - **Affected resource** , especially the following fields:\n - **Resource full name** : the [full resource name](/apis/design/resource_names) of the affected Cloud Run resource\n - **Project full name**: the affected Google Cloud project\n - **Related links** , especially the following fields:\n - **VirusTotal indicator**: link to the VirusTotal analysis page\n3. On the **JSON** tab, note the following fields:\n\n - `resource`:\n - `project_display_name`: the name of the project that contains the asset.\n - `sourceProperties`:\n - `Reverse_Shell_Stdin_Redirection_Dst_Ip`: the remote IP address of the connection\n - `Reverse_Shell_Stdin_Redirection_Dst_Port`: the remote port\n - `Reverse_Shell_Stdin_Redirection_Src_Ip`: the local IP address of the connection\n - `Reverse_Shell_Stdin_Redirection_Src_Port`: the local port\n - `Container_Image_Uri`: the name of the container image being executed.\n4. Look for related findings that occurred at a similar time for the affected\n container. Such findings might indicate that this activity was malicious,\n instead of a failure to follow best practices.\n\n5. Review the settings of the affected container.\n\n6. Check the logs for the affected container.\n\nResearch attack and response methods\n\n1. Review the MITRE ATT\\&CK framework entries for this finding type: [Command and\n Scripting Interpreter](https://attack.mitre.org/techniques/T1059/) and [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105/).\n2. Check the SHA-256 hash value for the binary flagged as malicious on [VirusTotal](https://www.virustotal.com) by clicking the link in **VirusTotal indicator**. VirusTotal is an Alphabet-owned service that provides context on potentially malicious files, URLs, domains, and IP addresses.\n3. To develop a response plan, combine your investigation results with the MITRE research and VirusTotal analysis.\n\nImplement your response\n\nFor response recommendations, see [Respond to Cloud Run threat\nfindings](/security-command-center/docs/respond-cloud-run-threats).\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
