予期しない子シェル

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

Cloud Run Threat Detection が、子シェルプロセスを予期せず生成するプロセスを検出しました。このイベントは、攻撃者がシェルのコマンドとスクリプトを不正使用しようとしていることを示す場合があります。

検出サービス

Cloud Run の脅威検出

顧客への対処方法

この検出結果に対応する手順は次のとおりです。

検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、Unexpected Child Shell の検出結果を開きます。[概要] タブと [JSON] タブで詳細を確認します。

  2. [概要] タブで、次のセクションの情報を確認します。

    • 検出された内容（特に次のフィールド）:
      • 親プロセス: 子シェルプロセスが予期せず作成されたプロセス
      • 子プロセス: 子シェルプロセス
      • 引数: 子シェルのプロセス バイナリに渡される引数
      • 環境変数: 子シェルのプロセス バイナリの環境変数
      • コンテナ: コンテナの名前
      • コンテナ URI: コンテナのイメージ URI
    • 影響を受けているリソース（特に次のフィールド）:
      • リソース表示名: 影響を受けるリソースの名前。
      • リソースの完全な名前: 影響を受けた Cloud Run リソースの完全なリソース名
    • 関連リンク（特に次のフィールド）:
      • VirusTotal インジケーター: VirusTotal の分析ページへのリンク

  3. [JSON] タブで、次のフィールドを確認します。

    • processes: 検出結果に関連するすべてのプロセスを含む配列。この配列には、子シェルと親プロセスが含まれます。
    • resource:
      • project_display_name: アセットを含むプロジェクトの名前。

  4. 影響を受けるコンテナで同様のタイミングで発生した関連する検出結果を探します。このような結果は、ベスト プラクティスに従わなかったのではなく、このアクティビティが悪意のあるものであったことを示している可能性があります。

  5. 影響を受けるコンテナの設定を確認します。

  6. 影響を受けるコンテナのログを確認します。

攻撃とレスポンスの手法を調査する

  1. この検出結果タイプに対応する MITRE ATT&CK フレームワーク エントリ（Command and Scripting Interpreter: Unix Shell）を確認します。
  2. [VirusTotal インジケーター] でリンクをクリックして、VirusTotal で悪意があるというフラグが付いているバイナリの SHA-256 ハッシュ値を確認します。VirusTotal は、悪意のある可能性のあるファイル、URL、ドメイン、IP アドレスに関するコンテキストを提供する Alphabet 社のサービスです。
  3. 対応計画を策定するには、独自の調査結果と MITRE の調査、VirusTotal の分析を組み合わせる必要があります。

レスポンスを実装する

レスポンスの推奨事項については、Cloud Run の脅威検出に対応するをご覧ください。

次のステップ