Evasione della difesa: modifica imprevista dei dati di sola lettura del kernel
Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati delle minacce vengono generati dai
rilevatori di minacce quando rilevano
una potenziale minaccia nelle tue risorse cloud. Per un elenco completo dei risultati relativi alle minacce disponibili, consulta l'Indice dei risultati relativi alle minacce.
Panoramica
Sono presenti modifiche impreviste alla memoria dei dati di sola lettura del kernel.
Come rispondere
Per rispondere a questo risultato:
Passaggio 1: esamina i dettagli del risultato
Apri il risultato come indicato in Esamina i risultati.
Il riquadro dei dettagli del risultato si apre nella scheda Riepilogo.
Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni:
Che cosa è stato rilevato, in particolare i seguenti campi:
Nome rootkit kernel: il nome della famiglia del rootkit rilevato, ad esempio Diamorphine.
Pagine di codice del kernel impreviste: indica se le pagine di codice del kernel sono presenti
nelle regioni di codice del kernel o del modulo in cui non sono previste.
Gestore chiamate di sistema impreviste: indica se i gestori chiamate di sistema sono
presenti nelle regioni di codice del kernel o del modulo in cui non sono previsti.
Risorsa interessata, in particolare il seguente campo:
Nome completo della risorsa: il nome completo della risorsa dell'istanza VM interessata, incluso l'ID del progetto che la contiene.
Per visualizzare il JSON completo di questo risultato, fai clic sulla scheda JSON nella visualizzazione dettagliata del risultato.
Nella barra degli strumenti della console Google Cloud , seleziona il progetto che contiene
l'istanza VM, come specificato nella riga Nome completo risorsa della
scheda Riepilogo dei dettagli del problema.
Controlla i log per rilevare segni di intrusione nell'istanza VM interessata. Ad esempio, controlla la presenza di attività sospette o sconosciute e segni di credenziali compromesse.
Passaggio 3: esamina le autorizzazioni e le impostazioni
Nella scheda Riepilogo dei dettagli del risultato, fai clic sul link nel campo Nome completo della risorsa.
Esamina i dettagli dell'istanza VM, incluse le impostazioni di rete e accesso.
Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.
Passaggio 6: implementa la risposta
Il seguente piano di risposta potrebbe essere appropriato per questo risultato, ma potrebbe anche influire sulle operazioni.
Valuta attentamente le informazioni raccolte durante l'indagine per determinare il modo migliore per risolvere i risultati.
Per l'analisi forense, valuta la possibilità di eseguire il backup delle macchine virtuali e
dei dischi permanenti. Per saperne di più, consulta Opzioni di protezione dei dati nella documentazione di Compute Engine.
Elimina l'istanza VM.
Per ulteriori indagini, valuta la possibilità di utilizzare servizi di risposta agli incidenti come
Mandiant.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-09 UTC."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nUnexpected modifications of kernel read-only data memory are present.\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nStep 1: Review finding details\n\n1. Open finding, as directed\n in [Review findings](/security-command-center/docs/how-to-use-vm-threat-detection#findings-vmtd).\n The details panel for the finding opens to the **Summary** tab.\n\n2. On the **Summary** tab, review the information in the following sections:\n\n - **What was detected**, especially the following fields:\n\n - **Kernel rootkit name** : the family name of the rootkit that was detected---for example, `Diamorphine`.\n - **Unexpected kernel code pages**: whether kernel code pages are present in kernel or module code regions where they aren't expected.\n - **Unexpected system call handler**: whether system call handlers are present in kernel or module code regions where they aren't expected.\n - **Affected resource**, especially the following field:\n\n - **Resource full name**: the full resource name of the affected VM instance, including the ID of the project that contains it.\n3. To see the complete JSON for this finding, in the detail view of\n the finding, click the **JSON** tab.\n\nStep 2: Check logs\n\n1. In the Google Cloud console, go to **Logs Explorer**.\n\n [Go to Logs Explorer](https://console.cloud.google.com/logs/query)\n2. On the Google Cloud console toolbar, select the project that contains\n the VM instance, as specified on the **Resource full name** row in\n the **Summary** tab of the finding details.\n\n3. Check the logs for signs of intrusion on the affected VM instance. For\n example, check for suspicious or unknown activities and signs of\n [compromised credentials](/security/compromised-credentials).\n\nStep 3: Review permissions and settings\n\n1. On the **Summary** tab of the finding details, in the **Resource full\n name** field, click the link.\n2. Review the details of the VM instance, including the network and access settings.\n\nStep 4: Inspect the affected VM\n\nFollow the instructions in [Inspect a VM for signs of kernel memory\ntampering](/security-command-center/docs/investigate-vmtd-kernel-tampering-findings).\n\nStep 5: Research attack and response methods\n\n1. Review MITRE ATT\\&CK framework entries for [Defense Evasion](https://attack.mitre.org/tactics/TA0005/).\n2. To develop a response plan, combine your investigation results with MITRE research.\n\nStep 6: Implement your response\n\n\nThe following response plan might be appropriate for this finding, but might also impact operations.\nCarefully evaluate the information you gather in your investigation to determine the best way to\nresolve findings.\n\n1. Contact the owner of the VM.\n\n2. If necessary, [stop the compromised\n instance](/compute/docs/instances/stop-start-instance) and replace it with a\n new instance.\n\n3. For forensic analysis, consider backing up the virtual machines and\n persistent disks. For more information, see [Data protection\n options](/compute/docs/disks/data-protection) in the Compute Engine\n documentation.\n\n4. Delete the VM instance.\n\n5. For further investigation, consider using incident response services like\n [Mandiant](/security/consulting/mandiant-incident-response-services).\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
