防御回避: 実行キューの予期しないプロセス

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。利用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

スケジューラの実行キューに予期しないプロセスが存在します。このようなプロセスは実行キューには存在しますが、プロセスタスク リストには存在しません。

顧客への対処方法

この検出結果に対応する手順は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. 検出結果の確認の説明に沿って、検出結果を開きます。検出結果の詳細パネルが開き、[概要] タブが表示されます。

  2. [概要] タブで、次のセクションの情報を確認します。

    • 検出された内容（特に次のフィールド）:

      • カーネル ルートキット名: 検出されたルートキットのファミリーの名前（Diamorphine など）。
      • 予期しないカーネルコード ページ: カーネルコード ページが予期しないカーネルまたはモジュール コード リージョンに存在するかどうか。
      • 予期しないシステムコール ハンドラ: システムコール ハンドラが予期しないカーネルまたはモジュール コード リージョンに存在するかどうか。

    • 影響を受けているリソース（特に次のフィールド）:

      • リソースの完全な名前: 影響を受ける VM インスタンスの完全なリソース名。この VM を含むプロジェクトの ID が含まれます。

  3. この検出結果の完全な JSON を表示するには、検出結果の詳細ビューで [JSON] タブをクリックします。

ステップ 2: ログを確認する

  1. Google Cloud コンソールで、[ログ エクスプローラ] に移動します。

    [ログ エクスプローラ] に移動

  2. Google Cloud コンソールのツールバーで、検出結果の詳細の [概要] タブにある [リソースの完全な名前] 行の VM インスタンスを含むプロジェクトを選択します。

  3. ログで、該当する VM インスタンスの侵入の徴候を確認します。たとえば、不審なアクティビティ、不明なアクティビティ、認証情報の漏洩の徴候を探します。

ステップ 3: 権限と設定を確認する

  1. 検出結果の詳細の [概要] タブの [リソースの完全な名前] フィールドで、リンクをクリックします。
  2. ネットワークやアクセスの設定など、VM インスタンスの詳細を確認します。

ステップ 4: 影響を受けている VM を検査する

カーネルメモリの改ざんの徴候について VM を検査するの手順に沿って行います。

ステップ 5: 攻撃とレスポンスの手法を調査する

  1. MITRE ATT&CK フレームワーク エントリの防御回避を確認します。
  2. 対応計画を策定するには、独自の調査結果と MITRE の調査を組み合わせる必要があります。

ステップ 6: レスポンスを実装する

次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。

  1. VM のオーナーに連絡します。

  2. 必要に応じて、不正使用されたインスタンスを停止し、新しいインスタンスに置き換えます。

  3. フォレンジック分析を行う場合は、仮想マシンと永続ディスクのバックアップを検討してください。詳細については、Compute Engine ドキュメントのデータ保護オプションをご覧ください。

  4. VM インスタンスを削除します。

  5. さらに調査するには、Mandiant などのインシデント対応サービスの利用をご検討ください。

次のステップ