탐색: 민감한 Kubernetes 객체 확인 가능

이 문서에서는 Security Command Center의 위협 발견 항목 유형에 대해 설명합니다. 위협 발견 항목은 위협 감지기가 클라우드 리소스에서 잠재적인 위협을 감지할 때 생성됩니다. 사용 가능한 위협 발견 항목의 전체 목록은 위협 발견 항목 색인을 참고하세요.

개요

잠재적인 악의적 행위자가 kubectl auth can-i get 명령어를 사용하여 쿼리할 수 있는 GKE의 민감한 객체를 확인하려고 시도했습니다. 구체적으로 설명하자면, 행위자가 다음 명령어를 실행했습니다.

  • kubectl auth can-i get '*'
  • kubectl auth can-i get secrets
  • kubectl auth can-i get clusterroles/cluster-admin

대응 방법

이 발견 항목에 대응하려면 다음을 수행하세요.

1단계: 발견 항목 세부정보 검토하기

  1. 발견 항목 검토의 지시에 따라 Discovery: Can get sensitive Kubernetes object check 발견 항목을 엽니다.

  2. 발견 항목 세부정보의 요약 탭에서 다음 필드 값을 확인합니다.

    • 감지된 항목에서 다음을 확인합니다.
      • Kubernetes 액세스 검토: SelfSubjectAccessReview k8s 리소스를 기준으로 요청된 액세스 검토 정보입니다.
      • 주 구성원 이메일: 호출을 수행한 계정입니다.
    • 영향을 받는 리소스에서 다음을 확인합니다.
      • 리소스 표시 이름: 작업이 수행된 Kubernetes 클러스터
    • 관련 링크에서 다음을 확인합니다.
      • Cloud Logging URI: Logging 항목의 링크

2단계: 로그 확인하기

  1. 발견 항목 세부정보 패널의 요약 탭에서 Cloud Logging URI 링크를 클릭하여 로그 탐색기를 엽니다.

  2. 로드되는 페이지에서 다음 필터를 사용하여 주 구성원이 수행한 다른 작업을 확인합니다.

    • resource.labels.cluster_name="CLUSTER_NAME"

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"

      다음을 바꿉니다.

    • CLUSTER_NAME: 발견 항목 세부정보의 리소스 표시 이름 필드에서 확인한 값입니다.

    • PRINCIPAL_EMAIL: 발견 항목 세부정보의 주 구성원 이메일 필드에 기록해 둔 값입니다.

3단계: 공격 및 대응 방법 조사하기

  1. 이 발견 항목 유형(탐색)의 MITRE ATT&CK 프레임워크 항목을 검토합니다.
  2. 쿼리된 객체의 민감도를 확인하고 로그에서 주 구성원에 의한 다른 악의적인 활동의 징후가 있는지 확인합니다.

  3. 발견 항목 세부정보의 주 구성원 이메일 행에서 확인한 계정이 서비스 계정이 아니면 계정 소유자에게 연락하여 적합한 소유자가 작업을 수행했는지 여부를 확인합니다.

    주 구성원 이메일이 서비스 계정(IAM 또는 Kubernetes)인 경우 액세스 검토 소스를 확인하여 적법성을 결정합니다.

  4. 대응 계획을 개발하려면 조사 결과를 MITRE 연구와 결합합니다.

다음 단계