Apropiación de privilegios: creación de enlaces de Kubernetes sensibles
Organízate con las colecciones
Guarda y clasifica el contenido según tus preferencias.
En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.
Información general
Para aumentar los privilegios, un agente potencialmente malicioso ha intentado crear un objeto RoleBinding o ClusterRoleBinding para el rol cluster-admin.
Cómo responder
Para responder a esta observación, sigue estos pasos:
Paso 1: Revisa los detalles de la detección
Abre la Privilege Escalation: Creation of sensitive Kubernetes bindings
detección siguiendo las instrucciones de la sección Revisar las detecciones.
Se abre el panel de detalles del resultado en la pestaña Resumen.
En la pestaña Resumen, consulte la información de las siguientes secciones:
Qué se detectó, especialmente los siguientes campos:
Correo principal: la cuenta que ha hecho la llamada.
Vinculaciones de Kubernetes: la vinculación o el ClusterRoleBinding de Kubernetes sensibles que se han creado.
Recurso afectado, especialmente los siguientes campos:
Nombre visible del recurso: el clúster de Kubernetes en el que se ha producido la acción.
Enlaces relacionados, especialmente los siguientes campos:
URI de Cloud Logging: enlace a las entradas de registro.
Método MITRE ATT&CK: enlace a la documentación de MITRE ATT&CK.
Hallazgos relacionados: enlaces a los hallazgos relacionados.
Paso 2: Consulta los registros
En la pestaña Resumen de los detalles de la detección en la consola de Google Cloud , vaya a Explorador de registros haciendo clic en el enlace del campo URI de Cloud Logging.
Comprueba otras acciones realizadas por la entidad de seguridad mediante los siguientes filtros:
CLUSTER_NAME: el valor que has anotado en el campo Nombre visible de recurso de los detalles de la detección.
PRINCIPAL_EMAIL: el valor que has anotado en el campo Correo principal de los detalles de la detección.
Paso 3: Investiga los métodos de ataque y respuesta
Revisa las entradas del framework ATT&CK de MITRE para este tipo de hallazgo:
Escalada de privilegios.
Confirma la sensibilidad de la vinculación creada y si los roles son necesarios para los sujetos.
En el caso de las vinculaciones, puedes comprobar el asunto e investigar si el asunto necesita el rol al que está vinculado.
Determina si hay otros signos de actividad maliciosa por parte de la entidad principal en los registros.
Si el correo principal no es una cuenta de servicio, ponte en contacto con el propietario de la cuenta para confirmar si el propietario legítimo ha realizado la acción.
Si el correo principal es una cuenta de servicio (IAM o Kubernetes), identifica el origen de la acción para determinar su legitimidad.
Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE.
[[["Es fácil de entender","easyToUnderstand","thumb-up"],["Me ofreció una solución al problema","solvedMyProblem","thumb-up"],["Otro","otherUp","thumb-up"]],[["Es difícil de entender","hardToUnderstand","thumb-down"],["La información o el código de muestra no son correctos","incorrectInformationOrSampleCode","thumb-down"],["Me faltan las muestras o la información que necesito","missingTheInformationSamplesINeed","thumb-down"],["Problema de traducción","translationIssue","thumb-down"],["Otro","otherDown","thumb-down"]],["Última actualización: 2025-09-10 (UTC)."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nTo escalate privilege, a potentially malicious actor attempted to create a new\n`RoleBinding` or `ClusterRoleBinding` object for the [`cluster-admin`](https://kubernetes.io/docs/reference/access-authn-authz/rbac/#user-facing-roles)\nrole.\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nStep 1: Review finding details\n\n1. Open the `Privilege Escalation: Creation of sensitive Kubernetes bindings`\n finding as directed in [Reviewing findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n The details panel for the finding opens to the **Summary** tab.\n\n2. On the **Summary** tab, review the information in the following sections:\n\n - **What was detected** , especially the following fields:\n - **Principal email**: the account that made the call.\n - **Kubernetes bindings** : the sensitive Kubernetes binding or `ClusterRoleBinding` that was created.\n - **Affected resource** , especially the following fields:\n - **Resource display name**: the Kubernetes cluster where the action occurred.\n - **Related links** , especially the following fields:\n - **Cloud Logging URI**: link to Logging entries.\n - **MITRE ATT\\&CK method**: link to the MITRE ATT\\&CK documentation.\n - **Related findings**: links to any related findings.\n\nStep 2: Check logs\n\n1. On the **Summary** tab of the finding details in the Google Cloud console, go to **Logs Explorer** by clicking the link in the **Cloud Logging URI** field.\n2. Check for other actions taken by the principal by using the following\n filters:\n\n - `resource.labels.cluster_name=\"`\u003cvar class=\"edit\" translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e`\"`\n - `protoPayload.authenticationInfo.principalEmail=\"`\u003cvar class=\"edit\" translate=\"no\"\u003ePRINCIPAL_EMAIL\u003c/var\u003e`\"`\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e: the value that you noted in the\n **Resource display name** field in the finding details.\n\n - \u003cvar translate=\"no\"\u003ePRINCIPAL_EMAIL\u003c/var\u003e: the value that you noted in the\n **Principal email** field in the finding details.\n\nStep 3: Research attack and response methods\n\n1. Review MITRE ATT\\&CK framework entries for this finding type: [Privilege Escalation](https://attack.mitre.org/tactics/TA0004/).\n2. Confirm the sensitivity of the binding created and if the roles are necessary for the subjects.\n3. For bindings, you can check the subject and investigate whether the subject needs the role it is binded to.\n4. Determine whether there are other signs of malicious activity by the principal in the logs.\n5. If the [principal email](#privilege_escalation_create_rbac_finding) isn't a\n service account, contact the owner of the account to confirm whether the\n legitimate owner conducted the action.\n\n If the principal email is a service account (IAM or\n Kubernetes), identify the source of the action to determine its\n legitimacy.\n6. To develop a response plan, combine your investigation results with\n MITRE research.\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
