Elevación de privilegios: Creación de vinculaciones de Kubernetes sensibles
Organiza tus páginas con colecciones
Guarda y categoriza el contenido según tus preferencias.
En este documento, se describe un tipo de resultado de amenazas en Security Command Center. Los detectores de amenazas generan resultados de amenazas cuando detectan una amenaza potencial en tus recursos de Cloud. Para obtener una lista completa de los resultados de amenazas disponibles, consulta el Índice de resultados de amenazas.
Descripción general
Para elevar privilegios, un agente potencialmente malicioso intentó crear un objeto RoleBinding o ClusterRoleBinding nuevo para el rol cluster-admin.
Cómo responder
Para responder a este hallazgo, haz lo siguiente:
Paso 1: Revisa los detalles del hallazgo
Abre el hallazgo de Privilege Escalation: Creation of sensitive Kubernetes bindings como se indica en Revisa los hallazgos.
Se abre el panel de detalles para el hallazgo en la pestaña Resumen.
En la pestaña Resumen, revisa la información de las siguientes secciones:
Qué se detectó, especialmente los siguientes campos:
Correo electrónico principal: Es la cuenta que realizó la llamada.
Vinculaciones de Kubernetes: Es la vinculación sensible de Kubernetes o ClusterRoleBinding que se creó.
Recurso afectado, en especial los siguientes campos:
Nombre visible del recurso: Es el clúster de Kubernetes en el que se produjo la acción.
Vínculos relacionados, en especial los siguientes campos:
URI de Cloud Logging: Es el vínculo a las entradas de Logging.
Método MITRE ATT&CK: Vínculo a la documentación de MITRE ATT&CK.
Resultados relacionados: Vínculos a los resultados relacionados
Paso 2: Comprueba los registros
En la pestaña Resumen de los detalles del hallazgo en la consola de Google Cloud , haz clic en el vínculo del campo URI de Cloud Logging para ir al Explorador de registros.
Verifica otras acciones que realizó el principal con los siguientes filtros:
CLUSTER_NAME: Es el valor que anotaste en el campo Nombre visible del recurso en los detalles del hallazgo.
PRINCIPAL_EMAIL: El valor que anotaste en el campo Correo electrónico del principal en los detalles del hallazgo.
Paso 3: Investiga los métodos de ataque y respuesta
Revisa las entradas del framework de MITRE ATT&CK para este tipo de resultado: Elevación de privilegios.
Confirma la sensibilidad de la vinculación creada y si los roles son necesarios para los sujetos.
En las vinculaciones, puedes comprobar el sujeto y determinar si necesita el rol al que está vinculado.
Determina si hay otros indicios de actividad maliciosa por parte de la principal en los registros.
Si el correo electrónico principal no es una cuenta de servicio, comunícate con el propietario de la cuenta para confirmar si el propietario legítimo realizó la acción.
Si el correo electrónico principal es una cuenta de servicio (IAM o Kubernetes), identifica el origen de la acción para determinar su legitimidad.
Para desarrollar un plan de respuesta, combina los resultados de la investigación con la investigación del MITRE.
[[["Fácil de comprender","easyToUnderstand","thumb-up"],["Resolvió mi problema","solvedMyProblem","thumb-up"],["Otro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Información o código de muestra incorrectos","incorrectInformationOrSampleCode","thumb-down"],["Faltan la información o los ejemplos que necesito","missingTheInformationSamplesINeed","thumb-down"],["Problema de traducción","translationIssue","thumb-down"],["Otro","otherDown","thumb-down"]],["Última actualización: 2025-09-05 (UTC)"],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nTo escalate privilege, a potentially malicious actor attempted to create a new\n`RoleBinding` or `ClusterRoleBinding` object for the [`cluster-admin`](https://kubernetes.io/docs/reference/access-authn-authz/rbac/#user-facing-roles)\nrole.\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nStep 1: Review finding details\n\n1. Open the `Privilege Escalation: Creation of sensitive Kubernetes bindings`\n finding as directed in [Reviewing findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n The details panel for the finding opens to the **Summary** tab.\n\n2. On the **Summary** tab, review the information in the following sections:\n\n - **What was detected** , especially the following fields:\n - **Principal email**: the account that made the call.\n - **Kubernetes bindings** : the sensitive Kubernetes binding or `ClusterRoleBinding` that was created.\n - **Affected resource** , especially the following fields:\n - **Resource display name**: the Kubernetes cluster where the action occurred.\n - **Related links** , especially the following fields:\n - **Cloud Logging URI**: link to Logging entries.\n - **MITRE ATT\\&CK method**: link to the MITRE ATT\\&CK documentation.\n - **Related findings**: links to any related findings.\n\nStep 2: Check logs\n\n1. On the **Summary** tab of the finding details in the Google Cloud console, go to **Logs Explorer** by clicking the link in the **Cloud Logging URI** field.\n2. Check for other actions taken by the principal by using the following\n filters:\n\n - `resource.labels.cluster_name=\"`\u003cvar class=\"edit\" translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e`\"`\n - `protoPayload.authenticationInfo.principalEmail=\"`\u003cvar class=\"edit\" translate=\"no\"\u003ePRINCIPAL_EMAIL\u003c/var\u003e`\"`\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e: the value that you noted in the\n **Resource display name** field in the finding details.\n\n - \u003cvar translate=\"no\"\u003ePRINCIPAL_EMAIL\u003c/var\u003e: the value that you noted in the\n **Principal email** field in the finding details.\n\nStep 3: Research attack and response methods\n\n1. Review MITRE ATT\\&CK framework entries for this finding type: [Privilege Escalation](https://attack.mitre.org/tactics/TA0004/).\n2. Confirm the sensitivity of the binding created and if the roles are necessary for the subjects.\n3. For bindings, you can check the subject and investigate whether the subject needs the role it is binded to.\n4. Determine whether there are other signs of malicious activity by the principal in the logs.\n5. If the [principal email](#privilege_escalation_create_rbac_finding) isn't a\n service account, contact the owner of the account to confirm whether the\n legitimate owner conducted the action.\n\n If the principal email is a service account (IAM or\n Kubernetes), identify the source of the action to determine its\n legitimacy.\n6. To develop a response plan, combine your investigation results with\n MITRE research.\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
