Élévation des privilèges : création de liaisons Kubernetes sensibles
Restez organisé à l'aide des collections
Enregistrez et classez les contenus selon vos préférences.
Ce document décrit un type de résultat de menace dans Security Command Center. Les résultats de menace sont générés par les détecteurs de menaces lorsqu'ils détectent une menace potentielle dans vos ressources cloud. Pour obtenir la liste complète des résultats de menace disponibles, consultez l'index des résultats de menace.
Présentation
Pour élever un privilège, un individu potentiellement malveillant a tenté de créer un objet RoleBinding ou ClusterRoleBinding pour le rôle cluster-admin.
Comment répondre
Pour répondre à ce résultat, procédez comme suit :
Étape 1 : Examiner les détails du résultat
Ouvrez le résultat Privilege Escalation: Creation of sensitive Kubernetes bindings comme indiqué dans la section Examiner les résultats.
Le panneau d'informations sur le résultat s'ouvre sur l'onglet Résumé.
Dans l'onglet Récapitulatif, examinez les informations des sections suivantes :
Ce qui a été détecté, en particulier les champs suivants :
Adresse e-mail principale : compte à l'origine de l'appel.
Liaisons Kubernetes : liaison Kubernetes sensible ou ClusterRoleBinding qui a été créée.
Ressource concernée, en particulier les champs suivants :
Nom à afficher de la ressource : cluster Kubernetes dans lequel l'action s'est produite.
Liens associés, en particulier les champs suivants :
URI Cloud Logging : lien vers les entrées de journalisation.
Méthode MITRE ATT&CK : lien vers la documentation MITRE ATT&CK.
Résultats associés : liens vers les résultats associés.
Étape 2 : Vérifier les journaux
Dans l'onglet Résumé des détails du résultat dans la console Google Cloud , accédez à l'explorateur de journaux en cliquant sur le lien dans le champ URI Cloud Logging.
Recherchez d'autres actions effectuées par le principal à l'aide des filtres suivants :
CLUSTER_NAME : valeur que vous avez notée dans le champ Nom à afficher de la ressource des détails du résultat.
PRINCIPAL_EMAIL : valeur que vous avez notée dans le champ Adresse e-mail du compte principal des détails du problème.
Étape 3 : Rechercher des méthodes d'attaque et de réponse
Examinez les entrées du framework MITRE ATT&CK pour ce type de résultat : Élévation des privilèges.
Vérifiez le degré de sensibilité de la liaison créée et si les rôles sont nécessaires pour les sujets.
Pour les liaisons, vous pouvez vérifier le sujet et déterminer s'il a besoin du rôle auquel il est lié.
Déterminez s'il existe d'autres signes d'activité malveillante de la part du compte principal dans les journaux.
Si l'adresse e-mail du compte principal n'est pas un compte de service, contactez le propriétaire du compte pour confirmer que ce propriétaire légitime est bien à l'origine de l'action.
Si l'adresse e-mail du compte principal est un compte de service (IAM ou Kubernetes), identifiez la source de l'action pour déterminer sa légitimité.
Pour élaborer un plan d'intervention, combinez vos résultats d'enquête avec les recherches MITRE.
Sauf indication contraire, le contenu de cette page est régi par une licence Creative Commons Attribution 4.0, et les échantillons de code sont régis par une licence Apache 2.0. Pour en savoir plus, consultez les Règles du site Google Developers. Java est une marque déposée d'Oracle et/ou de ses sociétés affiliées.
Dernière mise à jour le 2025/09/05 (UTC).
[[["Facile à comprendre","easyToUnderstand","thumb-up"],["J'ai pu résoudre mon problème","solvedMyProblem","thumb-up"],["Autre","otherUp","thumb-up"]],[["Difficile à comprendre","hardToUnderstand","thumb-down"],["Informations ou exemple de code incorrects","incorrectInformationOrSampleCode","thumb-down"],["Il n'y a pas l'information/les exemples dont j'ai besoin","missingTheInformationSamplesINeed","thumb-down"],["Problème de traduction","translationIssue","thumb-down"],["Autre","otherDown","thumb-down"]],["Dernière mise à jour le 2025/09/05 (UTC)."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nTo escalate privilege, a potentially malicious actor attempted to create a new\n`RoleBinding` or `ClusterRoleBinding` object for the [`cluster-admin`](https://kubernetes.io/docs/reference/access-authn-authz/rbac/#user-facing-roles)\nrole.\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nStep 1: Review finding details\n\n1. Open the `Privilege Escalation: Creation of sensitive Kubernetes bindings`\n finding as directed in [Reviewing findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n The details panel for the finding opens to the **Summary** tab.\n\n2. On the **Summary** tab, review the information in the following sections:\n\n - **What was detected** , especially the following fields:\n - **Principal email**: the account that made the call.\n - **Kubernetes bindings** : the sensitive Kubernetes binding or `ClusterRoleBinding` that was created.\n - **Affected resource** , especially the following fields:\n - **Resource display name**: the Kubernetes cluster where the action occurred.\n - **Related links** , especially the following fields:\n - **Cloud Logging URI**: link to Logging entries.\n - **MITRE ATT\\&CK method**: link to the MITRE ATT\\&CK documentation.\n - **Related findings**: links to any related findings.\n\nStep 2: Check logs\n\n1. On the **Summary** tab of the finding details in the Google Cloud console, go to **Logs Explorer** by clicking the link in the **Cloud Logging URI** field.\n2. Check for other actions taken by the principal by using the following\n filters:\n\n - `resource.labels.cluster_name=\"`\u003cvar class=\"edit\" translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e`\"`\n - `protoPayload.authenticationInfo.principalEmail=\"`\u003cvar class=\"edit\" translate=\"no\"\u003ePRINCIPAL_EMAIL\u003c/var\u003e`\"`\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e: the value that you noted in the\n **Resource display name** field in the finding details.\n\n - \u003cvar translate=\"no\"\u003ePRINCIPAL_EMAIL\u003c/var\u003e: the value that you noted in the\n **Principal email** field in the finding details.\n\nStep 3: Research attack and response methods\n\n1. Review MITRE ATT\\&CK framework entries for this finding type: [Privilege Escalation](https://attack.mitre.org/tactics/TA0004/).\n2. Confirm the sensitivity of the binding created and if the roles are necessary for the subjects.\n3. For bindings, you can check the subject and investigate whether the subject needs the role it is binded to.\n4. Determine whether there are other signs of malicious activity by the principal in the logs.\n5. If the [principal email](#privilege_escalation_create_rbac_finding) isn't a\n service account, contact the owner of the account to confirm whether the\n legitimate owner conducted the action.\n\n If the principal email is a service account (IAM or\n Kubernetes), identify the source of the action to determine its\n legitimacy.\n6. To develop a response plan, combine your investigation results with\n MITRE research.\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
