権限昇格: Kubernetes RBAC 機密オブジェクトの変更

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。利用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

権限の昇格を目的として、悪意を持っている可能性のある行為者が PUT または PATCH のリクエストを使用して、機密性の高い cluster-admin ロールの ClusterRole、RoleBinding、または ClusterRoleBinding ロールベース アクセス制御（RBAC）オブジェクトを変更しようとしました。

顧客への対処方法

この検出結果に対応する手順は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、Privilege Escalation: Changes to sensitive Kubernetes RBAC objects の検出結果を開きます。検出結果の詳細パネルが開き、[概要] タブが表示されます。

  2. [概要] タブで、次のセクションの情報を確認します。

    • 検出された内容（特に次のフィールド）:
      • プリンシパルのメール: 連絡をしたアカウント。
      • メソッド名: 呼び出されたメソッド。
      • Kubernetes バインディング: 変更された機密性の高い Kubernetes のバインディングまたは ClusterRoleBinding。
    • 影響を受けているリソース（特に次のフィールド）:
      • リソースの表示名: アクションが発生した Kubernetes クラスタ。
    • 関連リンク（特に次のフィールド）:
      • Cloud Logging URI: Logging エントリへのリンク。
      • MITRE ATT&CK 方式: MITRE ATT&CK ドキュメントへのリンク。
      • 関連する検出結果: 関連する検出結果へのリンク。

  3. [検出された内容] セクションで、[Kubernetes バインディング] 行のバインディングの名前をクリックします。バインディングの詳細が表示されます。

  4. 表示されたバインディングで、バインディングの詳細をメモします。

ステップ 2: ログを確認する

  1. Google Cloud コンソールの検出結果の詳細の [概要] タブで、[Cloud Logging URI] フィールドにあるリンクをクリックしてログ エクスプローラに移動します。

  2. [メソッド名] の値が PATCH メソッドの場合、リクエストの本文で変更されたプロパティを確認します。

    update（PUT）呼び出しでは、オブジェクト全体がリクエストで送信されるため、変更はそれほど明確ではありません。

  3. 次のフィルタを使用して、プリンシパルが行ったその他のアクションを確認します。

    • resource.labels.cluster_name="CLUSTER_NAME"

    • protoPayload.authenticationInfo.principalEmail="PRINCIPAL_EMAIL"

      次のように置き換えます。

    • CLUSTER_NAME: 検出結果の詳細の [リソース表示名] フィールドからメモした値。

    • PRINCIPAL_EMAIL: 検出結果の詳細の [プリンシパル メール] フィールドからメモした値。

ステップ 3: 攻撃とレスポンスの手法を調査する

  1. この検出結果タイプに対応する MITRE ATT&CK フレームワーク エントリ（権限昇格）を確認します。
  2. オブジェクトの機密性を確認し、変更が正当なものであるかどうかを確認します。
  3. バインディングについては、サブジェクトをチェックして、サブジェクトがバインドされているロールが必要かどうかを判断できます。
  4. ログを参照して、プリンシパルによる悪意のあるアクティビティを示す徴候がほかにあるかどうかを確認します。

  5. プリンシパルのメールがサービス アカウントでない場合は、そのアカウントのオーナーに、正当なオーナーによる操作かどうかを確認してください。

    プリンシパル メールがサービス アカウント（IAM または Kubernetes）である場合は、変更のソースを特定して、正当性を判断します。

  6. 対応計画を策定するには、独自の調査結果と MITRE の調査を組み合わせる必要があります。

次のステップ