このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。
概要
cron 構成ファイルが変更されました。cron ジョブの変更は、攻撃者がシステムへの永続的なアクセスを確立するために使用する一般的な戦術です。攻撃者は、不正な変更を cron ジョブに適用して、特定のインターバルで悪意のあるコマンドを実行し、システムへのアクセスと制御を維持できます。このような変更は検出されにくく、攻撃者は長期間にわたってステルス アクティビティを実行できる可能性があります。
これはファイル モニタリング検出器であり、 特定の GKE バージョンの要件があります。
この検出機能はデフォルトで無効になっています。有効にする手順については、Container Threat Detection のテストをご覧ください。
この検出結果のソースは Container Threat Detection です。
顧客への対処方法
この検出結果に対応する手順は次のとおりです。
検出結果の詳細を確認する
検出結果の確認の説明に従って、
Execution: Suspicious Cron Modificationの検出結果を開きます。[概要] タブと [JSON] タブで詳細を確認します。このリソースで同様のタイミングで発生した他の検出結果を特定します。関連する検出結果は、このアクティビティがベスト プラクティスに従っていないのではなく、悪意のあるものであることを示している可能性があります。
影響を受けるリソースの設定を確認します。
影響を受けるリソースのログを確認します。
攻撃とレスポンスの手法を調査する
この検出結果に対応する MITRE ATT&CK フレームワーク エントリ（実行）を確認します。
次のステップ
- Security Command Center で脅威の検出結果を操作する方法を学習する。
- 脅威の検出結果のインデックスを参照してください。
- Google Cloud コンソールで検出結果を確認する方法を学習する。
- 脅威の検出結果を生成するサービスについて学習する。