Escalade des droits: accès au cluster GKE accordé aux utilisateurs anonymes

Ce document décrit un type de résultat de menace dans Security Command Center. Les résultats de menace sont générés par les détecteurs de menaces lorsqu'ils détectent une menace potentielle dans vos ressources cloud. Pour obtenir la liste complète des résultats de menace disponibles, consultez l'index des résultats de menace.

Présentation

Une personne a créé une liaison RBAC qui fait référence à l'un des utilisateurs ou groupes suivants :

  • system:anonymous
  • system:authenticated
  • system:unauthenticated

Ces utilisateurs et groupes sont effectivement anonymes et doivent être évités lors de la création de liaisons de rôle ou de liaisons de rôle de cluster à des rôles RBAC. Vérifiez que la liaison est nécessaire. Si l'association n'est pas nécessaire, supprimez-la. Pour en savoir plus, consultez le message du journal concernant ce problème.

Comment répondre

Le plan de réponse suivant peut être adapté à ce résultat, mais peut également avoir une incidence sur les opérations. Évaluez soigneusement les informations que vous collectez dans votre enquête pour déterminer la meilleure façon de solutionner les menaces détectées.

Pour répondre à ce résultat, procédez comme suit :

  1. Examinez les liaisons créées qui ont accordé des autorisations d'accès à l'utilisateur system:anonymous, au groupe system:unauthenticated group ou au groupe system:authenticated.
  2. Déterminez s'il existe d'autres signes d'activité malveillante de la part du compte principal dans les journaux d'audit de Cloud Logging.

S'il y a des signes d'activité malveillante, consultez les conseils sur l'examen et la suppression des liaisons et appliquez-les à celles qui ont autorisé cet accès.

Étapes suivantes