Eskalasi Akses: ClusterRole dengan Kata Kerja Berhak Istimewa

Dokumen ini menjelaskan jenis temuan ancaman di Security Command Center. Temuan ancaman dibuat oleh pendeteksi ancaman saat mendeteksi potensi ancaman di resource cloud Anda. Untuk daftar lengkap temuan ancaman yang tersedia, lihat Indeks temuan ancaman.

Ringkasan

Seseorang membuat objek ClusterRole RBAC yang berisi kata kerja bind, escalate, atau impersonate. Subjek yang terikat ke peran dengan kata kerja ini dapat meniru identitas pengguna lain dengan hak istimewa yang lebih tinggi, terikat ke objek Role atau ClusterRole tambahan yang berisi izin tambahan, atau mengubah izin ClusterRole mereka sendiri. Hal ini dapat menyebabkan subjek tersebut mendapatkan hak istimewa cluster-admin. Untuk mengetahui detail selengkapnya, lihat pesan log untuk pemberitahuan ini.

Cara merespons

Untuk menanggapi temuan ini, lakukan hal berikut:

  1. Tinjau ClusterRole dan ClusterRoleBindings terkait untuk memeriksa apakah subjek benar-benar memerlukan izin ini.
  2. Jika memungkinkan, hindari membuat peran yang melibatkan kata kerja bind, escalate, atau impersonate.
  3. Tentukan apakah ada tanda-tanda lain dari aktivitas berbahaya oleh principal dalam log audit di Cloud Logging.
  4. Saat menetapkan izin dalam peran RBAC, gunakan prinsip hak istimewa terendah dan berikan izin minimum yang diperlukan untuk melakukan tugas. Menggunakan prinsip hak istimewa terendah akan mengurangi potensi eskalasi hak istimewa jika cluster Anda disusupi, dan mengurangi kemungkinan akses yang berlebihan menyebabkan insiden keamanan.

Langkah berikutnya