Ejecución: se ha creado un pod de Kubernetes con posibles argumentos de shell inverso

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Alguien ha creado un pod que contiene comandos o argumentos que suelen asociarse a un shell inverso. Los atacantes usan shells inversos para ampliar o mantener su acceso inicial a un clúster y para ejecutar comandos arbitrarios. Para obtener más información, consulta el mensaje de registro de esta alerta.

Cómo responder

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

Para responder a esta observación, sigue estos pasos:

  1. Confirma que el pod tiene un motivo legítimo para especificar estos comandos y argumentos.
  2. Determina si hay otros signos de actividad maliciosa del pod o de la entidad principal en los registros de auditoría de Cloud Logging.
  3. Si la cuenta principal no es una cuenta de servicio (IAM o Kubernetes), póngase en contacto con el propietario de la cuenta para confirmar si el propietario legítimo ha realizado la acción.
  4. Si la cuenta principal es una cuenta de servicio (de gestión de identidades y accesos o de Kubernetes), identifica la legitimidad de lo que ha provocado que la cuenta de servicio realice esta acción.
  5. Si el pod no es legítimo, elimínelo junto con los enlaces RBAC y las cuentas de servicio asociadas que haya usado la carga de trabajo y que hayan permitido su creación.

Siguientes pasos