이 문서에서는 Security Command Center의 위협 발견 항목 유형에 대해 설명합니다. 위협 발견 항목은 위협 감지기가 클라우드 리소스에서 잠재적인 위협을 감지할 때 생성됩니다. 사용 가능한 위협 발견 항목의 전체 목록은 위협 발견 항목 색인을 참고하세요.
개요
누군가 호스트 노드의 파일 시스템에서 민감한 경로에 hostPath 볼륨 마운트를 포함하는 워크로드를 만들었습니다. 호스트 파일 시스템의 이러한 경로에 대한 액세스 권한은 노드에서 권한이 있거나 민감한 정보에 액세스하고 컨테이너 이스케이프 처리하는 데 사용될 수 있습니다. 가능하면 클러스터에서 hostPath 볼륨을 허용하지 마세요. 자세한 내용은 이 알림의 로그 메시지를 참조하세요.
대응 방법
다음의 응답 계획이 이 발견 항목에 적합할 수 있지만 작업에도 영향을 줄 수 있습니다.
조사에서 수집한 정보를 신중하게 평가하여 발견 항목을 해결할 최선의 방법을 결정해야 합니다.
이 발견 항목에 대응하려면 다음을 수행하세요.
워크로드를 검토하여 의도한 기능에 이 hostPath 볼륨이 필요한지 확인하세요. 필요하다면 경로가 가능한 한 가장 구체적인 디렉터리로 설정되어 있는지 확인하세요. 예를 들어 / 또는 /etc 대신 /etc/myapp/myfiles를 사용합니다.
Cloud Logging의 감사 로그에서 이 워크로드와 관련된 다른 악의적인 활동 징후가 있는지 확인하세요.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-05(UTC)"],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n| **Preview**\n|\n|\n| This feature is subject to the \"Pre-GA Offerings Terms\" in the General Service Terms section\n| of the [Service Specific Terms](/terms/service-terms#1).\n|\n| Pre-GA features are available \"as is\" and might have limited support.\n|\n| For more information, see the\n| [launch stage descriptions](/products#product-launch-stages).\n\nSomeone created a workload that contains a `hostPath` volume mount to a\nsensitive path on the host node's file system. Access to these paths on the host\nfile system can be used to access privileged or sensitive information on the\nnode and for container escapes. If possible, don't allow any `hostPath` volumes\nin your cluster. For more details, see the log message for this alert.\n\nHow to respond\n\n\nThe following response plan might be appropriate for this finding, but might also impact operations.\nCarefully evaluate the information you gather in your investigation to determine the best way to\nresolve findings.\n\nTo respond to this finding, do the following:\n\n1. Review the workload to determine if this `hostPath` volume is necessary for the intended functionality. If yes, ensure that the path is to the most specific directory possible. For example, `/etc/myapp/myfiles` instead of `/` or `/etc`.\n2. Determine whether there are other signs of malicious activity related to this workload in the audit logs in Cloud Logging.\n\nTo block `hostPath` volume mounts in the cluster, see [guidance for enforcing Pod Security Standards](/kubernetes-engine/docs/how-to/hardening-your-cluster#admission_controllers).\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
