Agent Platform Threat Detection 簡介

系統偵測到執行隱寫術工具的程式，這可能表示有人試圖隱藏通訊內容或資料傳輸。

攻擊者可能會利用隱寫術，在看似良性的數位檔案中嵌入惡意指令與控制 (C2) 指令或外洩資料，以規避標準安全監控和偵測。找出這類工具的使用情形，對於揭露隱藏的惡意活動至關重要。

執行指令，在容器環境中搜尋私密金鑰、密碼或其他機密憑證。 Google Cloud

攻擊者可利用竊取的 Google Cloud 憑證，未經授權存取目標 Google Cloud 環境中的機密資料或資源。

系統已執行指令，搜尋 GPG 安全金鑰。

攻擊者可能會使用竊取的 GPG 安全金鑰，未經授權存取加密通訊內容或檔案。

系統執行指令，在容器環境中搜尋私密金鑰、密碼或其他機密憑證，這表示可能有人試圖收集驗證資料。

攻擊者通常會搜尋憑證檔案，以未經授權的方式存取系統、提升權限，或在環境中橫向移動。偵測這類活動對於防範安全性漏洞至關重要。

執行的程序含有 ELF (可執行檔和可連結格式) 檔案的引數。

偵測到編碼的 ELF 檔案執行作業，表示攻擊者可能正在嘗試編碼二進位資料，以便傳輸至僅限 ASCII 的指令列。攻擊者可利用這項技術規避偵測，並執行 ELF 檔案中嵌入的惡意程式碼。

執行的程序包含以 Base64 編碼的 Python 指令碼引數。

如果系統偵測到編碼的 Python 指令碼執行作業，表示攻擊者正嘗試編碼二進位資料，以便傳輸至僅限 ASCII 的指令列。攻擊者可利用這項技術規避偵測，並執行 Python 指令碼中嵌入的惡意程式碼。

執行的程序包含以 Base64 編碼的殼層指令碼引數。

如果系統偵測到編碼的 Shell 指令碼執行作業，表示攻擊者正嘗試編碼二進位資料，以便傳輸至僅限 ASCII 的指令列。攻擊者可利用這項技術規避偵測，並執行內嵌在 Shell 指令碼中的惡意程式碼。

系統已啟動程序，在容器環境中啟動程式碼編譯器工具，這表示可能有人嘗試在隔離環境中建構或修改可執行程式碼。

攻擊者可能會在容器中使用程式碼編譯器開發惡意酬載、將程式碼注入現有二進位檔，或建立工具來規避安全控管機制，同時在較少受到審查的環境中運作，以規避主機系統的偵測。

某個程序執行了威脅情報判斷為惡意的二進位檔。這個二進位檔不屬於原始代理程式工作負載。

這項事件強烈指出攻擊者已掌控工作負載，並正在執行惡意軟體。

程序載入的程式庫經威脅情報判斷為惡意。這個程式庫不屬於原始代理程式工作負載。

這項事件表示攻擊者可能已掌控工作負載，並正在執行惡意軟體。

某個程序執行了威脅情報判斷為惡意的二進位檔。這個二進位檔是原始代理程式工作負載的一部分。

這項事件可能表示攻擊者正在部署惡意工作負載。舉例來說，攻擊者可能已掌控合法的建構管道，並將惡意二進位檔注入代理工作負載。

容器內執行的程序嘗試使用已知的攻擊技術或二進位檔，繞過容器隔離機制，而威脅情資將這些技術或二進位檔視為潛在威脅。如果攻擊者成功逃脫，就能存取主機系統，並可能入侵整個環境。

這項動作表示攻擊者正在利用安全漏洞，未經授權存取主機系統或更廣泛的基礎架構。

使用記憶體內檔案描述元執行程序。

如果從記憶體內檔案啟動程序，可能表示攻擊者正嘗試規避其他偵測方法，以執行惡意程式碼。

某個程序執行了 Kubernetes 專用的攻擊工具，威脅情資將其識別為潛在威脅。

這項動作表示攻擊者已取得叢集存取權，並利用這項工具來攻擊 Kubernetes 特有的安全漏洞或設定。

某個程序執行了本機偵查工具，但這通常不是代理工作負載的一部分。威脅情報會將這些工具視為潛在威脅。

這項事件表示攻擊者正嘗試收集內部系統資訊，例如繪製基礎架構地圖、找出安全漏洞，或收集系統設定的資料。

機器學習模型判斷執行的 Python 程式碼含有惡意內容。攻擊者可以使用 Python 將工具或檔案下載到遭入侵的環境，並在不使用二進位檔的情況下執行指令。

偵測器會使用自然語言處理 (NLP) 技術分析 Python 程式碼的內容。由於這種方法並非以簽章為依據，因此偵測器可以識別已知和新型的惡意 Python 程式碼。

某個程序執行了威脅情報判斷為惡意的二進位檔。這個二進位檔是原始代理工作負載的一部分，但在執行階段經過修改。

這個事件表示攻擊者可能已控制工作負載，並正在執行惡意軟體。

程序載入的程式庫經威脅情報判斷為惡意。這個程式庫是原始代理工作負載的一部分，但在執行階段經過修改。

這項事件表示攻擊者已掌控工作負載，並正在執行惡意軟體。

機器學習模型將執行的 Bash 程式碼識別為惡意程式碼。 攻擊者可以使用 Bash 將工具或檔案下載到遭入侵的環境，並執行指令，無須使用二進位檔。

偵測器會使用 NLP 分析 Bash 程式碼的內容。由於這種方法並非以簽章為基礎，因此偵測器可以識別已知和新型的惡意 Bash 程式碼。

Agent Platform Threat Detection 在執行中程序的引數清單中發現惡意網址。

偵測器會將這些網址與 Google 安全瀏覽服務維護的不安全網頁資源清單進行比較。如果認為 Google 誤將網址歸類為詐騙網站或惡意軟體，請前往「 回報錯誤資料」頁面回報問題。

程序已啟動，並將串流重新導向至遠端連線的通訊端。偵測器會尋找繫結至遠端通訊端的 stdin。

反向殼層可讓攻擊者從遭入侵的工作負載與攻擊者控制的機器通訊。攻擊者隨後就能指揮及控制工作負載，例如將其納入殭屍網路。

通常不會叫用殼層的程序意外產生殼層程序。

偵測器會監控程序執行作業，並在已知父項程序意外產生殼層時產生發現項目。

Netcat 是多用途的網路公用程式，在容器環境中執行，可能表示有人嘗試建立未經授權的遠端存取權或竊取資料。

在容器化環境中使用 Netcat，可能表示攻擊者試圖建立反向殼層、啟用橫向移動或執行任意指令，這可能會損害系統完整性。

這項規則會偵測執行常見殼層程式的 foomatic-rip 程序，這可能表示攻擊者已利用 CVE-2024-47177。foomatic-rip 是 OpenPrinting CUPS 的一部分，這項開放原始碼列印服務是許多 Linux 發行版本的一部分。大多數容器映像檔都已停用或移除這項列印服務。如果發生這種情況，請評估是否為預期行為，或立即停用服務。

系統偵測到某個程序透過網路通訊端連線產生常見的 UNIX 指令，這表示有人可能試圖建立未經授權的遠端指令執行功能。

攻擊者經常利用模仿反向 Shell 的技術，取得遭入侵系統的互動式控制權，以便遠端執行任意指令，並規避防火牆限制等標準網路安全措施。偵測到透過通訊端執行的指令，是惡意遠端存取的強烈指標。

程式執行時使用的 HTTP Proxy 環境變數遭到禁止。這可能表示有人試圖規避安全控管措施、基於惡意目的重新導向流量，或透過未經授權的管道竊取資料。

攻擊者可能會設定遭禁止的 HTTP Proxy，藉此攔截私密資訊、透過惡意伺服器傳送流量，或建立隱蔽的通訊管道。偵測使用這些環境變數執行的程式，對維護網路安全及防止資料外洩至關重要。

socat 指令已用於建立反向殼層。

這項規則會偵測執行 socat 的動作，藉由重新導向 stdin、stdout 和 stderr 檔案描述元，建立反向殼層。這是攻擊者常用的手法，可藉此遠端存取遭入侵的系統。

OpenSSL 已執行，可載入自訂共用物件。

攻擊者可能會載入自訂程式庫，並取代 OpenSSL 使用的現有程式庫，藉此執行惡意程式碼。在正式環境中很少使用，應立即調查。

系統在容器中偵測到遠端檔案複製工具的執行作業，這表示可能發生資料外洩、橫向移動或部署惡意酬載的情況。

攻擊者通常會使用這些工具將機密資料移出容器、在網路中橫向移動以入侵其他系統，或導入惡意軟體以進行其他惡意活動。偵測遠端檔案複製工具的使用情況，對於防止資料外洩、未經授權存取，以及容器和主機系統進一步遭到入侵至關重要。

執行指令時使用的引數可能具有破壞性，例如嘗試刪除重要系統檔案或修改密碼相關設定。

攻擊者可能會發出惡意指令列，導致系統不穩定、刪除重要檔案以防止復原，或操控使用者憑證來取得未經授權的存取權。偵測這些特定指令模式是防止系統受到重大影響的關鍵。

系統偵測到某個程序正在執行大量資料刪除作業，這可能表示有人試圖清除證據、中斷服務，或在容器環境中執行資料清除攻擊。

攻擊者可能會移除大量資料來掩蓋行蹤、破壞作業，或準備部署勒索軟體。偵測這類活動有助於在重要資料遺失前，找出潛在威脅。

系統偵測到某個程序透過 Stratum 通訊協定進行通訊，而這類通訊協定通常用於加密貨幣挖礦軟體。這項活動表示容器環境中可能存在未經授權的挖礦作業。

攻擊者經常部署加密貨幣挖礦程式，利用系統資源牟利，導致效能降低、作業成本增加，並可能造成安全風險。偵測這類活動有助於減少資源濫用和未經授權存取行為。

已使用嘗試提升權限的引數執行「sudo」。

這項偵測功能會針對嘗試利用 CVE-2019-14287 的行為發出通知，因為這項漏洞允許濫用 sudo 指令來提權。sudo 1.8.28 之前的版本存在安全漏洞，非超級使用者可藉此取得超級使用者權限。

非根使用者已執行 pkexec，且環境變數嘗試提升權限。

這項規則會偵測到有人嘗試利用 Polkit pkexec 中的權限提升漏洞 (CVE-2021-4034)。非根層級使用者可透過執行特製程式碼，利用這個缺陷在遭入侵的系統上取得根層級權限。

非根層級使用者已執行 sudo 或 sudoedit，但引數模式嘗試提升權限。

偵測嘗試利用安全漏洞的行為，該漏洞會影響 sudo 1.9.5p2 和更早版本。以不具備權限的使用者身分，使用特定引數 (包括以單一反斜線字元結尾的引數) 執行 sudo 或 sudoedit 時，可能會將使用者權限提升為 Root 使用者權限。