Dieses Dokument enthält informelle Anleitungen dazu, wie Sie auf verdächtige Aktivitäten in Ihren Cloud Run-Ressourcen reagieren können. Die empfohlenen Schritte sind möglicherweise nicht für alle Ergebnisse geeignet und können sich auf Ihre Abläufe auswirken. Bevor Sie Maßnahmen ergreifen, sollten Sie die Ergebnisse untersuchen, die erhobenen Informationen bewerten und entscheiden, wie Sie reagieren möchten.
Hinweis
- Ergebnis überprüfen Notieren Sie sich den betroffenen Container und die erkannten Binärdateien, Prozesse oder Bibliotheken.
- Wenn Sie mehr über das Ergebnis erfahren möchten, das Sie untersuchen, sehen Sie im Index der Bedrohungsergebnisse nach.
Allgemeine Empfehlungen
- Wenden Sie sich an den Inhaber der betroffenen Ressource.
- Rufen Sie die Logs für den potenziell kompromittierten Cloud Run-Dienst, -Job oder -Worker-Pool auf.
- Sammeln und sichern Sie für die forensische Analyse die Logs der betroffenen Cloud Run-Ressource.
- Für weitere Untersuchungen sollten Sie Incident Response-Dienste wie Mandiant in Betracht ziehen.
Löschen Sie gegebenenfalls eine der folgenden betroffenen Cloud Run-Ressourcen:
- Löschen Sie den betroffenen Dienst.
- Führen Sie ein Rollback zu einer vorherigen Dienstversion durch oder stellen Sie eine neue, sicherere Version bereit und löschen Sie dann die betroffene Version.
- Löschen Sie den betroffenen Job.
- Löschen Sie den betroffenen Worker-Pool.
- Rollback zu einer vorherigen Worker-Pool-Version durchführen oder eine neue, sicherere Version bereitstellen und dann die betroffene Version löschen.
Schädliches Script oder Python-Code wurde ausgeführt
Wenn das Script oder der Python-Code beabsichtigte Änderungen am Container vorgenommen hat, stellen Sie eine Überarbeitung für den Dienst bereit, die alle beabsichtigten Änderungen enthält. Verlassen Sie sich nicht auf ein Skript, um nach der Bereitstellung des Containers Änderungen vorzunehmen.
Nächste Schritte
- Informationen zum Arbeiten mit Bedrohungsergebnissen in Security Command Center
- Weitere Informationen finden Sie im Index der Bedrohungsergebnisse.
- Informationen zum Überprüfen von Ergebnissen über die Google Cloud Console
- Dienste, die Bedrohungsergebnisse generieren