Eventos de Alarma de Contenedores

Exploits Used

Vulnerability escapes

HSS informa de una alarma si detecta el comportamiento del proceso del contenedor que coincide con el comportamiento de vulnerabilidades conocidas (como Dirty COW, brute-force attack, runC, y shocker).

File escapes

HSS informa de una alarma si detecta que un proceso contenedor accede a un directorio de archivos clave (por ejemplo, /etc/shadow o /etc/crontab). Los directorios que cumplen con las reglas de asignación de directorios de contenedores también pueden activar tales alarmas.

Abnormal System Behavior

High-risk system calls

CGS informa de una alarma si detecta una llamada de alto riesgo, como open_by_handle_at, ptrace, setns o reboot.

Abnormal container processes

• Programa de contenedores maliciosos

  HSS monitorea el comportamiento del proceso del contenedor y las huellas dactilares del archivo de proceso. Informa de una alarma si detecta un proceso cuyas características de comportamiento coinciden con las de un programa malicioso predefinido.

• Procesos anormales

  Si está seguro de que sólo se ejecutan procesos específicos en un contenedor, puede incluir los procesos en la página Policy Groups y asociar la política al contenedor.

  HSS informa de una alarma si detecta que un proceso que no está en la lista blanca se está ejecutando en el contenedor.

Sensitive file access

HSS supervisa los archivos de imagen de contenedor asociados a las directivas de protección de archivos e informa de una alarma si se modifican los archivos.

Abnormal container startups

HSS supervisa los inicios de contenedores e informa de una alarma si detecta que se ha iniciado un contenedor con demasiados permisos. Esta alarma no indica un ataque real. Los ataques que explotan este riesgo activarán otras alarmas de contenedores HSS.

Los elementos de comprobación de contenedores HSS incluyen:

• Inicio de contenedor privilegiado (privileged:true)

  Las alarmas son activadas por los contenedores iniciados con los permisos máximos. Los ajustes que pueden desencadenar tales alarmas incluyen el parámetro –privileged=true en el comando docker run, y privileged: true en el securityContext del contenedor en un pod de Kubernetes.

  Dichas alarmas contienen privileged:true, lo que indica que el contenedor alarmado se inicia en modo privilegiado.

• Demasiadas capacidades de contenedores (capability:[xxx])

  En los sistemas operativos Linux, los permisos del sistema se dividen en grupos antes de asignarlos a los contenedores. Un contenedor solo tiene un número limitado de permisos, y el alcance de impacto de este contenedor es limitado en el caso de un incidente. Sin embargo, los usuarios malintencionados pueden conceder todos los permisos del sistema a un contenedor modificando sus configuraciones de inicio.

  Tales alarmas contienen capabilities:[xxx], lo que indica que el contenedor alarmado se inicia con demasiadas capacidades.

• Seccomp no habilitado (seccomp=unconfined)

  El modo de computación segura (seccomp) es una característica del kernel de Linux. Puede restringir las llamadas al sistema invocadas por procesos para reducir la superficie de ataque del núcleo. Si seccomp=unconfined se configura cuando se inicia un contenedor, las llamadas al sistema no estarán restringidas para el contenedor.

  Tales alarmas contienen seccomp=unconfined, lo que indica que el contenedor alarmado se inicia sin habilitar seccomp.

  NOTA:

  Si seccomp está habilitado, se verificarán los permisos para cada llamada al sistema. Las verificaciones probablemente afectarán a los servicios si las llamadas al sistema son frecuentes. Antes de decidir si desea habilitar seccomp, le aconsejamos que lo pruebe y analice el impacto en sus servicios.

• Escalada de privilegios de contenedor (no-new-privileges:false)

  CGS informa de una alarma si detecta que un proceso intenta escalar permisos ejecutando el comando sudo y utilizando el bit SUID o SGID.

  Si –no-new-privileges=false se especifica cuando se inicia un contenedor, el contenedor puede escalar privilegios.

  Tales alarmas contienen no-new-privileges:false, lo que indica que los privilegios no están restringidos para los contenedores con alarma.

• Asignación de directorios de alto riesgo (mounts:[...])

  For convenience purposes, when a container is started on a server, the directories of the server can be mapped to the container. De esta manera, los servicios en el contenedor pueden leer y escribir recursos directamente en el servidor. Sin embargo, este mapeo conlleva riesgos de seguridad. Si cualquier directorio crítico en el sistema operativo del servidor se asigna al contenedor, las operaciones incorrectas en el contenedor probablemente dañarán el sistema operativo del servidor.

  HSS informa de una alarma si detecta que una ruta crítica del servidor (/boot, /dev, /etc, /sys, /var/run) está montada durante el inicio del contenedor.

  Estas alarmas contienen mounts:[{"source":"xxx","destination":"yyy"...].

  NOTA:

  Las alarmas no se activarán para los archivos a los que los contenedores Docker necesitan acceder con frecuencia, como /etc/hosts y /etc/resolv.conf.