从容器内部启动的 SSH 进程

此规则检测从容器内部执行的 SSH 或 SSHD 进程。这包括客户端 ssh 二进制文件和服务器 ssh 守护进程。应避免在容器内使用 SSH，并在必要时密切监控。攻击者可以使用有效凭据横向移动到其他容器或通过容器突破移动到底层主机。他们还可以使用有效的 SSH 凭据作为持久性机制。

规则类型: eql

规则索引:

严重性: 高

风险评分: 73

每隔: 5 分钟运行

搜索索引自: now-6m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

版本: 2

规则作者:

规则许可证: Elastic License v2

process where container.id: "*" and event.type== "start" and
event.action in ("fork", "exec") and event.action != "end" and
process.name: ("sshd", "ssh", "autossh")