通过修改 release_agent 文件实现潜在的容器逃逸

此规则检测从特权容器内部修改 CGroup 的 release_agent 文件的情况。release_agent 是一个脚本，当该 CGroup 上的任何进程终止时，该脚本会被执行，并从主机调用。具有 SYS_ADMIN 功能的特权容器允许威胁行为者挂载 CGroup 目录并修改 release_agent，这可能被用于进一步的权限提升和容器逃逸到主机。

规则类型: eql

规则索引:

logs-cloud_defend*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引范围: 从 now-6m 开始 (日期数学格式, 另请参阅 额外的回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

数据源: Elastic Defend for Containers
域: 容器
操作系统: Linux
用例: 威胁检测
策略: 权限提升

版本: 1

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

file where event.module == "cloud_defend" and event.action == "open" and
event.type == "change" and file.name : "release_agent"

框架: MITRE ATT&CK^TM

策略
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 逃逸到主机
- ID: T1611
- 参考 URL: https://attack.mitre.org/techniques/T1611/

« 通过修改 notify_on_release 文件实现潜在的容器逃逸通过浏览器调试实现潜在的 Cookie 盗窃 »