使用 HostPID 创建的 Kubernetes Pod

使用 HostPID 创建的 Kubernetes Pod编辑

此规则检测尝试创建或修改附加到主机 PID 命名空间的 Pod。HostPID 允许 Pod 访问主机上运行的所有进程，并可能允许攻击者采取恶意行动。当与 ptrace 配合使用时，这可用于在容器外提升权限。当与特权容器配对时，Pod 可以看到主机上的所有进程。攻击者可以进入主机上的 init 系统（PID 1）。然后，他们可以执行 shell 并继续将权限提升到 root。

规则类型：查询

规则索引:

logs-kubernetes.*

严重性：中等

风险评分: 47

运行间隔：5 分钟

搜索索引范围：无（日期数学格式，另见其他回溯时间）

每次执行的最大警报数: 100

参考资料:

标签:

数据源：Kubernetes
战术：执行
战术：权限提升

版本: 203

规则作者:

Elastic

规则许可证：Elastic 许可证 v2

调查指南编辑

设置编辑

要与此规则兼容，需要启用审计日志的 Kubernetes Fleet 集成或类似结构的数据。

规则查询编辑

event.dataset : "kubernetes.audit_logs"
  and kubernetes.audit.annotations.authorization_k8s_io/decision:"allow"
  and kubernetes.audit.objectRef.resource:"pods"
  and kubernetes.audit.verb:("create" or "update" or "patch")
  and kubernetes.audit.requestObject.spec.hostPID:true
  and not kubernetes.audit.requestObject.spec.containers.image: ("docker.elastic.co/beats/elastic-agent:8.4.0")

框架：MITRE ATT&CK^TM

战术
- 名称：权限提升
- ID：TA0004
- 参考 URL：https://attack.mitre.org/tactics/TA0004/
技术
- 名称：逃逸到主机
- ID：T1611
- 参考 URL：https://attack.mitre.org/techniques/T1611/
战术
- 名称：执行
- ID：TA0002
- 参考 URL：https://attack.mitre.org/tactics/TA0002/
技术
- 名称：部署容器
- ID：T1610
- 参考 URL：https://attack.mitre.org/techniques/T1610/

« 使用 HostNetwork 创建的 Kubernetes Pod 使用敏感 hostPath 卷创建的 Kubernetes Pod »