New

The executive guide to generative AI

Read more
About usPartnersSupport|Login
« 使用 HostNetwork 创建的 Kubernetes Pod 使用敏感 hostPath 卷创建的 Kubernetes Pod »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和警报 ›预构建规则参考

使用 HostPID 创建的 Kubernetes Pod

编辑

使用 HostPID 创建的 Kubernetes Pod

编辑

此规则检测尝试创建或修改附加到主机 PID 命名空间的 pod 的行为。HostPID 允许 pod 访问主机上运行的所有进程，并可能允许攻击者采取恶意操作。当与 ptrace 配对使用时，可以利用它将权限提升到容器外部。当与特权容器配对使用时，pod 可以看到主机上的所有进程。攻击者可以进入主机上的 init 系统 (PID 1)。从那里，他们可以执行 shell 并继续将权限提升到 root。

规则类型: 查询

规则索引:

  • logs-kubernetes.*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引时间范围: 无 (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 数据源: Kubernetes
  • 策略: 执行
  • 策略: 权限提升

版本: 204

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

设置

编辑

需要启用审计日志的 Kubernetes Fleet 集成或类似结构的数据才能与此规则兼容。

规则查询

编辑
event.dataset : "kubernetes.audit_logs"
  and kubernetes.audit.annotations.authorization_k8s_io/decision:"allow"
  and kubernetes.audit.objectRef.resource:"pods"
  and kubernetes.audit.verb:("create" or "update" or "patch")
  and kubernetes.audit.requestObject.spec.hostPID:true
  and not kubernetes.audit.requestObject.spec.containers.image: ("docker.elastic.co/beats/elastic-agent:8.4.0")

框架: MITRE ATT&CKTM

« 使用 HostNetwork 创建的 Kubernetes Pod 使用敏感 hostPath 卷创建的 Kubernetes Pod »

On this page

Was this helpful?
Feedback