容器内启动的 SSH 进程
编辑容器内启动的 SSH 进程编辑
此规则检测从容器内执行的 SSH 或 SSHD 进程。这包括客户端 ssh 二进制文件和服务器 ssh 守护进程。应避免在容器内使用 SSH,并在必要时对其进行密切监控。利用有效凭证,攻击者可以通过容器突破横向移动到其他容器或基础主机。他们还可能将有效的 SSH 凭证用作持久性机制。
规则类型: eql
规则索引:
- logs-cloud_defend*
严重性: 高
风险评分: 73
每隔: 5m
从以下时间开始搜索索引: now-6m (日期数学格式,另请参见 其他回溯时间
)
每次执行的最大警报数: 100
参考:
标签:
- 数据源:Elastic Defend for Containers
- 域:容器
- 操作系统:Linux
- 用例:威胁检测
- 策略:横向移动
- 策略:持久性
版本: 2
规则作者:
- Elastic
规则许可: Elastic License v2
规则查询编辑
process where container.id: "*" and event.type== "start" and event.action in ("fork", "exec") and event.action != "end" and process.name: ("sshd", "ssh", "autossh")
框架: MITRE ATT&CKTM
-
策略
- 名称:横向移动
- ID:TA0008
- 参考 URL:https://attack.mitre.org/tactics/TA0008/
-
技术
- 名称:远程服务
- ID:T1021
- 参考 URL:https://attack.mitre.org/techniques/T1021/
-
子技术
- 名称:SSH
- ID:T1021.004
- 参考网址:https://attack.mitre.org/techniques/T1021/004/
-
策略
- 名称:持久性
- ID:TA0003
- 参考网址:https://attack.mitre.org/tactics/TA0003/
-
技术
- 名称:外部远程服务
- ID:T1133
- 参考网址:https://attack.mitre.org/techniques/T1133/