容器内启动的 SSH 进程编辑

此规则检测从容器内执行的 SSH 或 SSHD 进程。这包括客户端 ssh 二进制文件和服务器 ssh 守护进程。应避免在容器内使用 SSH,并在必要时对其进行密切监控。利用有效凭证,攻击者可以通过容器突破横向移动到其他容器或基础主机。他们还可能将有效的 SSH 凭证用作持久性机制。

规则类型: eql

规则索引:

  • logs-cloud_defend*

严重性: 高

风险评分: 73

每隔: 5m

从以下时间开始搜索索引: now-6m (日期数学格式,另请参见 其他回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 数据源:Elastic Defend for Containers
  • 域:容器
  • 操作系统:Linux
  • 用例:威胁检测
  • 策略:横向移动
  • 策略:持久性

版本: 2

规则作者:

  • Elastic

规则许可: Elastic License v2

规则查询编辑

process where container.id: "*" and event.type== "start" and
event.action in ("fork", "exec") and event.action != "end" and
process.name: ("sshd", "ssh", "autossh")

框架: MITRE ATT&CKTM