Detecção de Desvio de Contêiner em Tempo de Execução

Visão Geral

O desvio de contêiner ocorre quando contêineres em execução se desviam do estado original de sua imagem por meio de modificações não autorizadas de arquivos, execução inesperada de binários, alterações de configuração ou instalações de pacotes. Como os contêineres devem ser tratados como infraestrutura imutável, qualquer desvio é um indicador potencial de comprometimento. As técnicas de detecção utilizam o modelo DIE (Detectar, Isolar, Evictar) -- uma carga de trabalho imutável não deve mudar durante a execução, portanto, qualquer mudança observada é potencialmente evidência de atividade maliciosa.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de desvio de contêiner em tempo de execução
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Cluster Kubernetes v1.24+ com ferramentas de segurança em tempo de execução
• Falco ou Sysdig para detecção de desvio em tempo de execução
• Registro de imagens de contêiner com manifestos de imagem disponíveis
• Familiaridade com camadas de sistema de arquivos Linux e OverlayFS

Conceitos Principais

Tipos de Desvio de Contêiner

1. Desvio de binário: Execução de binários não presentes na imagem original (malware baixado, ferramentas compiladas)
2. Desvio de arquivo: Criação, modificação ou exclusão de arquivos no sistema de arquivos do contêiner
3. Desvio de configuração: Alterações em variáveis de ambiente, segredos montados ou parâmetros de tempo de execução
4. Desvio de pacote: Instalação de novos pacotes via apt, yum, pip ou npm em tempo de execução
5. Desvio de rede: Novas portas de escuta ou conexões de saída não esperadas para a carga de trabalho

Métodos de Detecção

Comparação Baseada em Imagem: Compare o sistema de arquivos do contêiner em execução com sua imagem de origem para identificar arquivos adicionados, modificados ou removidos.

Monitoramento Comportamental: Use eBPF ou monitoramento em nível de kernel para detectar a execução de processos, acesso a arquivos e atividade de rede que se desviam do comportamento esperado.

Verificação de Digest: Verifique continuamente se os digests das imagens de contêiner em execução correspondem aos manifestos de implantação aprovados.

Implementação com Falco

Detecção de Execução de Novo Binário

- rule: Drift Detected (Container Image Modified Binary)
  desc: Detect execution of a binary not present in the original container image
  condition: >
    spawned_process and
    container and
    not proc.pname in (container_entrypoint) and
    proc.is_exe_upper_layer = true
  output: >
    Drift detected: new binary executed in container
    (user=%user.name command=%proc.cmdline container=%container.name
     image=%container.image.repository:%container.image.tag
     exe_path=%proc.exepath)
  priority: WARNING
  tags: [container, drift]

- rule: Container Shell Spawned
  desc: Detect interactive shell in a container that should be immutable
  condition: >
    spawned_process and
    container and
    proc.name in (bash, sh, dash, zsh, csh, ksh) and
    not proc.pname in (container_entrypoint)
  output: >
    Shell spawned in container (user=%user.name shell=%proc.name
     container=%container.name image=%container.image.repository)
  priority: WARNING
  tags: [container, drift, shell]

Detecção de Uso de Gerenciador de Pacotes

- rule: Package Manager Execution in Container
  desc: Detect use of package managers indicating drift
  condition: >
    spawned_process and
    container and
    proc.name in (apt, apt-get, yum, dnf, apk, pip, pip3, npm, gem, cargo)
  output: >
    Package manager executed in container (user=%user.name
     command=%proc.cmdline container=%container.name
     image=%container.image.repository)
  priority: ERROR
  tags: [container, drift, package-manager]

Detecção de Modificações no Sistema de Arquivos

- rule: Container File System Write
  desc: Detect writes to container upper layer filesystem
  condition: >
    open_write and
    container and
    fd.typechar = 'f' and
    not fd.name startswith /tmp and
    not fd.name startswith /var/log and
    not fd.name startswith /proc
  output: >
    File write in container (user=%user.name file=%fd.name
     container=%container.name)
  priority: NOTICE
  tags: [container, drift, filesystem]

Implementação com Aplicação do Kubernetes

Sistema de Arquivos Raiz Somente Leitura

Evite desvios tornando os sistemas de arquivos dos contêineres imutáveis:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: immutable-app
spec:
  template:
    spec:
      containers:

…