Detecção de Tentativas de Fuga de Container

Visão Geral

Fuga de container é uma técnica de ataque crítica onde um adversário rompe o isolamento do container para acessar o sistema host ou outros containers. A detecção envolve o monitoramento de indicadores de fuga como manipulação de namespaces, abuso de capacidades, exploits de kernel, caminhos sensíveis montados e padrões anômalos de syscalls usando ferramentas de segurança de runtime como Falco, Sysdig e regras customizadas de seccomp/audit.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de tentativas de fuga de container
• Ao construir regras de detecção ou consultas de threat hunting para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Host Linux com kernel 5.10+ (suporte a eBPF)
• Falco 0.37+ instalado (módulo de kernel ou probe eBPF)
• Docker Engine ou containerd runtime
• auditd configurado
• Acesso root para carregar módulos eBPF/kernel

Conceitos Principais

Vetores Comuns de Fuga de Container

Camadas de Detecção

1. Monitoramento de Syscall - eBPF/módulo de kernel captura syscalls em tempo real
2. Integridade de Arquivos - Detecta modificação de caminhos que habilitam fuga
3. Monitoramento de Processos - Rastreia criação de processos, mudanças de namespace
4. Monitoramento de Rede - Detecta conexões de container para host
5. Log de Auditoria - auditd do Linux para operações de capacidade e montagem

Fluxo de Trabalho

Passo 1: Implantar Falco para Detecção em Runtime

# falco-values.yaml for Helm deployment
falco:
  driver:
    kind: ebpf   # or modern_ebpf for kernel 5.8+
  rules_files:
    - /etc/falco/falco_rules.yaml
    - /etc/falco/falco_rules.local.yaml
    - /etc/falco/rules.d
  json_output: true
  json_include_output_property: true
  http_output:
    enabled: true
    url: "http://falcosidekick:2801"
  grpc:
    enabled: true
  priority: warning

# Install Falco via Helm
helm repo add falcosecurity https://falcosecurity.github.io/charts
helm install falco falcosecurity/falco \
  --namespace falco-system --create-namespace \
  -f falco-values.yaml

Passo 2: Regras Customizadas do Falco para Detecção de Fuga

# /etc/falco/rules.d/container_escape.yaml

# Detecta fuga de container via modo privilegiado
- rule: Fuga de Container via Modo Privilegiado
  desc: Detecta tentativas de fuga de container usando capacidades privilegiadas
  condition: >
    spawned_process and container and
    (proc.name in (nsenter, unshare, mount, umount, modprobe, insmod) or
     (proc.name = chroot and proc.args contains "/host"))
  output: >
    Tentativa de fuga de container via operação privilegiada
    (usuário=%user.name container=%container.name imagem=%container.image.repository
     comando=%proc.cmdline pid=%proc.pid %container.info)
  priority: CRITICAL
  tags: [container, escape, T1611]

# Detecta acesso ao socket do Docker a partir do container
- rule: Acesso do Container ao Socket do Docker
  desc: Detecta container lendo/escrevendo no socket do Docker
  condition: >
    (open_read or open_write) and container and
    fd.name = /var/run/docker.sock
  output: >
    Socket do Docker acessado a partir do container
    (usuário=%user.name container=%container.name imagem=%container.image.repository
     fd=%fd.name comando=%proc.cmdline %container.info)
  priority: CRITICAL
  tags: [container, escape, docker_socket]

# Detecta acesso a caminhos sensíveis do sistema de arquivos proc
- rule: Acesso do Container a Caminhos Sensíveis do Proc
  desc: Detecta container acessando caminhos sensíveis do proc do host
  condition: >
    open_read and container and
    (fd.name startswith /proc/sysrq-trigger or
     fd.name startswith /proc/kcore or
     fd.name startswith /proc/kmsg or
     fd.name startswith /proc/kallsyms or
     fd.name startswith /sys/kernel)
  output: >
    Acesso sensível a proc/sys a partir do container
    (usuário=%user.name container=%container.name caminho=%fd.name

…