Πώς παραβλέπεται
Μια συνηθισμένη εργασία κώδικα μετατρέπεται σε εντολή που ζητά αυξημένα δικαιώματα. Αυτό μπορεί να είναι αναγκαίο. Μπορεί επίσης να είναι περισσότερη πρόσβαση από όσο αξίζει η εργασία. Η στιγμή που η εντολή αλλάζει αξίζει να παρατηρηθεί.
Ένας πράκτορας που αντιμετωπίζει προβλήματα με μια απούσα εξάρτηση καταφεύγει στο sudo. Σε μια μακρά συνεδρία, αυτό το αίτημα μπορεί να βρίσκεται ανάμεσα σε συνηθισμένους ελέγχους και έξοδο εγκατάστασης. Αν αναθεωρείτε μόνο το τελικό αποτέλεσμα, μπορεί να μην παρατηρήσετε ποτέ την απόπειρα αλλαγής εξουσίας.
Τι ανιχνεύει το ClawMetry
Το ClawMetry αναγνωρίζει μοτίβα που σχετίζονται με δικαιώματα στα καταγεγραμμένα ορίσματα εργαλείων. Μια εντολή sudo μπορεί να εγείρει προειδοποίηση αλλαγής δικαιωμάτων. Το εύρημα σάς δίνει λόγο να αναθεωρήσετε την απόπειρη ενέργεια στο πλαίσιο της εργασίας.
Η διαφορά που αλλάζει το εύρημα
Παράδειγμα ενεργοποίησης
sudo apt-get install jq
Εύρημα προειδοποίησης
Αθόρυβη σύγκριση
git status
Κανένα εύρημα για αυτόν τον ανιχνευτή.
Το ελεγχόμενο παράδειγμα χρησιμοποιεί εντολή εγκατάστασης πακέτου με sudo και εγείρει προειδοποίηση. Μια συνηθισμένη εντολή Git status παραμένει ήσυχη. Το σήμα αφορά την εντολή που παρατηρήθηκε. Δεν αποδεικνύει ότι το αίτημα δικαιωμάτων πέτυχε.
Εξετάστε το αποτέλεσμα ανιχνευτή
{
"kind": "privilege_change",
"severity": "warning",
"evidence": {
"patterns": [
"ran a command as root"
],
"matches": 1,
"irreversible": [],
"command_sketch": "sudo apt-get",
"observed": "tool_arguments"
}
}Πώς ελέγχθηκε το παράδειγμα
Αυτά τα παραδείγματα αξιολογούν τον δημοσιευμένο ανιχνευτή με δεδομένα συμβάντων ή αναλώσιμα αρχεία ρυθμίσεων. Τα βίντεο απεικονίζουν αυτές τις συμπεριφορές. Δεν αποτελούν εγγραφές ζωντανών agents ή της διεπαφής προϊόντος. Καμία εντολή στα παραδείγματα δεν εκτελέστηκε.
Το αποτέλεσμα καθορίζει τη συμπεριφορά για αυτές τις εισόδους. Δεν καθορίζει λήψη δεδομένων runtime, πρόληψη ή πραγματικό συμβιβασμό. Εξετάστε τη σταθερή σύμβαση πηγής.
Τι να ελέγξετε στη συνέχεια
Ελέγξτε αν η αυξημένη πρόσβαση ήταν πράγματι αναγκαία. Επιθεωρήστε τον στόχο, την εντολή και οποιαδήποτε έγκριση εμπλέκεται. Προτιμήστε την πιο στενή πρόσβαση που ολοκληρώνει την εργασία και επαληθεύστε το αποτέλεσμα χρησιμοποιώντας τα διαθέσιμα στοιχεία runtime και συστήματος.
- Ελέγξτε γιατί χρειάζεται η πρόσβαση
- Ελέγξτε τον στόχο και την έγκριση
- Επαληθεύστε την προκύπτουσα κατάσταση
Τι καθορίζει αυτό το σήμα
Αυτός ο ανιχνευτής διαβάζει καταγεγραμμένες εντολές, όχι προκύπτοντα δικαιώματα λειτουργικού συστήματος. Δεν αρνείται ο ίδιος την αύξηση δικαιωμάτων.