Как это остаётся незамеченным
Рутинная задача по написанию кода превращается в команду, запрашивающую повышенные привилегии. Это может быть необходимо, а может означать больше доступа, чем задача заслуживает. Момент изменения команды стоит увидеть.
Агент, устраняющий проблему с недостающей зависимостью, обращается к sudo. В длинной сессии этот запрос может оказаться между обычными проверками и выводом установки. Если вы проверяете только итоговый результат, вы можете никогда не заметить попытки изменить уровень полномочий.
Что обнаруживает ClawMetry
ClawMetry распознаёт паттерны, связанные с привилегиями, в захваченных аргументах инструментов. Команда sudo может вызвать предупреждение об изменении привилегий. Находка даёт вам основание для проверки предпринятого действия в контексте задачи.
Различие, меняющее результат
Пример срабатывания
sudo apt-get install jq
Предупреждение
Тихое сравнение
git status
Для этого детектора нет находки.
Проверяемый пример использует команду установки пакета через sudo и вызывает предупреждение. Обычная команда Git status остаётся незамеченной. Сигнал касается наблюдаемой команды. Он не устанавливает, был ли запрос привилегий выполнен.
Изучить результат детектора
{
"kind": "privilege_change",
"severity": "warning",
"evidence": {
"patterns": [
"ran a command as root"
],
"matches": 1,
"irreversible": [],
"command_sketch": "sudo apt-get",
"observed": "tool_arguments"
}
}Как проверялся пример
Эти примеры оценивают опубликованный детектор с авторскими данными событий или одноразовыми файлами конфигурации. Видео иллюстрируют это поведение. Они не являются записями живых агентов или интерфейса продукта. Ни одна команда в примерах не была выполнена.
Результат устанавливает поведение для этих входных данных. Он не устанавливает приём в реальном времени, предотвращение или реальную компрометацию. Изучить закреплённый исходный контракт.
Что проверить дальше
Проверьте, был ли повышенный доступ действительно необходим. Изучите цель, команду и любое связанное с ней одобрение. Предпочитайте минимально необходимый доступ для выполнения задачи и проверьте результат с помощью доступных вам данных среды выполнения и системы.
- Проверьте, зачем нужен доступ
- Изучите цель и одобрение
- Проверьте итоговое состояние
Что устанавливает этот сигнал
Этот детектор читает записанные команды, а не результирующие привилегии операционной системы. Он сам по себе не запрещает повышение привилегий.