T1610: 部署容器

摘要

攻击者可能将容器部署到环境中，以促成执行或规避防御。在某些情况下，攻击者可能部署一个新容器来执行与特定镜像或部署相关的进程，如执行或下载恶意软件的进程。在另一些情况下，攻击者可能部署一个未配置网络规则、用户限制等的新容器，以绕过环境中现有的防御。在 Kubernetes 环境中，攻击者可能尝试将一个特权或存在漏洞的容器部署到特定节点，以[逃逸到主机](https://attack.mitre.org/techniques/T1611)并访问节点上运行的其他容器。(Citation: AppSecco Kubernetes Namespace Breakout 2020) 容器可以通过各种方式部署，例如通过 Docker 的 <code>create</code> 和 <code>start</code> API，或通过诸如 Kubernetes 仪表板或 Kubeflow 之类的 Web 应用程序。(Citation: Docker Container)(Citation: Kubernetes Dashboard)(Citation: Kubeflow Pipelines) 在 Kubernetes 环境中，容器可能通过诸如 ReplicaSets 或 DaemonSets 之类的工作负载部署，这可以使容器跨多个节点部署。(Citation: Kubernetes Workload Management) 攻击者可能基于检索到的或构建的恶意镜像部署容器，或基于在运行时下载并执行恶意有效载荷的良性镜像部署容器。(Citation: Aqua Build Images on Hosts)