T1612: 在主机上构建镜像

摘要

攻击者可能直接在主机上构建容器镜像，以绕过监控从公共注册表检索恶意镜像的防御。可能向 Docker API 发送一个远程 <code>build</code> 请求，其中包含一个 Dockerfile，该文件从公共或本地注册表拉取一个基础镜像（如 alpine），然后在其上构建一个自定义镜像。(Citation: Docker Build Image) 攻击者可能利用该 <code>build</code> API 在主机上构建包含从其 C2 服务器下载的恶意软件的自定义镜像，然后他们可能利用该自定义镜像来[部署容器](https://attack.mitre.org/techniques/T1610)。(Citation: Aqua Build Images on Hosts)(Citation: Aqua Security Cloud Native Threat Report June 2021) 如果基础镜像从公共注册表拉取，防御措施很可能不会将该镜像检测为恶意，因为它是一个基础镜像。如果基础镜像已驻留在本地注册表中，由于该镜像已在环境中，该拉取行为可能被认为更不具可疑性。