Google a lancé aujourd’hui une nouvelle fonctionnalité de sécurité pour les locataires de Google Cloud qui vise à détecter et à bloquer les opérations de cryptomining qui peuvent avoir lieu dans le dos des propriétaires.
Nommé Détection des menaces de machine virtuelle (VMTD), Google a déclaré que cette nouvelle fonctionnalité est un système sans agent qui analyse en permanence la mémoire des machines virtuelles déployées dans les environnements Google Cloud à la recherche de signes révélateurs d’une utilisation accrue du CPU ou du GPU, spécifique aux opérations de cryptomining.
Pour éviter les détections de faux positifs, la fonctionnalité a été laissée désactivée par défaut ; cependant, n’importe quel client peut l’activer pour ses VM GCP. Ils peuvent le faire en accédant à la page Paramètres de leur centre de commande de sécurité et en consultant la section Gérer les paramètres.
Google a déclaré que la fonctionnalité ne fonctionnera qu’avec de la mémoire non sensible et que VMTD ne traitera pas la mémoire des nœuds marqués comme « confidentiels ».
VMTD a commencé à être déployé aujourd’hui pour une préversion publique, il est donc recommandé aux locataires de l’activer pour de plus petites portions de leurs nœuds et de surveiller de près son impact sur les performances.
« Au cours des prochains mois, à mesure que nous déplacerons VMTD vers la disponibilité générale, vous pouvez vous attendre à voir une publication régulière de nouvelles capacités de détection et d’intégrations avec d’autres parties de Google Cloud », a déclaré Timothy Peacock, chef de produit pour Google Cloud.
Une fois que la fonctionnalité atteindra la disponibilité générale et sera jugée stable, VMTD deviendra très probablement une fonctionnalité de sécurité incontournable.
Dans un rapport publié l’année dernière, l’équipe Google Cloud a déclaré qu’après avoir analysé 50 instances GCP récemment compromises, 86 % étaient infectées par des charges utiles de cryptominage qui détournent les ressources des locataires telles que le processeur ou la RAM pour extraire la crypto-monnaie pour l’attaquant.
Dans de nombreux cas, ces attaquants entrent dans les comptes clients via un système mal configuré, puis s’étendent à des réseaux internes entiers, de sorte que les administrateurs devront très probablement activer VMTD même pour les systèmes qui ne sont pas directement disponibles via Internet, juste pour être sûr.
