Прогалини в логуванні аудиту

Що таке Прогалини в логуванні аудиту?

Виявлення і криміналістика залежать від запису, який існував ще до того, як хтось подумав поставити питання. Журнал CloudTrail, налаштований на один регіон, не записує решту, а регіон вибирає зловмисник. Журнал, що зберігається в скомпрометованому обліковому записі, можна просто вимкнути. Ви побачите, як зловмисник зникає з поля зору, а потім, розслідуючи інцидент, упретеся в глухий кут: інстанси запускали, а в журналі про це немає запису. Ви відновите покриття всіх регіонів і перевірку файлів журналу та надішлете події в групу журналів, щоб сигнал тривоги стежив за змінами логування.

Що ви дізнаєтесь у Прогалини в логуванні аудиту

• Журнал в одному регіоні взагалі не записує інші регіони, а регіон вибирає зловмисник.
• Журнали, що зберігаються в обліковому записі, дії якого вони фіксують, може видалити той, хто його скомпрометував. Доставляйте їх туди, куди вихідний обліковий запис не дістає.
• Саме перевірка цілісності відрізняє повний журнал від того, який непомітно відредагували.
• Сповіщайте про зміни самої конфігурації логування, бо вимкнення логування приховує все, що відбувається після нього.

Прогалини в логуванні аудиту — Кроки навчання

1. Знайдіть сліпі зони

   Боб уже має плацдарм у хмарі Voskrell завдяки викраденому ключу розгортання. Перш ніж робити щось гучне, він перевіряє, що саме може його помітити: оглядає єдиний журнал аудиту цього облікового запису.

2. Дійте там, де ніхто не стежить

   Боб переходить в eu-north-1 — регіон, який журнал не охоплює, — і запускає майнінг-ферму з найбільших обчислювальних інстансів, які тільки може. Вони працюють не на Voskrell: на них запущено майнер криптовалюти, що виплачує винагороду на гаманець самого Боба. Voskrell лише отримує рахунок.

3. Ферма заробляє

   Інстанси налаштовано майнити на пул Боба. Він перевіряє пул, щоб переконатися, що крадіжка триває: його воркери онлайн, а гаманець наповнюється — на обчислювальних потужностях Voskrell.

4. Обірвіть єдиний запис, що лишився

   Навіть журнал у us-east-1 міг зафіксувати щось під час проникнення. Боб вимикає його. Ніщо його не зупиняє, і жодна тривога не спрацьовує.

5. Чому цього не видно?

6. Що вони зачепили?

   Фінансовий відділ повідомляє про рахунок за хмару, у п'ять разів більший за звичайний. Центр моніторингу безпеки знаходить джерело: вісім майнінгових інстансів в eu-north-1, яких ніхто не впізнає. Питання лягає на Алісу: як вони потрапили всередину і що ще зробили?

7. Журнал уже був вимкнений

   Аліса починає з очевидного питання: чи працював журнал узагалі? Вона перевіряє його стан.

8. Глухий кут

   Аліса намагається відновити, що робили ці облікові дані. Вона відкриває власний запис журналу: файли, які він доставив у свій бакет, — по одній папці на кожен регіон, який охоплював. Збій тут не в самому вторгненні. Компанія Voskrell не змогла відповісти ні на одне криміналістичне питання через те, як налаштовано журнал.

9. Покриття й цілісність, а не сам злам

10. Відкрийте налаштування журналу

    Аліса відкриває CloudTrail у консолі, щоб виправити сам журнал. Усі прогалини, через які цей інцидент неможливо розслідувати, зібрано на одному екрані налаштувань.