Lücken in der Audit-Protokollierung

Was ist Lücken in der Audit-Protokollierung?

Erkennung und forensische Untersuchung hängen von einer Aufzeichnung ab, die schon vor dem Vorfall bestand. Ein CloudTrail-Trail für nur eine Region erfasst Aktivitäten in anderen Regionen nicht dauerhaft; der Angreifer kann das ausnutzen. Ein Trail im kompromittierten Konto kann zudem gestoppt werden. Sie beobachten, wie Bob die Aufzeichnung umgeht, und stoßen bei der Untersuchung auf eine Lücke: Instanzen wurden gestartet, doch der Trail enthält keinen Nachweis. Sie stellen die Abdeckung aller Regionen und die Logdatei-Integritätsprüfung wieder her und senden Ereignisse an eine Log-Gruppe, damit ein Alarm auf Änderungen an der Protokollierung achten kann.

Was Sie lernen in Lücken in der Audit-Protokollierung

• Ein auf eine Region beschränkter Trail zeichnet Aktivitäten in anderen Regionen gar nicht auf; der Angreifer kann die Region frei wählen.
• Wer das protokollierte Konto kompromittiert, kann dort gespeicherte Logs löschen. Liefern Sie sie an ein Konto, auf das die Zugangsdaten des Quellkontos keinen Zugriff haben.
• Die Integritätsprüfung zeigt, ob gespeicherte Logdateien nachträglich unbemerkt verändert wurden.
• Alarme bei Änderungen der Protokollierungskonfiguration einrichten: Wird der Trail abgeschaltet, fehlt die fortlaufende Aufzeichnung.

Lücken in der Audit-Protokollierung — Trainingsschritte

1. Die blinden Flecken finden

   Mit einem gestohlenen Deploy-Schlüssel hat Bob bereits Zugang zu Voskrells Cloud. Bevor er auffällige Aktionen ausführt, prüft er, was davon erfasst würde. Er untersucht den einzigen Audit-Trail des Kontos.

2. Dort arbeiten, wo niemand zusieht

   Bob wechselt in die vom Trail nicht abgedeckte Region eu-north-1 und startet acht besonders leistungsstarke Recheninstanzen. Sie dienen nicht Voskrell, sondern schürfen Kryptowährung für Bobs Wallet. Voskrell zahlt die Rechnung.

3. Die Mining-Instanzen arbeiten

   Die Instanzen schürfen über Bobs Mining-Pool. Er prüft, ob seine acht Worker online sind und die Erträge in seinem Wallet landen. Bezahlt wird die Rechenleistung von Voskrell.

4. Die letzte verbliebene Aufzeichnung stoppen

   Der Trail in us-east-1 könnte beim Eindringen noch etwas erfasst haben. Bob stoppt ihn. Nichts hindert ihn daran, und ein Alarm bleibt aus.

5. Warum ist das unsichtbar?

6. Worauf hatten die Angreifer Zugriff?

   Die Finanzabteilung meldet eine Cloud-Rechnung in fünffacher Höhe. Das Sicherheitsteam führt die Kosten auf acht unbekannte Mining-Instanzen in eu-north-1 zurück. Alice soll klären, wie der Angreifer hereinkam und was er sonst noch getan hat.

7. Der Trail war bereits ausgeschaltet

   Alice beginnt mit der naheliegenden Frage: Lief der Trail überhaupt? Sie prüft dessen Status.

8. Die Sackgasse

   Alice versucht nachzuvollziehen, was mit den gestohlenen Zugangsdaten getan wurde. Sie öffnet die eigene Aufzeichnung des Trails: die Logdateien, die er in seinen Bucket zugestellt hat, ein Ordner pro abgedeckter Region. Nicht der Einbruch ist hier das, was versagt hat. Voskrell konnte keine einzige forensische Frage beantworten, weil der Trail so eingerichtet war.

9. Abdeckung und Integrität statt Art des Eindringens

10. Die Trail-Einstellungen öffnen

    Alice öffnet CloudTrail in der Konsole, um den Trail richtig einzustellen. Die Konfigurationslücken, die eine Rekonstruktion dieses Vorfalls unmöglich machten, sind hier auf einem Bildschirm zu sehen.