Прогалини в журналах аудиту

Що таке Прогалини в журналах аудиту?

Виявлення та криміналістика залежать від запису, який існував ще до того, як хтось подумав поставити питання. Журнал CloudTrail, налаштований на один регіон, не записує інші, а регіон вибирає зловмисник. Журнал, що зберігається в зламаному обліковому записі, можна просто вимкнути. Ви побачите, як зловмисник ховається, а потім самі зайдете в глухий кут, розслідуючи інцидент: інстанси запущено, а в журналі запису немає. Ви відновите охоплення всіх регіонів і перевірку цілісності файлів журналу та надішлете події до групи журналів, щоб сигнал тривоги міг стежити за змінами логування.

Що ви дізнаєтесь у Прогалини в журналах аудиту

• Пам'ятайте, що регіональний журнал взагалі не записує інші регіони, а регіон вибирає зловмисник.
• Пам'ятайте, що журнали, які зберігаються в самому обліковому записі, за яким ведеться запис, може видалити той, хто його зламав. Надсилайте їх туди, куди цей обліковий запис не дотягнеться.
• Користуйтеся перевіркою цілісності: саме вона відрізняє повний журнал від того, який тихо підправили.
• Налаштуйте сповіщення про зміни самих налаштувань логування, бо вимкнення логування приховує все, що відбувається після нього.

Прогалини в журналах аудиту — Кроки навчання

1. Знайдіть сліпі зони

   Боб уже має плацдарм у хмарі Voskrell за допомогою викраденого ключа розгортання. Перш ніж зробити щось гучне, він перевіряє, що його побачить. Він переглядає налаштування єдиного журналу аудиту облікового запису.

2. Працюйте там, де ніхто не стежить

   Боб переходить до eu-north-1 — регіону, який журнал аудиту не охоплює, — і запускає ферму з найбільших обчислювальних інстансів, які тільки може. Вони не для Voskrell: на них працює майнер криптовалюти, що виплачує гроші на гаманець самого Боба. Рахунок отримує Voskrell.

3. Ферма заробляє

   Інстанси налаштовано так, щоб вони майнили в пул Боба. Він заходить у пул, щоб переконатися, що крадіжка триває: його воркери онлайн, а гаманець наповнюється — на обчислювальних потужностях Voskrell.

4. Обірвіть єдиний запис, що залишився

   Навіть журнал аудиту в us-east-1 міг зафіксувати щось, коли Боб заходив. Боб його вимикає. Ніщо його не зупиняє, і жодна тривога не спрацьовує.

5. Чому цього не видно?

6. Що вони зачепили?

   Фінансовий відділ помічає рахунок за хмару, у п'ять разів більший за звичайний. Служба безпеки з'ясовує, що це вісім майнінгових інстансів в eu-north-1, яких ніхто не впізнає. Питання лягає на Алісу: як вони потрапили всередину і що ще зробили?

7. Журнал уже був вимкнений

   Аліса починає з очевидного питання: чи працював журнал узагалі? Вона перевіряє його стан.

8. Глухий кут

   Аліса намагається відновити, що робили ці облікові дані. Вона відкриває власний запис журналу: файли, які він доставив у свій бакет, по одній папці на кожен регіон, який охоплював. Тут проблема не в самому проникненні. Компанія Voskrell не змогла відповісти на жодне криміналістичне питання через те, як було налаштовано журнал аудиту.

9. Охоплення й цілісність, а не проникнення

10. Відкрийте налаштування журналу

    Аліса відкриває CloudTrail у консолі, щоб виправити сам журнал. Прогалини, через які цей інцидент неможливо розслідувати, зібрані на одному екрані налаштувань.