Ders 2.13: CloudTrail ile denetim günlüğü
Bir bulut hesabındaki her eylem bir API çağrısıdır ve sağlayıcı hepsini kaydedebilir: kim, ne, ne zaman, nereden, hangi anahtarla ve işe yarayıp yaramadığı. AWS'de bu CloudTrail'dir; Azure'da Activity Log, Google Cloud'da Cloud Audit Logs vardır. Saldırganlar da bunu bilir ve ilk hamlelerinden biri onu kapatmaktır. Laboratuvarda Northwind'in izinin durdurulmuş olduğunu buluyor, onu kimin durdurduğunu ve aynı anahtarın başka neler yaptığını görmek için CloudTrail'in 90 günlük olay geçmişini kullanıyor, günlüklemeyi yeniden başlatıyor ve bunda uyarı vermesi gereken şeyi kuruyorsun.
17 dk
Bu derste öğreneceklerin
- Bulut denetim günlüklerinin neyi kaydettiğini açıklamak
- Bir izin yapılandırmasını ve durumunu kontrol etmek
- Olayları ada ve erişim anahtarına göre aramak
- Bir CloudTrail olay kaydını okumak
- Günlüklemeyi yeniden başlatmak ve kurcalamada uyarı vermek
Temel terimler
- CloudTrail
- AWS'nin bir hesaptaki API etkinliği kaydı: kimlik, eylem, zaman, kaynak IP, kullanıcı ajanı, parametreler, sonuç.
- İz
- CloudTrail olaylarını uzun süreli saklama için depolamaya teslim eden yapılandırma.
- Yönetim ve veri olayları
- Denetim düzlemi eylemleri (oluşturma, silme, yapılandırma) ve veri düzlemi eylemleri (nesne okuma ya da yazma).
- Günlük dosyası doğrulaması
- Teslim edilen günlük dosyalarının değiştirilmediğini ya da silinmediğini kanıtlayan imzalı özet dosyaları.
- Savunmadan kaçma (T1562.008)
- Etkinliği gizlemek için bulut günlüklerini kapatmak ya da değiştirmek.
← Sysmon ve süreç ağaçları · Tüm dersler · İndirmeleri doğrulamak →