Ders 5.4: Çalınmış bir bulut anahtarını soruşturmak
Saat 23:20'de SIEM bir uyarı veriyor: raporlama robotunun erişim anahtarı bilinmeyen bir adresten API çağrıları yapıyor ve çoğu başarısız oluyor. Laboratuvarda CloudTrail ile soruşturuyorsun: robotun normal etkinliğini saldırganınkinden ayırıyor, saldırganın neyi denediğini (keşif, yetki yükseltme, kalıcılık, kripto madenciliği örnekleri, günlüklemeyi kapatmak) ve gerçekte neyin başarılı olduğunu okuyor, anahtarı sınırlıyor, yine de kalıcılığı kontrol ediyor ve 1. bölümdeki en az yetki ilkesinin olası bir hesap ele geçirmeyi nasıl sıradan bir olaya dönüştürdüğünü görüyorsun.
18 dk
Bu derste öğreneceklerin
- Bir kimlik bilgisinin normal kullanımını kötü niyetli kullanımından ayırmak
- CloudTrail hata kodlarını okumak
- API çağrılarından saldırgan amaçlarını tanımak
- Çalınmış bir anahtarı sınırlamak
- Bulutta kalıcılığı kontrol etmek
Temel terimler
- errorCode
- Bir çağrının neden başarısız olduğunu kaydeden CloudTrail alanı.
- Etki yarıçapı
- Ele geçirilmiş bir kimliğin ya da sistemin ne kadar hasara yol açabileceği.
- Bulutta kalıcılık
- Saldırganların erişimi koruma yolları: yeni kullanıcılar ya da anahtarlar, kendi hesaplarına güvenen yeni roller, değiştirilmiş ilkeler.
- Kaynak ele geçirme
- Bir kurbanın bulut kaynaklarını, çoğu zaman kripto madenciliği için GPU örneklerini kullanmak.
- Tehdit tespit hizmetleri
- Günlükleri bu örüntüler için inceleyen sağlayıcı hizmetleri.
← Suricata ile IDS uyarıları · Tüm dersler · Sertifikalar ve PKI →