English
Español
Français
Deutsch
日本語
한국어
العربيةإيقاف تسجيل CloudTrail
يمكنه إيقاف مسار CloudTrail عن تسجيل نشاط API.
يمنح التصعيد بمفرده.
cloudtrail:StopLoggingبمفرده، يستطيع cloudtrail:StopLogging إيقاف مسار CloudTrail عن تسجيل نشاط API. وفي نطاق موارد واسع يكفي ذلك وحده للوصول إلى تعطيل الكشف أو إزالة الضوابط الوقائية.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي cloudtrail:StopLogging على المسار، فيوقف تسجيل أحداث الإدارة وأحداث البيانات دون حذف أي شيء. لا يزال المسار موجوداً ولا يزال يبدو مُكوّناً، لذا من السهل إغفال الفجوة عند مراجعة وحدة التحكم، وكل إجراء يتخذه المهاجم بعد ذلك يمر دون تسجيل في ذلك المسار.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1562.008، إضعاف الدفاعات: تعطيل سجلات السحابة أو تعديلها، ضمن تكتيك التهرب الدفاعي. يسجّله AWS في CloudTrail باسم StopLogging. هذه العملية واضحة في CloudTrail وتبرز عن النشاط الاعتيادي.
الكشف
StopLoggingالمتطلبات المسبقة
cloudtrail:StopLogging على مسار CloudTrail. لا يمكن إيقاف مسار المؤسسة إلا من حساب الإدارة.
تكتيك
التهرّب من الدفاعات
من الضوابط التي قد تزيله: قصر cloudtrail:StopLogging على دور طوارئ (break-glass)، مع رفضه على مستوى المؤسسة عبر SCP والتنبيه عند الحدث.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح cloudtrail:StopLogging؟
يمكنه إيقاف مسار CloudTrail عن تسجيل نشاط API.
هل يستطيع cloudtrail:StopLogging تصعيد الامتيازات وحده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى تعطيل الكشف أو إزالة الضوابط الوقائية دون أي إذن آخر.
كيف يتم كشف إيقاف تسجيل CloudTrail؟
راقب StopLogging في CloudTrail. الاستدعاء صاخب في CloudTrail ويبرز عن النشاط الاعتيادي.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قصر cloudtrail:StopLogging على دور break-glass؛ وارفضه على مستوى المؤسسة عبر SCP وفعّل إنذاراً على الحدث. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1562.008، إضعاف الدفاعات: تعطيل السجلات السحابية أو تعديلها، ضمن تكتيك التهرب من الدفاعات.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.