English
Español
Français
Deutsch
日本語
한국어
العربيةحذف مسجّل Config
يمكنه حذف مسجّل AWS Config بالكامل.
يمنح التصعيد بمفرده.
config:DeleteConfigurationRecorderبمفرده، يستطيع config:DeleteConfigurationRecorder حذف مُسجِّل AWS Config بالكامل. وفي نطاق موارد واسع يكفي ذلك وحده للوصول إلى تعطيل الكشف أو إزالة الضوابط الوقائية.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي config:DeleteConfigurationRecorder على المسجّل، فينهي تسجيل سجل التكوين بالكامل بدلاً من مجرد إيقافه. تتوقف قواعد Config اللاحقة واكتشاف الانحراف عن التقييم.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1562.001، إضعاف الدفاعات: تعطيل الأدوات أو تعديلها، ضمن تكتيك التهرب الدفاعي. يسجّله AWS في CloudTrail باسم DeleteConfigurationRecorder. هذه العملية واضحة في CloudTrail وتبرز عن النشاط الاعتيادي.
الكشف
DeleteConfigurationRecorderالمتطلبات المسبقة
config:DeleteConfigurationRecorder، الذي لا يمكن منحه إلا على مستوى الحساب بالكامل (لا يوجد نطاق على مستوى المورد).
تكتيك
التهرّب من الدفاعات
من الضوابط التي قد تزيله: قصر config:DeleteConfigurationRecorder على دور طوارئ (break-glass)، مع الرفض عبر SCP (لا يملك الإجراء نطاقاً على مستوى المورد، لذا يجب أن يستخدم الرفض (Deny) المورد Resource "*").
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح config:DeleteConfigurationRecorder؟
يمكنه حذف مسجّل AWS Config بالكامل.
هل يمكن لـ config:DeleteConfigurationRecorder تصعيد الامتيازات بمفرده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى تعطيل الكشف أو إزالة الضوابط الوقائية دون أي إذن آخر.
كيف يتم كشف حذف مُسجِّل Config؟
راقب DeleteConfigurationRecorder في CloudTrail. الاستدعاء صاخب في CloudTrail ويبرز عن النشاط الاعتيادي.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قصر config:DeleteConfigurationRecorder على دور break-glass؛ وارفضه عبر SCP (الإجراء ليس له نطاق على مستوى المورد، لذا يجب أن يستخدم الرفض Resource "*"). يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1562.001، إضعاف الدفاعات: تعطيل الأدوات أو تعديلها، ضمن تكتيك التهرب من الدفاعات.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.