التهرّب من الدفاعات GuardDuty T1562.001

حذف كاشف GuardDuty

يمكنه حذف كاشف GuardDuty، ما يُنهي كشف التهديدات في المنطقة.

يمنح التصعيد بمفرده.

guardduty:DeleteDetector
الخلاصة الأساسية

بمفرده، يستطيع guardduty:DeleteDetector حذف كاشف GuardDuty، منهياً كشف التهديدات في المنطقة. وفي نطاق موارد واسع يكفي ذلك وحده للوصول إلى تعطيل الكشف أو إزالة الضوابط الوقائية.

DeleteDetector blinds 01 Attacker principal 02 Security control 03 Blinded
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لكيان رئيسي أن يستدعي guardduty:DeleteDetector على الكاشف، وهو التكوين الكامل لـ GuardDuty في المنطقة - حذفه يوقف كل اكتشاف للتهديدات هناك ويتخلص من النتائج الموجودة. ولا شيء آخر في الحساب يشير إلى أن الاكتشاف قد اختفى.

وفق مصطلحات MITRE ATT&CK، يقابل هذا T1562.001، إضعاف الدفاعات: تعطيل الأدوات أو تعديلها، ضمن تكتيك التهرب الدفاعي. يسجّله AWS في CloudTrail باسم DeleteDetector. هذه العملية واضحة في CloudTrail وتبرز عن النشاط الاعتيادي.

الكشف

DeleteDetector

المتطلبات المسبقة

guardduty:DeleteDetector على الكاشف. في إعداد المسؤول المفوَّض قد لا يتمكن الحساب العضو من حذف كاشف يُدار مركزياً.

MITRE ATT&CK

T1562.001 · إضعاف الدفاعات: تعطيل الأدوات أو تعديلها

تكتيك

التهرّب من الدفاعات

كسر المسار

من الضوابط التي قد تزيله: قصر guardduty:DeleteDetector / DisassociateFromMasterAccount على دور طوارئ (break-glass)، مع الرفض عبر SCP والتنبيه عند الحدث.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح guardduty:DeleteDetector؟

يمكنه حذف كاشف GuardDuty، ما يُنهي كشف التهديدات في المنطقة.

هل يمكن لـ guardduty:DeleteDetector تصعيد الامتيازات بمفرده؟

نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى تعطيل الكشف أو إزالة الضوابط الوقائية دون أي إذن آخر.

كيف يتم كشف حذف كاشف GuardDuty؟

راقب DeleteDetector في CloudTrail. الاستدعاء صاخب في CloudTrail ويبرز عن النشاط الاعتيادي.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: قصر guardduty:DeleteDetector / DisassociateFromMasterAccount على دور break-glass؛ وارفضه عبر SCP وفعّل إنذاراً على الحدث. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1562.001، إضعاف الدفاعات: تعطيل الأدوات أو تعديلها، ضمن تكتيك التهرب من الدفاعات.

المسارات ذات الصلة

الخدمة نفسهاتعطيل كاشف GuardDutyguardduty:UpdateDetectorالتقنية نفسهامغادرة المؤسسةorganizations:LeaveOrganizationالتقنية نفسهافصل حاجز SCP الوقائيorganizations:DetachPolicyالتقنية نفسهاحذف SCPorganizations:DeletePolicyالتقنية نفسهاحذف قناة تسليم Configconfig:DeleteDeliveryChannelالتقنية نفسهاحذف مسجّل Configconfig:DeleteConfigurationRecorder

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق