English
Español
Français
Deutsch
日本語
한국어
العربيةقراءة أحداث سجل CloudWatch
يمكنه قراءة أحداث السجل المخزّنة لمجموعة سجلات CloudWatch.
يمنح التصعيد بمفرده.
logs:GetLogEventsبمفرده، يستطيع logs:GetLogEvents قراءة أحداث السجل المُخزّنة لمجموعة سجلات CloudWatch. وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى البيانات نفسها.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي logs:GetLogEvents لقراءة الأحداث المخزّنة لمجموعة سجلات CloudWatch. تحتوي سجلات التطبيقات والمنصات عادةً على مفاتيح وصول ورموز حاملة وسلاسل اتصال قواعد بيانات ومعلومات شخصية يطبعها كود غير مبالٍ، لذا فإن قراءتها تسريب بيانات مباشر، وعند وجود بيانات اعتماد طويلة الأجل، تمحور إلى أي هوية تخصّها. CloudWatch Logs هو API مُبوّب عبر IAM وذو نقطة نهاية عامة، لذا فهذه قراءة على مستوى الطبقة التحكمية دون شرط شبكي مسبق؛ وتتبع الخطورة حساسية مجموعة السجلات.
من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1552، بيانات الاعتماد غير المؤمَّنة، ضمن تكتيك الوصول إلى بيانات الاعتماد. يسجّله AWS في CloudTrail باسم GetLogEvents, FilterLogEvents, GetQueryResults. الاستدعاء هادئ مقابل النشاط العادي، لذا يسهل تفويته دون قاعدة لرصده.
الكشف
GetLogEventsFilterLogEventsGetQueryResultsالمتطلبات المسبقة
logs:GetLogEvents (أو FilterLogEvents/GetQueryResults) على مجموعة السجلات؛ وlogs:Unmask إضافةً لتجاوز سياسة إخفاء حماية البيانات. لا تملك CloudWatch Logs سياسة مورد، لذا يكفي الوصول عبر سياسة الهوية وحدها.
MITRE ATT&CK
T1552 · بيانات اعتماد غير مؤمّنةتكتيك
الوصول إلى بيانات الاعتماد
من الضوابط التي قد تزيله: قصر logs:GetLogEvents/FilterLogEvents/GetQueryResults على الكيانات التي تحتاج إليها، مع تنظيف بيانات الاعتماد/المعلومات الشخصية من السجلات وتفعيل سياسة حماية البيانات في CloudWatch Logs.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح logs:GetLogEvents؟
يمكنه قراءة أحداث السجل المخزّنة لمجموعة سجلات CloudWatch.
هل يمكن لـ logs:GetLogEvents تصعيد الامتيازات بمفرده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى البيانات نفسها دون أي إذن آخر.
كيف يتم كشف قراءة أحداث سجلات CloudWatch؟
راقب GetLogEvents, FilterLogEvents, GetQueryResults في CloudTrail. الاستدعاء خافت مقابل النشاط الاعتيادي، لذا يسهل تفويته دون قاعدة له.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قصر logs:GetLogEvents/FilterLogEvents/GetQueryResults على الكيانات الرئيسية التي تحتاجها؛ ونظّف بيانات الاعتماد/المعلومات الشخصية من السجلات وفعّل سياسة حماية بيانات CloudWatch Logs. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1552، بيانات اعتماد غير مؤمّنة، ضمن تكتيك الوصول إلى بيانات الاعتماد.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.