Defense evasion CloudTrail T1562.008

CloudTrail-Event-Selektoren einschränken

Kann Management-/Datenereignisse aus einem Trail entfernen und ihn dabei aktiviert lassen.

Ermöglicht Eskalation für sich allein.

cloudtrail:PutEventSelectors

Wichtigste Erkenntnis

Für sich allein kann cloudtrail:PutEventSelectors Management-/Datenereignisse aus einem Trail entfernen, während er aktiviert bleibt. Bei einem weiten Ressourcenbereich erreicht dies allein blinde Erkennung oder entfernte Leitplanken.

Wie ein Angreifer von dieser Berechtigung aus vorgeht.

In Pathbreak erkunden

Warum es gefährlich ist

Ein Principal kann cloudtrail:PutEventSelectors auf dem Trail aufrufen, um die Aufzeichnung von Management- oder Datenereignissen zu entfernen. Unauffälliger als StopLogging: Der Trail bleibt aktiviert und wirkt bei einer Konsolenprüfung gesund, aber die Ereignisse, die den Angreifer interessieren, werden nicht mehr erfasst.

In MITRE ATT&CK entspricht dies T1562.008, Impair Defenses: Disable or Modify Cloud Logs, unter der Taktik Defense Evasion. AWS protokolliert dies in CloudTrail als PutEventSelectors. Der Aufruf ist gegenüber normaler Aktivität unauffällig, daher ist er ohne passende Regel leicht zu übersehen.

Erkennung

PutEventSelectors

Voraussetzungen

cloudtrail:PutEventSelectors für den Trail.

MITRE ATT&CK

T1562.008 · Impair Defenses: Disable or Modify Cloud Logs

Taktik

Defense Evasion

Den Pfad unterbrechen

Eine Maßnahme, die ihn beseitigen würde: cloudtrail:PutEventSelectors auf eine Break-Glass-Rolle beschränken; organisationsweit per SCP verweigern und beim Ereignis alarmieren.

Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.

Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.

Fragen

Was erlaubt cloudtrail:PutEventSelectors?

Kann Management-/Datenereignisse aus einem Trail entfernen und ihn dabei aktiviert lassen.

Kann cloudtrail:PutEventSelectors allein Privilegien eskalieren?

Ja. Auf einer ausreichend breiten Ressource gehalten, erreicht sie ohne weitere Berechtigung geblendete Erkennung oder entfernte Schutzmechanismen.

Wie wird das Einschränken von CloudTrail-Event-Selektoren erkannt?

Achten Sie in CloudTrail auf PutEventSelectors. Der Aufruf ist im Vergleich zur normalen Aktivität leise, daher lässt er sich ohne eine entsprechende Regel leicht übersehen.

Wie unterbricht man diesen Pfad?

Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie cloudtrail:PutEventSelectors auf eine Break-Glass-Rolle; verweigern Sie es organisationsweit via SCP und alarmieren Sie bei dem Ereignis. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.

Welche MITRE ATT&CK Technik ist das?

T1562.008, Impair Defenses: Disable or Modify Cloud Logs, unter der Taktik Defense Evasion.

Referenzen

https://attack.mitre.org/techniques/T1562/008/

Finden Sie dies in Ihrem eigenen Konto

Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.

Kostenlosen Scan anfragen Sehen Sie sich das 7-minütige Walkthrough an