English
Español
Français
Deutsch
日本語
한국어
العربيةRestringir los selectores de eventos de CloudTrail
Puede quitar los eventos de administración y de datos de un trail sin deshabilitarlo.
Concede escalada por sí solo.
cloudtrail:PutEventSelectorsPor sí solo, cloudtrail:PutEventSelectors puede quitar eventos de administración y de datos de un trail dejándolo habilitado. Con un alcance de recursos amplio, eso por sí solo llega a detección cegada o barreras de seguridad eliminadas.
Por qué es peligroso
Un principal puede llamar a cloudtrail:PutEventSelectors sobre el trail para eliminar el registro de eventos de administración o de datos. Es más sigiloso que StopLogging: el trail sigue activado y parece sano en una revisión de la consola, pero los eventos que le interesan al atacante ya no se capturan.
En términos de MITRE ATT&CK, esto corresponde a T1562.008, Debilitar las defensas: deshabilitar o modificar registros cloud, bajo la táctica de evasión de defensas. AWS lo registra en CloudTrail como PutEventSelectors. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
Detección
PutEventSelectorsRequisitos previos
cloudtrail:PutEventSelectors sobre el trail.
Táctica
Evasión de defensas
Un control que lo eliminaría: Restringe cloudtrail:PutEventSelectors a un rol break-glass; deniégalo en toda la organización mediante una SCP y genera una alarma ante el evento.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite cloudtrail:PutEventSelectors?
Puede quitar los eventos de administración y de datos de un trail sin deshabilitarlo.
¿Puede cloudtrail:PutEventSelectors escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a una detección cegada o a barreras de seguridad eliminadas sin ningún otro permiso.
¿Cómo se detecta la restricción de los selectores de eventos de CloudTrail?
Vigila PutEventSelectors en CloudTrail. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Restringe cloudtrail:PutEventSelectors a un rol break-glass; deniégalo en toda la organización mediante SCP y genera una alarma ante el evento. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1562.008, Debilitar defensas: deshabilitar o modificar registros cloud, en la táctica de evasión de defensas.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.