AWS - CloudTrail Enum
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
AWS CloudTrail рдЖрдкрдХреЗ AWS рд╡рд╛рддрд╛рд╡рд░рдг рдХреЗ рднреАрддрд░ рдЧрддрд┐рд╡рд┐рдзрд┐рдпреЛрдВ рдХреЛ рд░рд┐рдХреЙрд░реНрдб рдФрд░ рдореЙрдирд┐рдЯрд░ рдХрд░рддрд╛ рд╣реИред рдпрд╣ рд╡рд┐рд╕реНрддреГрдд рдЗрд╡реЗрдВрдЯ рд▓реЙрдЧ рдХреИрдкреНрдЪрд░ рдХрд░рддрд╛ рд╣реИ, рдЬрд┐рд╕рдореЗрдВ рдпрд╣ рд╢рд╛рдорд┐рд▓ рд╣реИ рдХрд┐ рдХрд┐рд╕рдиреЗ рдХреНрдпрд╛ рдХрд┐рдпрд╛, рдХрдм, рдФрд░ рдХрд╣рд╛рдБ, рд╕рднреА AWS рд╕рдВрд╕рд╛рдзрдиреЛрдВ рдХреЗ рд╕рд╛рде рдЗрдВрдЯрд░реИрдХреНрд╢рди рдХреЗ рд▓рд┐рдПред рдпрд╣ рдкрд░рд┐рд╡рд░реНрддрдиреЛрдВ рдФрд░ рдХреНрд░рд┐рдпрд╛рдУрдВ рдХрд╛ рдПрдХ рдСрдбрд┐рдЯ рдЯреНрд░реЗрд▓ рдкреНрд░рджрд╛рди рдХрд░рддрд╛ рд╣реИ, рдЬреЛ рд╕реБрд░рдХреНрд╖рд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг, рдЕрдиреБрдкрд╛рд▓рди рдСрдбрд┐рдЯрд┐рдВрдЧ, рдФрд░ рд╕рдВрд╕рд╛рдзрди рдкрд░рд┐рд╡рд░реНрддрди рдЯреНрд░реИрдХрд┐рдВрдЧ рдореЗрдВ рдорджрдж рдХрд░рддрд╛ рд╣реИред CloudTrail рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдФрд░ рд╕рдВрд╕рд╛рдзрди рд╡реНрдпрд╡рд╣рд╛рд░ рдХреЛ рд╕рдордЭрдиреЗ, рд╕реБрд░рдХреНрд╖рд╛ рд╕реНрдерд┐рддрд┐ рдХреЛ рдмрдврд╝рд╛рдиреЗ, рдФрд░ рдирд┐рдпрд╛рдордХ рдЕрдиреБрдкрд╛рд▓рди рд╕реБрдирд┐рд╢реНрдЪрд┐рдд рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдЖрд╡рд╢реНрдпрдХ рд╣реИред
рдкреНрд░рддреНрдпреЗрдХ рд▓реЙрдЧ рдХреА рдЧрдИ рдШрдЯрдирд╛ рдореЗрдВ рд╢рд╛рдорд┐рд▓ рд╣реИ:
рдХреЙрд▓ рдХреА рдЧрдИ API рдХрд╛ рдирд╛рдо: eventName
рдХреЙрд▓ рдХреА рдЧрдИ рд╕реЗрд╡рд╛: eventSource
рд╕рдордп: eventTime
IP рдкрддрд╛: SourceIPAddress
рдПрдЬреЗрдВрдЯ рд╡рд┐рдзрд┐: userAgent
ред рдЙрджрд╛рд╣рд░рдг:
Signing.amazonaws.com - AWS рдкреНрд░рдмрдВрдзрди рдХрдВрд╕реЛрд▓ рд╕реЗ
console.amazonaws.com - рдЦрд╛рддреЗ рдХрд╛ рд░реВрдЯ рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛
lambda.amazonaws.com - AWS Lambda
рдЕрдиреБрд░реЛрдз рдкреИрд░рд╛рдореАрдЯрд░: requestParameters
рдкреНрд░рддрд┐рдХреНрд░рд┐рдпрд╛ рддрддреНрд╡: responseElements
рдЗрд╡реЗрдВрдЯ рдХреЛ рд▓рдЧрднрдЧ рд╣рд░ 5 рдорд┐рдирдЯ рдореЗрдВ рдПрдХ JSON рдлрд╝рд╛рдЗрд▓ рдореЗрдВ рдПрдХ рдирдП рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓ рдореЗрдВ рд▓рд┐рдЦрд╛ рдЬрд╛рддрд╛ рд╣реИ, рдЗрдиреНрд╣реЗрдВ CloudTrail рджреНрд╡рд╛рд░рд╛ рд░рдЦрд╛ рдЬрд╛рддрд╛ рд╣реИ рдФрд░ рдЕрдВрддрддрдГ, рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓реЗрдВ рд▓рдЧрднрдЧ 15 рдорд┐рдирдЯ рдмрд╛рдж S3 рдореЗрдВ рд╡рд┐рддрд░рд┐рдд рдХреА рдЬрд╛рддреА рд╣реИрдВред CloudTrail рдХреЗ рд▓реЙрдЧ рдХреЛ рдЦрд╛рддреЛрдВ рдФрд░ рдХреНрд╖реЗрддреНрд░реЛрдВ рдХреЗ рдмреАрдЪ рдПрдХрддреНрд░рд┐рдд рдХрд┐рдпрд╛ рдЬрд╛ рд╕рдХрддрд╛ рд╣реИред CloudTrail рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓ рдХреА рдЕрдЦрдВрдбрддрд╛ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддрд╛ рд╣реИ рддрд╛рдХрд┐ рдЖрдк рдпрд╣ рд╕рддреНрдпрд╛рдкрд┐рдд рдХрд░ рд╕рдХреЗрдВ рдХрд┐ рдЖрдкрдХреА рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓реЗрдВ рддрдм рд╕реЗ рдЕрдкрд░рд┐рд╡рд░реНрддрд┐рдд рд╣реИрдВ рдЬрдм рд╕реЗ CloudTrail рдиреЗ рдЙрдиреНрд╣реЗрдВ рдЖрдкрдХреЛ рд╡рд┐рддрд░рд┐рдд рдХрд┐рдпрд╛ред рдпрд╣ рд▓реЙрдЧ рдХреЗ рдЕрдВрджрд░ рдПрдХ рдбрд╛рдЗрдЬреЗрд╕реНрдЯ рдлрд╝рд╛рдЗрд▓ рдореЗрдВ SHA-256 рд╣реИрд╢ рдмрдирд╛рддрд╛ рд╣реИред рдирдП рд▓реЙрдЧ рдХрд╛ sha-256 рд╣реИрд╢ рд╣рд░ рдШрдВрдЯреЗ рдмрдирд╛рдпрд╛ рдЬрд╛рддрд╛ рд╣реИред рдПрдХ рдЯреНрд░реЗрд▓ рдмрдирд╛рддреЗ рд╕рдордп рдЗрд╡реЗрдВрдЯ рдЪрдпрдирдХрд░реНрддрд╛ рдЖрдкрдХреЛ рд▓реЙрдЧ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдЯреНрд░реЗрд▓ рдХреЛ рдЗрдВрдЧрд┐рдд рдХрд░рдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрдВрдЧреЗ: рдкреНрд░рдмрдВрдзрди, рдбреЗрдЯрд╛ рдпрд╛ рдЕрдВрддрд░реНрджреГрд╖реНрдЯрд┐ рдЗрд╡реЗрдВрдЯред
рд▓реЙрдЧ рдПрдХ S3 рдмрдХреЗрдЯ рдореЗрдВ рд╕рд╣реЗрдЬреЗ рдЬрд╛рддреЗ рд╣реИрдВред рдбрд┐рдлрд╝реЙрд▓реНрдЯ рд░реВрдк рд╕реЗ рд╕рд░реНрд╡рд░ рд╕рд╛рдЗрдб рдПрдиреНрдХреНрд░рд┐рдкреНрд╢рди рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ (SSE-S3) рддрд╛рдХрд┐ AWS рдЙрди рд▓реЛрдЧреЛрдВ рдХреЗ рд▓рд┐рдП рд╕рд╛рдордЧреНрд░реА рдХреЛ рдбрд┐рдХреНрд░рд┐рдкреНрдЯ рдХрд░реЗрдЧрд╛ рдЬрд┐рдирдХреЗ рдкрд╛рд╕ рдЗрд╕рдХрд╛ рдПрдХреНрд╕реЗрд╕ рд╣реИ, рд▓реЗрдХрд┐рди рдЕрддрд┐рд░рд┐рдХреНрдд рд╕реБрд░рдХреНрд╖рд╛ рдХреЗ рд▓рд┐рдП рдЖрдк KMS рдФрд░ рдЕрдкрдиреА рд╕реНрд╡рдпрдВ рдХреА рдХреБрдВрдЬрд┐рдпреЛрдВ рдХреЗ рд╕рд╛рде SSE рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░ рд╕рдХрддреЗ рд╣реИрдВред
рд▓реЙрдЧ рдПрдХ S3 рдмрдХреЗрдЯ рдореЗрдВ рдЗрд╕ рдирд╛рдо рдкреНрд░рд╛рд░реВрдк рдХреЗ рд╕рд╛рде рд╕рдВрдЧреНрд░рд╣реАрдд рд╣реЛрддреЗ рд╣реИрдВ:
BucketName/AWSLogs/AccountID/CloudTrail/RegionName/YYY/MM/DD
рдмрдХреЗрдЯ рдХрд╛ рдирд╛рдо: aws-cloudtrail-logs-<accountid>-<random>
рдЙрджрд╛рд╣рд░рдг: aws-cloudtrail-logs-947247140022-ffb95fe7/AWSLogs/947247140022/CloudTrail/ap-south-1/2023/02/22/
рдкреНрд░рддреНрдпреЗрдХ рдлрд╝реЛрд▓реНрдбрд░ рдХреЗ рдЕрдВрджрд░ рдкреНрд░рддреНрдпреЗрдХ рд▓реЙрдЧ рдХрд╛ рдирд╛рдо рдЗрд╕ рдкреНрд░рд╛рд░реВрдк рдХрд╛ рдкрд╛рд▓рди рдХрд░реЗрдЧрд╛: AccountID_CloudTrail_RegionName_YYYYMMDDTHHMMZ_Random.json.gz
рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓ рдирд╛рдордХрд░рдг рд╕рдореНрдореЗрд▓рди
рдЗрд╕рдХреЗ рдЕрд▓рд╛рд╡рд╛, рдбрд╛рдЗрдЬреЗрд╕реНрдЯ рдлрд╝рд╛рдЗрд▓реЗрдВ (рдлрд╝рд╛рдЗрд▓ рдХреА рдЕрдЦрдВрдбрддрд╛ рдХреА рдЬрд╛рдВрдЪ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП) рд╕рдорд╛рди рдмрдХреЗрдЯ рдореЗрдВ рд╣реЛрдВрдЧреА:
рдЙрд╕ AWS рдЦрд╛рддреЗ рдореЗрдВ рдПрдХ рдЯреНрд░реЗрд▓ рдмрдирд╛рдПрдВ рдЬрд╣рд╛рдБ рдЖрдк рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓реЗрдВ рд╡рд┐рддрд░рд┐рдд рдХрд░рдирд╛ рдЪрд╛рд╣рддреЗ рд╣реИрдВ
рдЧрдВрддрд╡реНрдп S3 рдмрдХреЗрдЯ рдкрд░ рдЕрдиреБрдорддрд┐рдпрд╛рдБ рд▓рд╛рдЧреВ рдХрд░реЗрдВ рдЬреЛ CloudTrail рдХреЗ рд▓рд┐рдП рдХреНрд░реЙрд╕-рдЦрд╛рддрд╛ рдПрдХреНрд╕реЗрд╕ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддреА рд╣реИрдВ рдФрд░ рдкреНрд░рддреНрдпреЗрдХ AWS рдЦрд╛рддреЗ рдХреЛ рдЕрдиреБрдорддрд┐ рджреЗрдВ рдЬрд┐рд╕реЗ рдПрдХреНрд╕реЗрд╕ рдХреА рдЖрд╡рд╢реНрдпрдХрддрд╛ рд╣реИ
рдЕрдиреНрдп AWS рдЦрд╛рддреЛрдВ рдореЗрдВ рдПрдХ рдирдпрд╛ рдЯреНрд░реЗрд▓ рдмрдирд╛рдПрдВ рдФрд░ рдЪрд░рдг 1 рдореЗрдВ рдмрдирд╛рдП рдЧрдП рдмрдХреЗрдЯ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рдиреЗ рдХрд╛ рдЪрдпрди рдХрд░реЗрдВ
рд╣рд╛рд▓рд╛рдВрдХрд┐, рднрд▓реЗ рд╣реА рдЖрдк рд╕рднреА рд▓реЙрдЧ рдХреЛ рдПрдХ рд╣реА S3 рдмрдХреЗрдЯ рдореЗрдВ рд╕рд╣реЗрдЬ рд╕рдХрддреЗ рд╣реИрдВ, рдЖрдк рдПрдХ рд╣реА AWS рдЦрд╛рддреЗ рд╕реЗ рд╕рдВрдмрдВрдзрд┐рдд CloudWatch рд▓реЙрдЧ рдореЗрдВ рдХрдИ рдЦрд╛рддреЛрдВ рд╕реЗ CloudTrail рд▓реЙрдЧ рдХреЛ рдПрдХрддреНрд░рд┐рдд рдирд╣реАрдВ рдХрд░ рд╕рдХрддреЗред
рдпрд╛рдж рд░рдЦреЗрдВ рдХрд┐ рдПрдХ рдЦрд╛рддреЗ рдореЗрдВ рд╡рд┐рднрд┐рдиреНрди рдЯреНрд░реЗрд▓реНрд╕ рд╣реЛ рд╕рдХрддреЗ рд╣реИрдВ рдЬреЛ CloudTrail рд╕рдХреНрд╖рдо рд╣реИрдВ рдЬреЛ рд╡рд┐рднрд┐рдиреНрди рдмрдХреЗрдЯ рдореЗрдВ рд╕рдорд╛рди (рдпрд╛ рд╡рд┐рднрд┐рдиреНрди) рд▓реЙрдЧ рдХреЛ рд╕рдВрдЧреНрд░рд╣реАрдд рдХрд░рддреЗ рд╣реИрдВред
рдЬрдм рдПрдХ CloudTrail рдмрдирд╛рддреЗ рд╣реИрдВ, рддреЛ рдпрд╣ рд╕рдВрднрд╡ рд╣реИ рдХрд┐ рд╕рднреА рдЦрд╛рддреЛрдВ рдХреЗ рд▓рд┐рдП CloudTrail рдХреЛ рд╕рдХреНрд░рд┐рдп рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рд╕рдВрдХреЗрдд рджрд┐рдпрд╛ рдЬрд╛рдП рдФрд░ рд▓реЙрдЧ рдХреЛ рдХреЗрд╡рд▓ 1 рдмрдХреЗрдЯ рдореЗрдВ рдкреНрд░рд╛рдкреНрдд рдХрд┐рдпрд╛ рдЬрд╛рдП:
рдЗрд╕ рддрд░рд╣ рдЖрдк рд╕рднреА рдЦрд╛рддреЛрдВ рдХреЗ рд╕рднреА рдХреНрд╖реЗрддреНрд░реЛрдВ рдореЗрдВ CloudTrail рдХреЛ рдЖрд╕рд╛рдиреА рд╕реЗ рдХреЙрдиреНрдлрд╝рд┐рдЧрд░ рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ рдФрд░ 1 рдЦрд╛рддреЗ рдореЗрдВ рд▓реЙрдЧ рдХреЛ рдХреЗрдВрджреНрд░реАрдХреГрдд рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ (рдЬрд┐рд╕реЗ рдЖрдкрдХреЛ рд╕реБрд░рдХреНрд╖рд┐рдд рдХрд░рдирд╛ рдЪрд╛рд╣рд┐рдП)ред
рдЖрдк рдпрд╣ рдЬрд╛рдВрдЪ рд╕рдХрддреЗ рд╣реИрдВ рдХрд┐ рд▓реЙрдЧ рдореЗрдВ рдХреЛрдИ рдкрд░рд┐рд╡рд░реНрддрди рдирд╣реАрдВ рд╣реБрдЖ рд╣реИ, рдЪрд▓рд╛рдХрд░
CloudTrail рд╕реНрд╡рдЪрд╛рд▓рд┐рдд рд░реВрдк рд╕реЗ CloudWatch рдХреЛ рд▓реЙрдЧ рднреЗрдЬ рд╕рдХрддрд╛ рд╣реИ рддрд╛рдХрд┐ рдЖрдк рд╕рдВрджрд┐рдЧреНрдз рдЧрддрд┐рд╡рд┐рдзрд┐рдпреЛрдВ рдХреЗ рдкреНрд░рджрд░реНрд╢рди рдкрд░ рдЪреЗрддрд╛рд╡рдиреА рджреЗрдиреЗ рд╡рд╛рд▓реЗ рдЕрд▓рд░реНрдЯ рд╕реЗрдЯ рдХрд░ рд╕рдХреЗрдВред рдзреНрдпрд╛рди рджреЗрдВ рдХрд┐ CloudTrail рдХреЛ CloudWatch рдХреЛ рд▓реЙрдЧ рднреЗрдЬрдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрдиреЗ рдХреЗ рд▓рд┐рдП рдПрдХ рднреВрдорд┐рдХрд╛ рдмрдирд╛рдИ рдЬрд╛рдиреА рдЪрд╛рд╣рд┐рдП рдЬреЛ рдЙрд╕ рдХреНрд░рд┐рдпрд╛ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддреА рд╣реИред рдпрджрд┐ рд╕рдВрднрд╡ рд╣реЛ, рддреЛ рдЗрди рдХреНрд░рд┐рдпрд╛рдУрдВ рдХреЛ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП AWS рдбрд┐рдлрд╝реЙрд▓реНрдЯ рднреВрдорд┐рдХрд╛ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рдиреЗ рдХреА рд╕рд┐рдлрд╛рд░рд┐рд╢ рдХреА рдЬрд╛рддреА рд╣реИред рдпрд╣ рднреВрдорд┐рдХрд╛ CloudTrail рдХреЛ рдЕрдиреБрдорддрд┐ рджреЗрдЧреА:
CreateLogStream: рдпрд╣ CloudWatch рд▓реЙрдЧ рд╕реНрдЯреНрд░реАрдо рдмрдирд╛рдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддрд╛ рд╣реИ
PutLogEvents: CloudTrail рд▓реЙрдЧ рдХреЛ CloudWatch рд▓реЙрдЧ рд╕реНрдЯреНрд░реАрдо рдореЗрдВ рд╡рд┐рддрд░рд┐рдд рдХрд░реЗрдВ
CloudTrail Event History рдЖрдкрдХреЛ рдПрдХ рддрд╛рд▓рд┐рдХрд╛ рдореЗрдВ рд░рд┐рдХреЙрд░реНрдб рдХрд┐рдП рдЧрдП рд▓реЙрдЧ рдХреА рдЬрд╛рдВрдЪ рдХрд░рдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддрд╛ рд╣реИ:
CloudTrail Insights рд╕реНрд╡рдЪрд╛рд▓рд┐рдд рд░реВрдк рд╕реЗ рд▓рд┐рдЦрд┐рдд рдкреНрд░рдмрдВрдзрди рдШрдЯрдирд╛рдУрдВ рдХрд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХрд░рддрд╛ рд╣реИ рдФрд░ рдЖрдкрдХреЛ рдЕрд╕рд╛рдорд╛рдиреНрдп рдЧрддрд┐рд╡рд┐рдзрд┐ рдХреЗ рдмрд╛рд░реЗ рдореЗрдВ рдЪреЗрддрд╛рд╡рдиреА рджреЗрддрд╛ рд╣реИред рдЙрджрд╛рд╣рд░рдг рдХреЗ рд▓рд┐рдП, рдпрджрд┐ TerminateInstance
рдШрдЯрдирд╛рдУрдВ рдореЗрдВ рд╡реГрджреНрдзрд┐ рд╣реЛрддреА рд╣реИ рдЬреЛ рд╕реНрдерд╛рдкрд┐рдд рдмреБрдирд┐рдпрд╛рджреА рд░реЗрдЦрд╛рдУрдВ рд╕реЗ рднрд┐рдиреНрди рд╣реЛрддреА рд╣реИ, рддреЛ рдЖрдк рдЗрд╕реЗ рдПрдХ Insight рдШрдЯрдирд╛ рдХреЗ рд░реВрдк рдореЗрдВ рджреЗрдЦреЗрдВрдЧреЗред рдпреЗ рдШрдЯрдирд╛рдПрдБ рдЕрд╕рд╛рдорд╛рдиреНрдп API рдЧрддрд┐рд╡рд┐рдзрд┐ рдХреЛ рдвреВрдВрдврдирд╛ рдФрд░ рдкреНрд░рддрд┐рдХреНрд░рд┐рдпрд╛ рджреЗрдирд╛ рдкрд╣рд▓реЗ рд╕реЗ рдХрд╣реАрдВ рдЕрдзрд┐рдХ рдЖрд╕рд╛рди рдмрдирд╛рддреА рд╣реИрдВред
Insights рдЙрд╕реА рдмрдХреЗрдЯ рдореЗрдВ CloudTrail рд▓реЙрдЧ рдХреЗ рд░реВрдк рдореЗрдВ рд╕рдВрдЧреНрд░рд╣реАрдд рд╣реЛрддреЗ рд╣реИрдВ: BucketName/AWSLogs/AccountID/CloudTrail-Insight
CloudTrail Log File Integrity |
|
Stop unauthorized access |
|
Prevent log files from being deleted |
|
AWS Access Advisor рдЕрдкрдиреЗ рдЕрдВрддрд░реНрджреГрд╖реНрдЯрд┐ рдХреЛ рдПрдХрддреНрд░ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдкрд┐рдЫрд▓реЗ 400 рджрд┐рдиреЛрдВ рдХреЗ AWS CloudTrail рд▓реЙрдЧ рдкрд░ рдирд┐рд░реНрднрд░ рдХрд░рддрд╛ рд╣реИред CloudTrail AWS рдЦрд╛рддреЗ рдореЗрдВ рдХрд┐рдП рдЧрдП AWS API рдХреЙрд▓ рдФрд░ рд╕рдВрдмрдВрдзрд┐рдд рдШрдЯрдирд╛рдУрдВ рдХрд╛ рдЗрддрд┐рд╣рд╛рд╕ рдХреИрдкреНрдЪрд░ рдХрд░рддрд╛ рд╣реИред Access Advisor рдЗрд╕ рдбреЗрдЯрд╛ рдХрд╛ рдЙрдкрдпреЛрдЧ рдпрд╣ рджрд┐рдЦрд╛рдиреЗ рдХреЗ рд▓рд┐рдП рдХрд░рддрд╛ рд╣реИ рдХрд┐ рд╕реЗрд╡рд╛рдУрдВ рдХреЛ рдЕрдВрддрд┐рдо рдмрд╛рд░ рдХрдм рдПрдХреНрд╕реЗрд╕ рдХрд┐рдпрд╛ рдЧрдпрд╛ рдерд╛ред CloudTrail рд▓реЙрдЧ рдХрд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХрд░рдХреЗ, Access Advisor рдпрд╣ рдирд┐рд░реНрдзрд╛рд░рд┐рдд рдХрд░ рд╕рдХрддрд╛ рд╣реИ рдХрд┐ рдХрд┐рд╕реА IAM рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдпрд╛ рднреВрдорд┐рдХрд╛ рдиреЗ рдХреМрди рд╕реА AWS рд╕реЗрд╡рд╛рдУрдВ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд┐рдпрд╛ рд╣реИ рдФрд░ рд╡рд╣ рдПрдХреНрд╕реЗрд╕ рдХрдм рд╣реБрдЖред рдпрд╣ AWS рдкреНрд░рд╢рд╛рд╕рдХреЛрдВ рдХреЛ рдЕрдиреБрдорддрд┐рдпреЛрдВ рдХреЛ рдкрд░рд┐рд╖реНрдХреГрдд рдХрд░рдиреЗ рдХреЗ рдмрд╛рд░реЗ рдореЗрдВ рд╕реВрдЪрд┐рдд рдирд┐рд░реНрдгрдп рд▓реЗрдиреЗ рдореЗрдВ рдорджрдж рдХрд░рддрд╛ рд╣реИ, рдХреНрдпреЛрдВрдХрд┐ рд╡реЗ рдЙрди рд╕реЗрд╡рд╛рдУрдВ рдХреА рдкрд╣рдЪрд╛рди рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ рдЬрд┐рдиреНрд╣реЗрдВ рд▓рдВрдмреЗ рд╕рдордп рддрдХ рдПрдХреНрд╕реЗрд╕ рдирд╣реАрдВ рдХрд┐рдпрд╛ рдЧрдпрд╛ рд╣реИ рдФрд░ рд╕рдВрднрд╛рд╡рд┐рдд рд░реВрдк рд╕реЗ рд╡рд╛рд╕реНрддрд╡рд┐рдХ рдЙрдкрдпреЛрдЧ рдкреИрдЯрд░реНрди рдХреЗ рдЖрдзрд╛рд░ рдкрд░ рдЕрддреНрдпрдзрд┐рдХ рд╡реНрдпрд╛рдкрдХ рдЕрдиреБрдорддрд┐рдпреЛрдВ рдХреЛ рдХрдо рдХрд░ рд╕рдХрддреЗ рд╣реИрдВред
рдЗрд╕рд▓рд┐рдП, Access Advisor рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛рдУрдВ рдХреЛ рджреА рдЬрд╛ рд░рд╣реА рдЕрдирд╛рд╡рд╢реНрдпрдХ рдЕрдиреБрдорддрд┐рдпреЛрдВ рдХреЗ рдмрд╛рд░реЗ рдореЗрдВ рд╕реВрдЪрд┐рдд рдХрд░рддрд╛ рд╣реИ рддрд╛рдХрд┐ рд╡реНрдпрд╡рд╕реНрдерд╛рдкрдХ рдЙрдиреНрд╣реЗрдВ рд╣рдЯрд╛ рд╕рдХреЗ
CloudTrail рдХреЗ рдЕрдВрджрд░ рдПрдХ CVS рдЗрдВрдЬреЗрдХреНрд╢рди рдХрд░рдирд╛ рд╕рдВрднрд╡ рд╣реИ рдЬреЛ рдордирдорд╛рдирд╛ рдХреЛрдб рдирд┐рд╖реНрдкрд╛рджрд┐рдд рдХрд░реЗрдЧрд╛ рдпрджрд┐ рд▓реЙрдЧ CSV рдореЗрдВ рдирд┐рд░реНрдпрд╛рдд рдХрд┐рдП рдЬрд╛рддреЗ рд╣реИрдВ рдФрд░ Excel рдХреЗ рд╕рд╛рде рдЦреЛрд▓реЗ рдЬрд╛рддреЗ рд╣реИрдВред рдирд┐рдореНрдирд▓рд┐рдЦрд┐рдд рдХреЛрдб рдПрдХ рдЦрд░рд╛рдм рдЯреНрд░реЗрд▓ рдирд╛рдо рдХреЗ рд╕рд╛рде рд▓реЙрдЧ рдкреНрд░рд╡рд┐рд╖реНрдЯрд┐ рдЙрддреНрдкрдиреНрди рдХрд░реЗрдЧрд╛ рдЬрд┐рд╕рдореЗрдВ рдкреЗрд▓реЛрдб рд╢рд╛рдорд┐рд▓ рд╣реИ:
For more information about CSV Injections check the page:
For more information about this specific technique check https://rhinosecuritylabs.com/aws/cloud-security-csv-injection-aws-cloudtrail/
Honeytokens рдХреЛ рд╕рдВрд╡реЗрджрдирд╢реАрд▓ рдЬрд╛рдирдХрд╛рд░реА рдХреЗ рдПрдХреНрд╕рдлрд┐рд▓реНрдЯреНрд░реЗрд╢рди рдХрд╛ рдкрддрд╛ рд▓рдЧрд╛рдиреЗ рдХреЗ рд▓рд┐рдП рдмрдирд╛рдпрд╛ рдЧрдпрд╛ рд╣реИред AWS рдХреЗ рдорд╛рдорд▓реЗ рдореЗрдВ, рдпреЗ AWS рдХреБрдВрдЬреА рд╣реИрдВ рдЬрд┐рдирдХрд╛ рдЙрдкрдпреЛрдЧ рдореЙрдирд┐рдЯрд░ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ, рдпрджрд┐ рдЙрд╕ рдХреБрдВрдЬреА рдХреЗ рд╕рд╛рде рдХреЛрдИ рдХрд╛рд░реНрд░рд╡рд╛рдИ рд╣реЛрддреА рд╣реИ, рддреЛ рдЗрд╕рдХрд╛ рдорддрд▓рдм рд╣реИ рдХрд┐ рдХрд┐рд╕реА рдиреЗ рд╡рд╣ рдХреБрдВрдЬреА рдЪреБрд░рд╛ рд▓реА рд╣реИред
рд╣рд╛рд▓рд╛рдВрдХрд┐, Canarytokens, SpaceCrab, SpaceSiren рджреНрд╡рд╛рд░рд╛ рдмрдирд╛рдП рдЧрдП Honeytokens рдпрд╛ рддреЛ рдкрд╣рдЪрд╛рдирдиреЗ рдпреЛрдЧреНрдп рдЦрд╛рддрд╛ рдирд╛рдо рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░ рд░рд╣реЗ рд╣реИрдВ рдпрд╛ рдЕрдкрдиреЗ рд╕рднреА рдЧреНрд░рд╛рд╣рдХреЛрдВ рдХреЗ рд▓рд┐рдП рдПрдХ рд╣реА AWS рдЦрд╛рддрд╛ рдЖрдИрдбреА рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░ рд░рд╣реЗ рд╣реИрдВред рдЗрд╕рд▓рд┐рдП, рдпрджрд┐ рдЖрдк рдЦрд╛рддрд╛ рдирд╛рдо рдФрд░/рдпрд╛ рдЦрд╛рддрд╛ рдЖрдИрдбреА рдХреЛ рдмрд┐рдирд╛ Cloudtrail рдХреЗ рдХреЛрдИ рд▓реЙрдЧ рдмрдирд╛рдП рдкреНрд░рд╛рдкреНрдд рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ, рддреЛ рдЖрдк рдЬрд╛рди рд╕рдХрддреЗ рд╣реИрдВ рдХрд┐ рдХреБрдВрдЬреА рдПрдХ Honeytoken рд╣реИ рдпрд╛ рдирд╣реАрдВред
Pacu рдХреЗ рдкрд╛рд╕ рдХреБрдЫ рдирд┐рдпрдо рд╣реИрдВ рдпрд╣ рдкрддрд╛ рд▓рдЧрд╛рдиреЗ рдХреЗ рд▓рд┐рдП рдХрд┐ рдХреНрдпрд╛ рдПрдХ рдХреБрдВрдЬреА Canarytokens, SpaceCrab, SpaceSiren** рд╕реЗ рд╕рдВрдмрдВрдзрд┐рдд рд╣реИ:**
рдпрджрд┐ canarytokens.org
рднреВрдорд┐рдХрд╛ рдирд╛рдо рдореЗрдВ рджрд┐рдЦрд╛рдИ рджреЗрддрд╛ рд╣реИ рдпрд╛ рдЦрд╛рддрд╛ рдЖрдИрдбреА 534261010715
рддреНрд░реБрдЯрд┐ рд╕рдВрджреЗрд╢ рдореЗрдВ рджрд┐рдЦрд╛рдИ рджреЗрддреА рд╣реИред
рд╣рд╛рд▓ рд╣реА рдореЗрдВ рдЙрдирдХрд╛ рдкрд░реАрдХреНрд╖рдг рдХрд░рддреЗ рд╕рдордп, рд╡реЗ рдЦрд╛рддрд╛ 717712589309
рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░ рд░рд╣реЗ рд╣реИрдВ рдФрд░ рдирд╛рдо рдореЗрдВ рдЕрднреА рднреА canarytokens.com
рд╕реНрдЯреНрд░рд┐рдВрдЧ рд╣реИред
рдпрджрд┐ SpaceCrab
рддреНрд░реБрдЯрд┐ рд╕рдВрджреЗрд╢ рдореЗрдВ рднреВрдорд┐рдХрд╛ рдирд╛рдо рдореЗрдВ рджрд┐рдЦрд╛рдИ рджреЗрддрд╛ рд╣реИ
SpaceSiren рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдирд╛рдо рдЙрддреНрдкрдиреНрди рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП uuids рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рддрд╛ рд╣реИ: [a-f0-9]{8}-[a-f0-9]{4}-4[a-f0-9]{3}-[89aAbB][a-f0-9]{3}-[a-f0-9]{12}
рдпрджрд┐ рдирд╛рдо рдпрд╛рджреГрдЪреНрдЫрд┐рдХ рд░реВрдк рд╕реЗ рдЙрддреНрдкрдиреНрди рд╣реЛрддрд╛ рд╣реИ, рддреЛ рдпрд╣ рдПрдХ HoneyToken рд╣реЛрдиреЗ рдХреА рдЙрдЪреНрдЪ рд╕рдВрднрд╛рд╡рдирд╛рдПрдБ рд╣реИрдВред
рдЖрдк рдПрдХреНрд╕реЗрд╕ рдХреБрдВрдЬреА рдХреЗ рдЕрдВрджрд░ рдХреЛрдбрд┐рдд рд╕реЗ рдЦрд╛рддрд╛ рдЖрдИрдбреА рдкреНрд░рд╛рдкреНрдд рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ рдЬреИрд╕реЗ рдХрд┐ рдпрд╣рд╛рдВ рд╕рдордЭрд╛рдпрд╛ рдЧрдпрд╛ рд╣реИ рдФрд░ рдЕрдкрдиреЗ Honeytokens AWS рдЦрд╛рддреЛрдВ рдХреА рд╕реВрдЪреА рдХреЗ рд╕рд╛рде рдЦрд╛рддрд╛ рдЖрдИрдбреА рдХреА рдЬрд╛рдВрдЪ рдХрд░реЗрдВ:
Check more information in the orginal research.
рдЗрд╕рдХреЗ рд▓рд┐рдП рд╕рдмрд╕реЗ рдкреНрд░рднрд╛рд╡реА рддрдХрдиреАрдХ рд╡рд╛рд╕реНрддрд╡ рдореЗрдВ рдПрдХ рд╕рд░рд▓ рд╣реИред рдмрд╕ рдЙрд╕ рдХреБрдВрдЬреА рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░реЗрдВ рдЬрд┐рд╕реЗ рдЖрдкрдиреЗ рдЕрднреА рдкрд╛рдпрд╛ рд╣реИ рддрд╛рдХрд┐ рдЕрдкрдиреЗ рд╣рдорд▓рд╛рд╡рд░ рдЦрд╛рддреЗ рдХреЗ рдЕрдВрджрд░ рдХрд┐рд╕реА рд╕реЗрд╡рд╛ рддрдХ рдкрд╣реБрдВрдЪ рд╕рдХреЗрдВред рдЗрд╕рд╕реЗ CloudTrail рдЖрдкрдХреЗ рдЕрдкрдиреЗ AWS рдЦрд╛рддреЗ рдХреЗ рдЕрдВрджрд░ рдПрдХ рд▓реЙрдЧ рдЙрддреНрдкрдиреНрди рдХрд░реЗрдЧрд╛ рдФрд░ рдкреАрдбрд╝рд┐рдд рдХреЗ рдЕрдВрджрд░ рдирд╣реАрдВред
рдмрд╛рдд рдпрд╣ рд╣реИ рдХрд┐ рдЖрдЙрдЯрдкреБрдЯ рдЖрдкрдХреЛ рдПрдХ рддреНрд░реБрдЯрд┐ рджрд┐рдЦрд╛рдПрдЧрд╛ рдЬреЛ рдЦрд╛рддрд╛ рдЖрдИрдбреА рдФрд░ рдЦрд╛рддрд╛ рдирд╛рдо рдХреЛ рдЗрдВрдЧрд┐рдд рдХрд░рддрд╛ рд╣реИ, рдЗрд╕рд▓рд┐рдП рдЖрдк рджреЗрдЦ рдкрд╛рдПрдВрдЧреЗ рдХрд┐ рдХреНрдпрд╛ рдпрд╣ рдПрдХ Honeytoken рд╣реИред
рдЕрддреАрдд рдореЗрдВ рдХреБрдЫ AWS рд╕реЗрд╡рд╛рдПрдБ рдереАрдВ рдЬреЛ CloudTrail рдХреЛ рд▓реЙрдЧ рдирд╣реАрдВ рднреЗрдЬрддреА рдереАрдВ (рдпрд╣рд╛рдВ рд╕реВрдЪреА рдЦреЛрдЬреЗрдВ). рдЙрди рд╕реЗрд╡рд╛рдУрдВ рдореЗрдВ рд╕реЗ рдХреБрдЫ рддреНрд░реБрдЯрд┐ рдХреЗ рд╕рд╛рде рдХреБрдВрдЬреА рднреВрдорд┐рдХрд╛ рдХрд╛ ARN рдкреНрд░рджрд╛рди рдХрд░реЗрдВрдЧреА рдпрджрд┐ рдХреЛрдИ рдЕрдирдзрд┐рдХреГрдд (рд╣рдиреАрдЯреЛрдХрди рдХреБрдВрдЬреА) рдЗрд╕реЗ рдПрдХреНрд╕реЗрд╕ рдХрд░рдиреЗ рдХреА рдХреЛрд╢рд┐рд╢ рдХрд░рддрд╛ рд╣реИред
рдЗрд╕ рддрд░рд╣, рдПрдХ рд╣рдорд▓рд╛рд╡рд░ рдмрд┐рдирд╛ рдХрд┐рд╕реА рд▓реЙрдЧ рдХреЛ рдЯреНрд░рд┐рдЧрд░ рдХрд┐рдП рдХреБрдВрдЬреА рдХрд╛ ARN рдкреНрд░рд╛рдкреНрдд рдХрд░ рд╕рдХрддрд╛ рд╣реИред ARN рдореЗрдВ рд╣рдорд▓рд╛рд╡рд░ AWS рдЦрд╛рддрд╛ рдЖрдИрдбреА рдФрд░ рдирд╛рдо рджреЗрдЦ рд╕рдХрддрд╛ рд╣реИ, рд╣рдиреАрдЯреЛрдХрди рдХреА рдХрдВрдкрдирд┐рдпреЛрдВ рдХреЗ рдЦрд╛рддреЗ рдХреА рдЖрдИрдбреА рдФрд░ рдирд╛рдо рдЬрд╛рдирдирд╛ рдЖрд╕рд╛рди рд╣реИ, рдЗрд╕рд▓рд┐рдП рдЗрд╕ рддрд░рд╣ рдПрдХ рд╣рдорд▓рд╛рд╡рд░ рдпрд╣ рдкрд╣рдЪрд╛рди рд╕рдХрддрд╛ рд╣реИ рдХрд┐ рдХреНрдпрд╛ рдЯреЛрдХрди рдПрдХ HoneyToken рд╣реИред
рдзреНрдпрд╛рди рджреЗрдВ рдХрд┐ рд╕рднреА рд╕рд╛рд░реНрд╡рдЬрдирд┐рдХ APIs рдЬреЛ CloudTrail рд▓реЙрдЧ рдЙрддреНрдкрдиреНрди рдирд╣реАрдВ рдХрд░ рд░рд╣реА рдереАрдВ, рдЕрдм рдареАрдХ рдХрд░ рджреА рдЧрдИ рд╣реИрдВ, рдЗрд╕рд▓рд┐рдП рд╢рд╛рдпрдж рдЖрдкрдХреЛ рдЕрдкрдиреА рдЦреБрдж рдХреА рдЦреЛрдЬ рдХрд░рдиреА рд╣реЛрдЧреА...
рдЕрдзрд┐рдХ рдЬрд╛рдирдХрд╛рд░реА рдХреЗ рд▓рд┐рдП рдореВрд▓ рд╢реЛрдз рджреЗрдЦреЗрдВред
рдХреБрдЫ AWS рд╕реЗрд╡рд╛рдПрдБ рдХреБрдЫ рдЕрд╡рд╕рдВрд░рдЪрдирд╛ рдЙрддреНрдкрдиреНрди рдХрд░реЗрдВрдЧреА рдЬреИрд╕реЗ рдбреЗрдЯрд╛рдмреЗрд╕ рдпрд╛ рдХреБрдмреЗрд░рдиреЗрдЯреНрд╕ рдХреНрд▓рд╕реНрдЯрд░ (EKS)ред рдПрдХ рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рд╕реАрдзреЗ рдЙрди рд╕реЗрд╡рд╛рдУрдВ рд╕реЗ рдмрд╛рдд рдХрд░ рд░рд╣рд╛ рд╣реИ (рдЬреИрд╕реЗ рдХреБрдмреЗрд░рдиреЗрдЯреНрд╕ API) AWS API рдХрд╛ рдЙрдкрдпреЛрдЧ рдирд╣реАрдВ рдХрд░реЗрдЧрд╛, рдЗрд╕рд▓рд┐рдП CloudTrail рдЗрд╕ рд╕рдВрдЪрд╛рд░ рдХреЛ рдирд╣реАрдВ рджреЗрдЦ рдкрд╛рдПрдЧрд╛ред
рдЗрд╕рд▓рд┐рдП, EKS рддрдХ рдкрд╣реБрдБрдЪ рд░рдЦрдиреЗ рд╡рд╛рд▓рд╛ рдПрдХ рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдЬрд┐рд╕рдиреЗ EKS API рдХрд╛ URL рдЦреЛрдЬрд╛ рд╣реИ, рд╡рд╣ рд╕реНрдерд╛рдиреАрдп рд░реВрдк рд╕реЗ рдПрдХ рдЯреЛрдХрди рдЙрддреНрдкрдиреНрди рдХрд░ рд╕рдХрддрд╛ рд╣реИ рдФрд░ API рд╕реЗрд╡рд╛ рд╕реЗ рд╕реАрдзреЗ рдмрд╛рдд рдХрд░ рд╕рдХрддрд╛ рд╣реИ рдмрд┐рдирд╛ Cloudtrail рджреНрд╡рд╛рд░рд╛ рдкрддрд╛ рд▓рдЧрд╛рдПред
рдЕрдзрд┐рдХ рдЬрд╛рдирдХрд╛рд░реА рдХреЗ рд▓рд┐рдП:
AWS - EKS Post Exploitationрдкрд╣рд▓реЗ рдЙрджрд╛рд╣рд░рдг рдореЗрдВ, рдПрдХрд▓ рдЗрд╡реЗрдВрдЯ рдЪрдпрдирдХрд░реНрддрд╛ рдХреЛ рдПрдХ JSON рдПрд░реЗ рдХреЗ рд░реВрдк рдореЗрдВ рдПрдХрд▓ рдСрдмреНрдЬреЗрдХреНрдЯ рдХреЗ рд╕рд╛рде рдкреНрд░рджрд╛рди рдХрд┐рдпрд╛ рдЧрдпрд╛ рд╣реИред "ReadWriteType": "ReadOnly"
рдпрд╣ рд╕рдВрдХреЗрдд рдХрд░рддрд╛ рд╣реИ рдХрд┐ рдЗрд╡реЗрдВрдЯ рдЪрдпрдирдХрд░реНрддрд╛ рдХреЛ рдХреЗрд╡рд▓ рдкрдврд╝рдиреЗ рдХреЗ рд▓рд┐рдП рдЗрд╡реЗрдВрдЯ рдХреИрдкреНрдЪрд░ рдХрд░рдирд╛ рдЪрд╛рд╣рд┐рдП (рдЗрд╕рд▓рд┐рдП CloudTrail рдЕрдВрддрд░реНрджреГрд╖реНрдЯрд┐ рд▓рд┐рдЦрдиреЗ рдХреЗ рдЗрд╡реЗрдВрдЯ рдХреА рдЬрд╛рдВрдЪ рдирд╣реАрдВ рдХрд░реЗрдЧреА, рдЙрджрд╛рд╣рд░рдг рдХреЗ рд▓рд┐рдП)ред
рдЖрдк рдЕрдкрдиреЗ рд╡рд┐рд╢рд┐рд╖реНрдЯ рдЖрд╡рд╢реНрдпрдХрддрд╛рдУрдВ рдХреЗ рдЖрдзрд╛рд░ рдкрд░ рдЗрд╡реЗрдВрдЯ рдЪрдпрдирдХрд░реНрддрд╛ рдХреЛ рдЕрдиреБрдХреВрд▓рд┐рдд рдХрд░ рд╕рдХрддреЗ рд╣реИрдВред
S3 рдмрдХреЗрдЯ рдХреЛ рд╣рдЯрд╛рдПрдБ
рдмрдХреЗрдЯ рдиреАрддрд┐ рдХреЛ рдмрджрд▓реЗрдВ рддрд╛рдХрд┐ CloudTrail рд╕реЗрд╡рд╛ рд╕реЗ рдХрд┐рд╕реА рднреА рд▓реЗрдЦрди рдХреЛ рдЕрд╕реНрд╡реАрдХрд╛рд░ рдХрд┐рдпрд╛ рдЬрд╛ рд╕рдХреЗ
S3 рдмрдХреЗрдЯ рдореЗрдВ рдЬреАрд╡рдирдЪрдХреНрд░ рдиреАрддрд┐ рдЬреЛрдбрд╝реЗрдВ рддрд╛рдХрд┐ рд╡рд╕реНрддреБрдУрдВ рдХреЛ рд╣рдЯрд╛рдпрд╛ рдЬрд╛ рд╕рдХреЗ
CloudTrail рд▓реЙрдЧ рдХреЛ рдПрдиреНрдХреНрд░рд┐рдкреНрдЯ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдЙрдкрдпреЛрдЧ рдХрд┐рдП рдЧрдП kms рдХреБрдВрдЬреА рдХреЛ рдирд┐рд╖реНрдХреНрд░рд┐рдп рдХрд░реЗрдВ
рдЖрдк рдПрдХ рд╡рд┐рд╖рдо рдХреБрдВрдЬреА рдЙрддреНрдкрдиреНрди рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ рдФрд░ CloudTrail рдХреЛ рдЙрд╕ рдХреБрдВрдЬреА рдХреЗ рд╕рд╛рде рдбреЗрдЯрд╛ рдПрдиреНрдХреНрд░рд┐рдкреНрдЯ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдХрд╣ рд╕рдХрддреЗ рд╣реИрдВ рдФрд░ рдирд┐рдЬреА рдХреБрдВрдЬреА рдХреЛ рд╣рдЯрд╛ рд╕рдХрддреЗ рд╣реИрдВ рддрд╛рдХрд┐ CloudTrail рд╕рд╛рдордЧреНрд░реА рдХреЛ рдкреБрдирд░реНрдкреНрд░рд╛рдкреНрдд рдирд╣реАрдВ рдХрд┐рдпрд╛ рдЬрд╛ рд╕рдХреЗред рдпрд╣ рдореВрд▓ рд░реВрдк рд╕реЗ рдПрдХ S3-KMS рд░реИрдирд╕рдорд╡реЗрдпрд░ рд╣реИ рдЬреЛ рдЗрд╕ рдореЗрдВ рд╕рдордЭрд╛рдпрд╛ рдЧрдпрд╛ рд╣реИ:
AWS - S3 Post ExploitationKMS рд░реИрдирд╕рдорд╡реЗрдпрд░
рдпрд╣ рд╡рд┐рднрд┐рдиреНрди рдЕрдиреБрдорддрд┐рдпреЛрдВ рдХреА рдЖрд╡рд╢реНрдпрдХрддрд╛рдУрдВ рдХреЗ рд╕рд╛рде рдкрд┐рдЫрд▓реЗ рд╣рдорд▓реЗ рдХреЛ рдХрд░рдиреЗ рдХрд╛ рд╕рдмрд╕реЗ рдЖрд╕рд╛рди рддрд░реАрдХрд╛ рд╣реИ:
AWS - KMS Post ExploitationAWS рд╣реИрдХрд┐рдВрдЧ рд╕реАрдЦреЗрдВ рдФрд░ рдЕрднреНрдпрд╛рд╕ рдХрд░реЗрдВ:HackTricks Training AWS Red Team Expert (ARTE) GCP рд╣реИрдХрд┐рдВрдЧ рд╕реАрдЦреЗрдВ рдФрд░ рдЕрднреНрдпрд╛рд╕ рдХрд░реЗрдВ: HackTricks Training GCP Red Team Expert (GRTE)