GCP - Logging Enum
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ova usluga omogućava korisnicima da čuvaju, pretražuju, analiziraju, prate i obaveštavaju o podacima i događajima iz logova sa GCP-a.
Cloud Logging je potpuno integrisan sa drugim GCP uslugama, pružajući centralizovanu bazu podataka za logove iz svih vaših GCP resursa. Automatski prikuplja logove iz raznih GCP usluga kao što su App Engine, Compute Engine i Cloud Functions. Takođe možete koristiti Cloud Logging za aplikacije koje rade na lokaciji ili u drugim oblačnim okruženjima koristeći Cloud Logging agent ili API.
Ključne karakteristike:
Centralizacija podataka iz logova: Agregirajte podatke iz logova iz raznih izvora, nudeći sveobuhvatan pregled vaših aplikacija i infrastrukture.
Upravljanje logovima u realnom vremenu: Strimujte logove u realnom vremenu za trenutnu analizu i odgovor.
Moćna analiza podataka: Koristite napredne mogućnosti filtriranja i pretrage za brzo pretraživanje velikih količina podataka iz logova.
Integracija sa BigQuery: Izvezite logove u BigQuery za detaljnu analizu i upite.
Metrički podaci zasnovani na logovima: Kreirajte prilagođene metrike iz vaših podataka iz logova za praćenje i obaveštavanje.
U suštini, sudoperi i metrički podaci zasnovani na logovima će odrediti gde bi log trebao biti sačuvan.
Cloud Logging je veoma konfigurisljiv kako bi odgovarao različitim operativnim potrebama:
Log Buckets (Skladištenje logova na mreži): Definišite kante u Cloud Logging-u za upravljanje zadržavanjem logova, pružajući kontrolu nad tim koliko dugo se vaši unosi logova čuvaju.
Po defaultu, kante _Default i _Required su kreirane (jedna beleži ono što druga ne).
_Required je:
Period zadržavanja podataka je konfigurisan po kanti i mora biti najmanje 1 dan. Međutim, period zadržavanja _Required je 400 dana i ne može se menjati.
Imajte na umu da Log kante nisu vidljive u Cloud Storage-u.
Log Sinks (Log usmerivač na vebu): Kreirajte usmerivače da izvezete log unose na različite destinacije kao što su Pub/Sub, BigQuery ili Cloud Storage na osnovu filtra.
Po default-u usmerivači za kante _Default i _Required se kreiraju:
_Required logging.googleapis.com/projects//locations/global/buckets/_Required LOG_ID("cloudaudit.googleapis.com/activity") OR LOG_ID("externalaudit.googleapis.com/activity") OR LOG_ID("cloudaudit.googleapis.com/system_event") OR LOG_ID("externalaudit.googleapis.com/system_event") OR LOG_ID("cloudaudit.googleapis.com/access_transparency") OR LOG_ID("externalaudit.googleapis.com/access_transparency") _Default logging.googleapis.com/projects//locations/global/buckets/_Default NOT LOG_ID("cloudaudit.googleapis.com/activity") AND NOT LOG_ID("externalaudit.googleapis.com/activity") AND NOT LOG_ID("cloudaudit.googleapis.com/system_event") AND NOT LOG_ID("externalaudit.googleapis.com/system_event") AND NOT LOG_ID("cloudaudit.googleapis.com/access_transparency") AND NOT LOG_ID("externalaudit.googleapis.com/access_transparency")
Podrazumevano, Admin Write operacije (takođe nazvane Admin Activity audit logs) su one koje se beleže (pišu metapodatke ili informacije o konfiguraciji) i ne mogu se onemogućiti.
Zatim, korisnik može omogućiti Data Access audit logs, to su Admin Read, Data Write i Data Write.
Možete pronaći više informacija o svakoj vrsti loga u dokumentaciji: https://cloud.google.com/iam/docs/audit-logging
Međutim, imajte na umu da to znači da podrazumevano GetIamPolicy akcije i druge akcije čitanja nisu beležene. Dakle, podrazumevano, napadač koji pokušava da enumeriše okruženje neće biti uhvaćen ako sistemski administrator nije konfigurisao generisanje više logova.
Da bi omogućio više logova u konzoli, sistemski administrator treba da ode na https://console.cloud.google.com/iam-admin/audit i omogući ih. Postoje 2 različite opcije:
Podrazumevana Konfiguracija: Moguće je kreirati podrazumevanu konfiguraciju i beležiti sve Admin Read i/ili Data Read i/ili Data Write logove i čak dodati izuzete principe:
Izaberite usluge: Ili jednostavno izaberite usluge za koje želite da generišete logove i tip logova i izuzetog principa za tu specifičnu uslugu.
Takođe imajte na umu da se podrazumevano generišu samo ti logovi jer generisanje više logova povećava troškove.
gcloud komandna linija je sastavni deo GCP ekosistema, omogućavajući vam da upravljate svojim resursima i uslugama. Evo kako možete koristiti gcloud za upravljanje vašim konfiguracijama logovanja i pristupom logovima.
Primer za proveru logova cloudresourcemanager (onog koji se koristi za BF dozvole): https://console.cloud.google.com/logs/query;query=protoPayload.serviceName%3D%22cloudresourcemanager.googleapis.com%22;summaryFields=:false:32:beginning;cursorTimestamp=2024-01-20T00:07:14.482809Z;startTime=2024-01-01T11:12:26.062Z;endTime=2024-02-02T17:12:26.062Z?authuser=2&project=digital-bonfire-410512
Nema logova za testIamPermissions:
Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
