AWS - CloudWatch Enum

Leer AWS-hacking van nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

• As jy wil sien dat jou maatskappy geadverteer word in HackTricks of HackTricks aflaai in PDF-formaat, kyk na die SUBSCRIPTION PLANS!

• Kry die amptelike PEASS & HackTricks swag

• Ontdek The PEASS Family, ons versameling eksklusiewe NFTs

• Sluit aan by die 💬 Discord-groep of die telegram-groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel jou hacking-truuks deur PR's in te dien by die HackTricks en HackTricks Cloud github-repos.

CloudWatch

CloudWatch versamel moniterings- en operasionele data in die vorm van logboeke/metriek/gebeure en bied 'n verenigde siening van AWS-hulpbronne, programme en dienste. CloudWatch Log-gebeure het 'n groottebeperking van 256KB op elke logreël. Dit kan hoë resolusie-alarme instel, logboeke en metrieke saam aanlyn vertoon, outomatiese aksies neem, probleme oplos en insigte ontdek om programme te optimaliseer.

Jy kan byvoorbeeld logboeke van CloudTrail monitor. Gebeure wat gemonitor word:

• Veranderinge aan sekuriteitsgroepe en NACL's

• Begin, stop, herlaai en beëindig EC2-instanties

• Veranderinge aan sekuriteitsbeleide binne IAM en S3

• Mislukte aanmeldpogings tot die AWS-bestuurskonsol

• API-oproepe wat gelei het tot mislukte magtiging

• Filtreer om in CloudWatch te soek: https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/FilterAndPatternSyntax.html

CloudWatch Logboeke

Maak dit moontlik om logboeke van programme en stelsels van AWS-dienste (insluitend CloudTrail) en van programme/stelsels te aggregeer en monitor (CloudWatch Agent kan op 'n gasheer geïnstalleer word). Logboeke kan oneindig lank gestoor word (afhangende van die Log Group-instellings) en kan uitgevoer word.

Elemente:

Log Group	'n versameling logstrome wat dieselfde bewaring, monitering en toegangsbeheerinstellings deel
Logstroom	'n Reeks loggebeure wat dieselfde bron deel
Intekenfilters	Definieer 'n filterpatroon wat gebeure kombineer in 'n spesifieke loggroep, stuur dit na 'n Kinesis Data Firehose-stroom, Kinesis-stroom of 'n Lambda-funksie

CloudWatch Monitering & Gebeure

CloudWatch basiese aggregeer data elke 5 minute (die gedetailleerde een doen dit elke 1 minuut). Na die aggregering kontroleer dit die drempels van die alarms in geval dit een moet aktiveer. In daardie geval kan CloudWatch voorbereid wees om 'n gebeurtenis te stuur en enkele outomatiese aksies uit te voer (AWS-lambdafunksies, SNS-onderwerpe, SQS-rye, Kinesis-strome)

Agentinstallasie

Jy kan agente binne jou masjiene/houers installeer om die logboeke outomaties terug te stuur na CloudWatch.

• Skep 'n rol en heg dit aan die instantie met toestemmings wat CloudWatch in staat stel om data van die instansies te versamel, sowel as om met AWS-stelsbestuurder SSM te kommunikeer (CloudWatchAgentAdminPolicy & AmazonEC2RoleforSSM)

• Laai af en installeer die agent op die EC2-instantie (https://s3.amazonaws.com/amazoncloudwatch-agent/linux/amd64/latest/AmazonCloudWatchAgent.zip). Jy kan dit aflaai van binne die EC2 of dit outomaties installeer deur AWS System Manager te gebruik en die pakket AWS-ConfigureAWSPackage te kies

• Konfigureer en begin die CloudWatch Agent

'n Loggroep het baie strome. 'n Stroom het baie gebeure. En binne elke stroom is dit gewaarborg dat die gebeure in orde is.

Aksies

Enumerasie

# Dashboards
aws cloudwatch list-dashboards
aws cloudwatch get-dashboard --dashboard-name <dashboard_name>

# Alarms
aws cloudwatch describe-alarms
aws cloudwatch describe-alarm-history
aws cloudwatch describe-alarms-for-metric --metric-name <metric_name> --namespace <namespace>
aws cloudwatch describe-alarms-for-metric --metric-name IncomingLogEvents --namespace AWS/Logs

# Anomaly Detections
aws cloudwatch describe-anomaly-detectors
aws cloudwatch describe-insight-rules

# Logs
aws logs tail "<log_group_name>" --follow
aws logs get-log-events --log-group-name "<log_group_name>" --log-stream-name "<log_stream_name>" --output text > <output_file>

# Events enumeration
aws events list-rules
aws events describe-rule --name <name>
aws events list-targets-by-rule --rule <name>
aws events list-archives
aws events describe-archive --archive-name <name>
aws events list-connections
aws events describe-connection --name <name>
aws events list-endpoints
aws events describe-endpoint --name <name>
aws events list-event-sources
aws events describe-event-source --name <name>
aws events list-replays
aws events list-api-destinations
aws events list-event-buses

Verwysings

• https://cloudsecdocs.com/aws/services/logging/cloudwatch/

Leer AWS-hacking van nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

• As jy wil sien dat jou maatskappy geadverteer word in HackTricks of HackTricks aflaai in PDF-formaat, kyk na die SUBSCRIPTION PLANS!

• Kry die amptelike PEASS & HackTricks swag

• Ontdek The PEASS Family, ons versameling eksklusiewe NFTs

• Sluit aan by die 💬 Discord-groep of die telegram-groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel jou hacking-truuks deur PR's in te dien by die HackTricks en HackTricks Cloud github-repos.