AWS - CloudTrail Enum
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lerne & übe GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
CloudTrail
AWS CloudTrail zeichnet Aktivitäten in Ihrer AWS-Umgebung auf und überwacht sie. Es erfasst detaillierte Ereignisprotokolle, einschließlich wer was wann und von wo aus getan hat, für alle Interaktionen mit AWS-Ressourcen. Dies bietet eine Prüfspur von Änderungen und Aktionen, unterstützt bei der Sicherheitsanalyse, der Compliance-Prüfung und der Nachverfolgung von Ressourcenänderungen. CloudTrail ist unerlässlich, um das Verhalten von Benutzern und Ressourcen zu verstehen, die Sicherheitslage zu verbessern und die Einhaltung gesetzlicher Vorschriften sicherzustellen.
Jedes protokollierte Ereignis enthält:
Den Namen der aufgerufenen API:
eventName
Den aufgerufenen Dienst:
eventSource
Die Zeit:
eventTime
Die IP-Adresse:
SourceIPAddress
Die Agenten-Methode:
userAgent
. Beispiele:Signing.amazonaws.com - Von AWS Management Console
console.amazonaws.com - Root-Benutzer des Kontos
lambda.amazonaws.com - AWS Lambda
Die Anforderungsparameter:
requestParameters
Die Antwortelemente:
responseElements
Ereignisse werden ungefähr alle 5 Minuten in einer JSON-Datei in eine neue Protokolldatei geschrieben, sie werden von CloudTrail gehalten und schließlich werden Protokolldateien ungefähr 15 Minuten später an S3 geliefert. CloudTrail-Protokolle können über Konten und Regionen hinweg aggregiert werden. CloudTrail ermöglicht die Verwendung von Protokolldateiintegrität, um sicherzustellen, dass Ihre Protokolldateien unverändert geblieben sind, seit CloudTrail sie Ihnen geliefert hat. Es erstellt einen SHA-256-Hash der Protokolle in einer Digest-Datei. Ein SHA-256-Hash der neuen Protokolle wird jede Stunde erstellt. Beim Erstellen eines Trails ermöglichen die Ereignisauswähler, den Trail zu protokollieren: Management-, Daten- oder Insight-Ereignisse.
Protokolle werden in einem S3-Bucket gespeichert. Standardmäßig wird die serverseitige Verschlüsselung (SSE-S3) verwendet, sodass AWS den Inhalt für die Personen entschlüsselt, die darauf zugreifen können. Für zusätzliche Sicherheit können Sie jedoch SSE mit KMS und Ihren eigenen Schlüsseln verwenden.
Die Protokolle werden in einem S3-Bucket mit diesem Namensformat gespeichert:
BucketName/AWSLogs/AccountID/CloudTrail/RegionName/YYY/MM/DD
Der BucketName lautet:
aws-cloudtrail-logs-<accountid>-<random>
Beispiel:
aws-cloudtrail-logs-947247140022-ffb95fe7/AWSLogs/947247140022/CloudTrail/ap-south-1/2023/02/22/
Innerhalb jedes Ordners hat jedes Protokoll einen Namen nach diesem Format: AccountID_CloudTrail_RegionName_YYYYMMDDTHHMMZ_Random.json.gz
Benennungskonvention für Protokolldateien
![](https://cloud.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F4006308268-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F9hP2FCD6CAhhq511yRa0%252Fuploads%252Fgit-blob-ae13f4c6840f3ccc43237b9a83c41f5299135b7b%252Fimage%2520%28122%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=62b32789&sv=1)
Darüber hinaus befinden sich Digest-Dateien (zur Überprüfung der Dateiintegrität) im gleichen Bucket in:
![](https://cloud.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F4006308268-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F9hP2FCD6CAhhq511yRa0%252Fuploads%252Fgit-blob-e76e758042eed8f8ffa200fb12dfc7c778ff8624%252Fimage%2520%28195%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c389e121&sv=1)
Protokolle aus mehreren Konten aggregieren
Erstellen Sie einen Trail im AWS-Konto, in dem die Protokolldateien geliefert werden sollen
Wenden Sie Berechtigungen auf den Ziel-S3-Bucket an, um den plattformübergreifenden Zugriff für CloudTrail zu ermöglichen, und erlauben Sie jedem AWS-Konto, das Zugriff benötigt
Erstellen Sie einen neuen Trail in den anderen AWS-Konten und wählen Sie den in Schritt 1 erstellten Bucket aus
Auch wenn Sie alle Protokolle im selben S3-Bucket speichern können, können Sie CloudTrail-Protokolle aus mehreren Konten nicht in einem CloudWatch Logs aggregieren, das zu einem einzigen AWS-Konto gehört.
Denken Sie daran, dass ein Konto verschiedene Trails von CloudTrail aktiviert haben kann, die dieselben (oder unterschiedliche) Protokolle in verschiedenen Buckets speichern.
CloudTrail von allen Org-Konten in 1
Beim Erstellen eines CloudTrail ist es möglich, anzugeben, dass CloudTrail für alle Konten in der Organisation aktiviert wird und die Protokolle in nur einem Bucket gespeichert werden:
![](https://cloud.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F4006308268-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F9hP2FCD6CAhhq511yRa0%252Fuploads%252Fgit-blob-9920b8e8af46d9f383946cd2f0d06af88312c1f9%252Fimage%2520%28200%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=4953b8a7&sv=1)
Auf diese Weise können Sie CloudTrail in allen Regionen aller Konten einfach konfigurieren und die Protokolle in einem Konto zentralisieren (das Sie schützen sollten).
Überprüfung der Protokolldateien
Sie können überprüfen, ob die Protokolle nicht verändert wurden, indem Sie ausführen
Logs zu CloudWatch
CloudTrail kann automatisch Logs an CloudWatch senden, sodass Sie Alarme einrichten können, die Sie warnen, wenn verdächtige Aktivitäten durchgeführt werden. Beachten Sie, dass eine Rolle erstellt werden muss, die diese Aktion erlaubt, damit CloudTrail die Logs an CloudWatch senden kann. Wenn möglich, wird empfohlen, die Standardrolle von AWS für diese Aktionen zu verwenden. Diese Rolle ermöglicht es CloudTrail:
CreateLogStream: Dies erlaubt das Erstellen von CloudWatch Logs Log-Streams
PutLogEvents: Übermittelt CloudTrail-Logs an CloudWatch Logs Log-Stream
Event History
CloudTrail Event History ermöglicht es Ihnen, die aufgezeichneten Logs in einer Tabelle zu inspizieren:
![](https://cloud.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F4006308268-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F9hP2FCD6CAhhq511yRa0%252Fuploads%252Fgit-blob-677ac1e3a5432723acaf79d06e8a06310b363266%252Fimage%2520%2889%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c67b6f0e&sv=1)
Insights
CloudTrail Insights analysiert automatisch Schreibverwaltungsereignisse von CloudTrail-Trails und warnt Sie vor ungewöhnlichen Aktivitäten. Zum Beispiel, wenn es eine Zunahme von TerminateInstance
-Ereignissen gibt, die von den etablierten Baselines abweichen, sehen Sie dies als ein Insight-Ereignis. Diese Ereignisse machen das Finden und Reagieren auf ungewöhnliche API-Aktivitäten einfacher als je zuvor.
Die Insights werden im selben Bucket wie die CloudTrail-Logs gespeichert in: BucketName/AWSLogs/AccountID/CloudTrail-Insight
Sicherheit
CloudTrail Log File Integrity |
|
Unbefugten Zugriff verhindern |
|
Verhindern, dass Log-Dateien gelöscht werden |
|
Access Advisor
AWS Access Advisor basiert auf den letzten 400 Tagen AWS CloudTrail-Logs, um seine Erkenntnisse zu sammeln. CloudTrail erfasst eine Historie von AWS API-Aufrufen und verwandten Ereignissen, die in einem AWS-Konto gemacht wurden. Access Advisor nutzt diese Daten, um zu zeigen, wann Dienste zuletzt genutzt wurden. Durch die Analyse der CloudTrail-Logs kann Access Advisor bestimmen, welche AWS-Dienste ein IAM-Benutzer oder eine Rolle genutzt hat und wann dieser Zugriff erfolgte. Dies hilft AWS-Administratoren, fundierte Entscheidungen über die Verfeinerung von Berechtigungen zu treffen, da sie Dienste identifizieren können, die über längere Zeiträume nicht genutzt wurden, und potenziell zu breite Berechtigungen basierend auf realen Nutzungsmustern reduzieren können.
Daher informiert Access Advisor über die unnötigen Berechtigungen, die Benutzern gegeben werden, sodass der Administrator sie entfernen kann.
![](https://cloud.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F4006308268-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F9hP2FCD6CAhhq511yRa0%252Fuploads%252Fgit-blob-2c1380cee840935e857218d8b987b82cf81538e9%252Fimage%2520%2878%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f2617e00&sv=1)
Aktionen
Enumeration
CSV Injection
Es ist möglich, eine CSV-Injection innerhalb von CloudTrail durchzuführen, die beliebigen Code ausführt, wenn die Protokolle in CSV exportiert und mit Excel geöffnet werden. Der folgende Code erzeugt einen Protokolleintrag mit einem fehlerhaften Trail-Namen, der die Nutzlast enthält:
Für weitere Informationen über CSV-Injections besuchen Sie die Seite:
Für weitere Informationen über diese spezielle Technik besuchen Sie https://rhinosecuritylabs.com/aws/cloud-security-csv-injection-aws-cloudtrail/
Erkennung umgehen
HoneyTokens umgehen
Honeytokens werden erstellt, um die Exfiltration sensibler Informationen zu erkennen. Im Falle von AWS sind es AWS-Schlüssel, deren Nutzung überwacht wird. Wenn etwas eine Aktion mit diesem Schlüssel auslöst, muss jemand diesen Schlüssel gestohlen haben.
Allerdings verwenden Honeytokens wie die von Canarytokens, SpaceCrab, SpaceSiren entweder erkennbare Kontonamen oder dieselbe AWS-Konto-ID für alle ihre Kunden. Wenn Sie also den Kontonamen und/oder die Konto-ID erhalten können, ohne dass Cloudtrail ein Protokoll erstellt, könnten Sie wissen, ob der Schlüssel ein Honeytoken ist oder nicht.
Pacu hat einige Regeln, um zu erkennen, ob ein Schlüssel zu Canarytokens, SpaceCrab, SpaceSiren** gehört:**
Wenn
canarytokens.org
im Rollennamen erscheint oder die Konto-ID534261010715
in der Fehlermeldung erscheint.Bei neueren Tests verwenden sie die Konto-ID
717712589309
und haben immer noch die Zeichenfolgecanarytokens.com
im Namen.Wenn
SpaceCrab
im Rollennamen in der Fehlermeldung erscheint.SpaceSiren verwendet uuids zur Generierung von Benutzernamen:
[a-f0-9]{8}-[a-f0-9]{4}-4[a-f0-9]{3}-[89aAbB][a-f0-9]{3}-[a-f0-9]{12}
Wenn der Name wie zufällig generiert aussieht, besteht eine hohe Wahrscheinlichkeit, dass es sich um einen HoneyToken handelt.
Die Konto-ID aus der Schlüssel-ID erhalten
Sie können die Konto-ID aus der codierten Information im Zugriffsschlüssel wie hier erklärt erhalten und die Konto-ID mit Ihrer Liste von Honeytokens AWS-Konten überprüfen:
Check more information in the orginal research.
Kein Log erzeugen
Die effektivste Technik hierfür ist eigentlich eine einfache. Verwenden Sie einfach den Schlüssel, den Sie gerade gefunden haben, um auf einen Dienst in Ihrem eigenen Angreifer-Konto zuzugreifen. Dies wird CloudTrail dazu bringen, ein Log in IHREM EIGENEN AWS-Konto zu erzeugen und nicht im Konto des Opfers.
Das Ergebnis wird Ihnen einen Fehler anzeigen, der die Konto-ID und den Kontonamen angibt, sodass Sie sehen können, ob es sich um einen Honeytoken handelt.
AWS-Dienste ohne Logs
In der Vergangenheit gab es einige AWS-Dienste, die keine Logs an CloudTrail senden (finden Sie eine Liste hier). Einige dieser Dienste werden mit einem Fehler antworten, der die ARN der Schlüsselrolle enthält, wenn jemand Unbefugtes (der Honeytoken-Schlüssel) versucht, darauf zuzugreifen.
Auf diese Weise kann ein Angreifer die ARN des Schlüssels erhalten, ohne ein Log auszulösen. In der ARN kann der Angreifer die AWS-Konto-ID und den Namen sehen. Es ist einfach, die Konto-IDs und Namen der HoneyToken-Unternehmen zu erkennen, sodass ein Angreifer auf diese Weise feststellen kann, ob der Token ein HoneyToken ist.
![](https://cloud.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F4006308268-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F9hP2FCD6CAhhq511yRa0%252Fuploads%252Fgit-blob-dba03333fb25b4875e23d9a5bb00446cea7c382c%252Fimage%2520%2893%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=6edf05e2&sv=1)
Beachten Sie, dass alle öffentlichen APIs, die entdeckt wurden, keine CloudTrail-Logs zu erstellen, jetzt behoben sind. Möglicherweise müssen Sie also Ihre eigenen finden...
Für weitere Informationen siehe die original research.
Zugriff auf Dritte Infrastruktur
Bestimmte AWS-Dienste werden einige Infrastrukturen bereitstellen, wie Datenbanken oder Kubernetes-Cluster (EKS). Ein Benutzer, der direkt mit diesen Diensten spricht (wie die Kubernetes-API), wird die AWS-API nicht verwenden, sodass CloudTrail diese Kommunikation nicht sehen kann.
Daher könnte ein Benutzer mit Zugriff auf EKS, der die URL der EKS-API entdeckt hat, lokal ein Token generieren und direkt mit dem API-Dienst sprechen, ohne von CloudTrail entdeckt zu werden.
Mehr Infos in:
AWS - EKS Post ExploitationCloudTrail-Konfiguration ändern
Trails löschen
Stop trails
Start trails
Liste der Trails
CloudTrail Logs
CloudTrail Logs für eine bestimmte Ressource
CloudTrail Logs für eine bestimmte Benutzeraktion
CloudTrail Logs für eine bestimmte Event-ID
CloudTrail Logs für eine bestimmte Event-Quelle
CloudTrail Logs für eine bestimmte Event-Zeit
CloudTrail Logs für eine bestimmte Event-Namen
CloudTrail Logs für eine bestimmte Event-Region
CloudTrail Logs für eine bestimmte IP-Adresse
Deaktivieren des Multi-Region-Loggings
Deaktivieren der Protokollierung durch Ereignisauswähler
Im ersten Beispiel wird ein einzelner Ereignis-Selektor als JSON-Array mit einem einzelnen Objekt bereitgestellt. Das "ReadWriteType": "ReadOnly"
gibt an, dass der Ereignis-Selektor nur Leseereignisse erfassen soll (CloudTrail Insights werden also keine Schreibereignisse überprüfen, zum Beispiel).
Sie können den Ereignis-Selektor basierend auf Ihren spezifischen Anforderungen anpassen.
Protokoll-Löschung über S3-Lebenszyklusrichtlinie
Ändern der Bucket-Konfiguration
Löschen des S3-Buckets
Ändern der Bucket-Richtlinie, um jegliche Schreibvorgänge vom CloudTrail-Dienst zu verweigern
Hinzufügen einer Lebenszyklus-Richtlinie zum S3-Bucket, um Objekte zu löschen
Deaktivieren des KMS-Schlüssels, der zum Verschlüsseln der CloudTrail-Protokolle verwendet wird
Cloudtrail Ransomware
S3 Ransomware
Du könntest einen asymmetrischen Schlüssel generieren und CloudTrail die Daten mit diesem Schlüssel verschlüsseln lassen und den privaten Schlüssel löschen, sodass die CloudTrail-Inhalte nicht wiederhergestellt werden können. Dies ist im Grunde eine S3-KMS Ransomware, wie erklärt in:
AWS - S3 Post ExploitationKMS Ransomware
Dies ist eine einfachere Möglichkeit, den vorherigen Angriff mit unterschiedlichen Berechtigungsanforderungen durchzuführen:
AWS - KMS Post ExploitationReferenzen
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lerne & übe GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated