GCP - Logging Enum
Βασικές Πληροφορίες
Αυτή η υπηρεσία επιτρέπει στους χρήστες να αποθηκεύουν, αναζητούν, αναλύουν, παρακολουθούν και ειδοποιούν για δεδομένα καταγραφής και συμβάντα από το GCP.
Η καταγραφή στο Cloud είναι πλήρως ενσωματωμένη με άλλες υπηρεσίες του GCP, παρέχοντας ένα κεντρικό αποθετήριο για καταγραφές από όλους τους πόρους σας στο GCP. Αυτή συλλέγει αυτόματα καταγραφές από διάφορες υπηρεσίες του GCP όπως το App Engine, το Compute Engine και οι Cloud Functions. Μπορείτε επίσης να χρησιμοποιήσετε την Καταγραφή στο Cloud για εφαρμογές που εκτελούνται είτε on-premises είτε σε άλλα νέφη χρησιμοποιώντας τον πράκτορα ή το API της Καταγραφής στο Cloud.
Βασικά Χαρακτηριστικά:
Κεντρική Αποθήκευση Δεδομένων Καταγραφής: Συγκεντρώστε δεδομένα καταγραφής από διάφορες πηγές, προσφέροντας μια ολιστική άποψη των εφαρμογών και της υποδομής σας.
Διαχείριση Καταγραφής σε Πραγματικό Χρόνο: Ροή καταγραφών σε πραγματικό χρόνο για άμεση ανάλυση και αντίδραση.
Ισχυρή Ανάλυση Δεδομένων: Χρησιμοποιήστε προηγμένες δυνατότητες φιλτραρίσματος και αναζήτησης για γρήγορη διατριβή μέσα από μεγάλους όγκους δεδομένων καταγραφής.
Ενσωμάτωση με το BigQuery: Εξαγωγή καταγραφών στο BigQuery για λεπτομερή ανάλυση και ερωτήσεις.
Μετρήσεις βασισμένες σε Καταγραφές: Δημιουργία προσαρμοσμένων μετρήσεων από τα δεδομένα καταγραφής σας για παρακολούθηση και ειδοποιήσεις.
Ροή Καταγραφών
Βασικά οι απορροές και οι μετρήσεις βασισμένες σε καταγραφές θα καθορίσουν πού πρέπει να αποθηκευτεί μια καταγραφή.
Διαμορφώσεις που Υποστηρίζονται από την Καταγραφή στο GCP
Η Καταγραφή στο Cloud είναι υψηλά διαμορφώσιμη για να ταιριάζει σε διαφορετικές λειτουργικές ανάγκες:
Κάδοι Καταγραφής (Αποθήκευση καταγραφών στον ιστό): Ορίστε κάδους στην Καταγραφή στο Cloud για τη διαχείριση διατήρησης καταγραφών, παρέχοντας έλεγχο επί του χρόνου που διατηρούνται οι καταχωρήσεις καταγραφής σας.
Από προεπιλογή δημιουργούνται οι κάδοι
_Default
και_Required
(ο ένας καταγράφει αυτό που ο άλλος όχι)._Required είναι:
Η περίοδος διατήρησης των δεδομένων ρυθμίζεται ανά κάδο και πρέπει να είναι τουλάχιστον 1 ημέρα. Ωστόσο, η περίοδος διατήρησης του _Required είναι 400 ημέρες και δεν μπορεί να τροποποιηθεί.
Σημειώστε ότι οι Κάδοι Καταγραφής δεν είναι ορατοί στο Cloud Storage.
Απορροές Καταγραφής (Δρομολογητής καταγραφών στον ιστό): Δημιουργήστε απορροές για εξαγωγή καταχωρήσεων καταγραφής σε διάφορους προορισμούς όπως Pub/Sub, BigQuery ή Cloud Storage βασισμένοι σε ένα φίλτρο.
Από προεπιλογή δημιουργούνται απορροές για τους κάδους
_Default
και_Required
:
_Required logging.googleapis.com/projects//locations/global/buckets/_Required LOG_ID("cloudaudit.googleapis.com/activity") OR LOG_ID("externalaudit.googleapis.com/activity") OR LOG_ID("cloudaudit.googleapis.com/system_event") OR LOG_ID("externalaudit.googleapis.com/system_event") OR LOG_ID("cloudaudit.googleapis.com/access_transparency") OR LOG_ID("externalaudit.googleapis.com/access_transparency") _Default logging.googleapis.com/projects//locations/global/buckets/_Default NOT LOG_ID("cloudaudit.googleapis.com/activity") AND NOT LOG_ID("externalaudit.googleapis.com/activity") AND NOT LOG_ID("cloudaudit.googleapis.com/system_event") AND NOT LOG_ID("externalaudit.googleapis.com/system_event") AND NOT LOG_ID("cloudaudit.googleapis.com/access_transparency") AND NOT LOG_ID("externalaudit.googleapis.com/access_transparency")
Προεπιλεγμένα Αρχεία Καταγραφής
Από προεπιλογή, οι λειτουργίες Εγγραφής Διαχειριστή (επίσης ονομάζονται αρχεία καταγραφής δραστηριότητας διαχειριστή) είναι αυτές που καταγράφονται (εγγραφή μεταδεδομένων ή πληροφοριών διαμόρφωσης) και δεν μπορούν να απενεργοποιηθούν.
Στη συνέχεια, ο χρήστης μπορεί να ενεργοποιήσει τα Αρχεία Καταγραφής Πρόσβασης Δεδομένων, τα οποία είναι Ανάγνωση Διαχειριστή, Εγγραφή Δεδομένων και Εγγραφή Δεδομένων.
Μπορείτε να βρείτε περισσότερες πληροφορίες για κάθε είδος καταγραφής στα έγγραφα: https://cloud.google.com/iam/docs/audit-logging
Ωστόσο, σημειώστε ότι αυτό σημαίνει ότι από προεπιλογή οι ενέργειες GetIamPolicy
και άλλες ενέργειες ανάγνωσης δεν καταγράφονται. Έτσι, από προεπιλογή, ένας επιτιθέμενος που προσπαθεί να απαριθμήσει το περιβάλλον δεν θα εντοπιστεί αν ο συστημικός διαχειριστής δεν έχει διαμορφώσει τη δημιουργία περισσότερων αρχείων καταγραφής.
Για να ενεργοποιήσετε περισσότερα αρχεία καταγραφής στην κονσόλα, ο συστημικός διαχειριστής πρέπει να μεταβεί στη διεύθυνση https://console.cloud.google.com/iam-admin/audit και να τα ενεργοποιήσει. Υπάρχουν 2 διαφορετικές επιλογές:
Προεπιλεγμένη Διαμόρφωση: Είναι δυνατή η δημιουργία μιας προεπιλεγμένης διαμόρφωσης και η καταγραφή όλων των Αναγνώσεων Διαχειριστή και/ή Αναγνώσεων Δεδομένων και/ή Εγγραφών Δεδομένων και ακόμη και η προσθήκη εξαιρούμενων αρχών:
Επιλογή των υπηρεσιών: Ή απλά επιλέξτε τις υπηρεσίες για τις οποίες θα θέλατε να δημιουργήσετε αρχεία καταγραφής και τον τύπο των αρχείων καταγραφής και την εξαιρούμενη αρχή για αυτήν τη συγκεκριμένη υπηρεσία.
Σημειώστε επίσης ότι από προεπιλογή δημιουργούνται μόνο αυτά τα αρχεία καταγραφής επειδή η δημιουργία περισσότερων αρχείων καταγραφής θα αυξήσει το κόστος.
Απαρίθμηση
Το εργαλείο γραμμής εντολών gcloud
είναι αναπόσπαστο μέρος του οικοσυστήματος του GCP, επιτρέποντάς σας να διαχειρίζεστε τους πόρους και τις υπηρεσίες σας. Εδώ είναι πώς μπορείτε να χρησιμοποιήσετε το gcloud
για τη διαχείριση των διαμορφώσεων καταγραφής και την πρόσβαση στα αρχεία καταγραφής.
Παράδειγμα ελέγχου των logs του cloudresourcemanager
(αυτό που χρησιμοποιείται για BF δικαιώματα): https://console.cloud.google.com/logs/query;query=protoPayload.serviceName%3D%22cloudresourcemanager.googleapis.com%22;summaryFields=:false:32:beginning;cursorTimestamp=2024-01-20T00:07:14.482809Z;startTime=2024-01-01T11:12:26.062Z;endTime=2024-02-02T17:12:26.062Z?authuser=2&project=digital-bonfire-410512
Δεν υπάρχουν logs του testIamPermissions
:
Post Exploitation
GCP - Logging Post ExploitationPersistence
GCP - Logging PersistenceΑναφορές
Last updated