GCP - Logging Post Exploitation
기본 정보
더 많은 정보는 다음을 확인하세요:
GCP - Logging Enum모니터링을 방해하는 다른 방법은 다음을 확인하세요:
GCP - Monitoring Post Exploitation기본 로깅
기본적으로 읽기 작업을 수행한다고 해서 잡히지 않습니다. 자세한 내용은 로깅 열거 섹션을 확인하세요.
예외 원칙 추가
https://console.cloud.google.com/iam-admin/audit/allservices 및 https://console.cloud.google.com/iam-admin/audit에서 로그를 생성하지 않도록 원칙을 추가할 수 있습니다. 공격자는 이를 악용하여 잡히지 않도록 할 수 있습니다.
로그 읽기 - logging.logEntries.list
logging.logEntries.list
logging.logs.delete
logging.logs.delete
로그 작성 - logging.logEntries.create
logging.logEntries.create
logging.buckets.update
logging.buckets.update
logging.buckets.delete
logging.buckets.delete
설명
이 권한은 특정 프로젝트의 로그 버킷을 삭제할 수 있게 합니다. 로그 버킷을 삭제하면 해당 버킷에 저장된 모든 로그 데이터가 영구적으로 제거됩니다.
위험
로그 버킷을 삭제하면 중요한 로그 데이터가 손실될 수 있으며, 이는 보안 사고 조사 및 규정 준수를 어렵게 만들 수 있습니다.
완화
이 권한을 제한된 사용자에게만 부여하고, 로그 버킷 삭제 작업을 모니터링하여 비정상적인 활동을 감지합니다.
logging.links.delete
logging.links.delete
logging.views.delete
logging.views.delete
설명
이 권한은 특정 로그 뷰를 삭제할 수 있게 합니다. 로그 뷰는 로그 데이터를 필터링하고 특정 조건에 맞는 로그만 볼 수 있게 합니다. 이 권한을 사용하면 특정 로그 뷰를 삭제하여 로그 데이터 접근을 제한할 수 있습니다.
악용
공격자는 logging.views.delete
권한을 사용하여 특정 로그 뷰를 삭제함으로써, 자신들의 활동을 숨길 수 있습니다. 이를 통해 탐지를 피하고, 침해 후 활동을 은폐할 수 있습니다.
완화
최소 권한 원칙을 적용하여 불필요한 권한을 부여하지 않습니다.
로그 뷰 삭제 활동을 모니터링하고, 의심스러운 활동이 감지되면 즉시 조사합니다.
정기적인 권한 검토를 통해 불필요한 권한을 제거합니다.
logging.views.update
logging.views.update
logging.logMetrics.update
logging.logMetrics.update
logging.logMetrics.delete
logging.logMetrics.delete
logging.logMetrics.delete
권한을 사용하면 pentesting 동안 생성된 log-based metrics를 삭제할 수 있습니다. 이 권한을 사용하여 공격자가 탐지되지 않도록 할 수 있습니다.
logging.sinks.delete
logging.sinks.delete
logging.sinks.delete
권한을 사용하면 pentesting 동안 생성된 log sinks를 삭제할 수 있습니다. 이 권한을 사용하여 공격자가 탐지되지 않도록 할 수 있습니다.
logging.exclusions.create
logging.exclusions.create
logging.exclusions.create
권한을 사용하면 특정 log entries를 제외할 수 있습니다. 이 권한을 사용하여 공격자가 탐지되지 않도록 할 수 있습니다.
logging.exclusions.delete
logging.exclusions.delete
logging.exclusions.delete
권한을 사용하면 pentesting 동안 생성된 log exclusions를 삭제할 수 있습니다. 이 권한을 사용하여 공격자가 탐지되지 않도록 할 수 있습니다.
logging.sinks.delete
logging.sinks.delete
logging.sinks.delete
권한을 사용하면 공격자는 로그 싱크를 삭제하여 특정 로그가 저장되지 않도록 할 수 있습니다. 이는 공격자가 활동을 숨기기 위해 사용할 수 있는 방법 중 하나입니다.
이 명령어는 지정된 로그 싱크를 삭제합니다.
logging.sinks.update
logging.sinks.update
Last updated