GCP - Logging Enum

Jifunze kuhusu udukuzi wa AWS kutoka sifuri hadi shujaa na htARTE (Mtaalam wa Timu Nyekundu ya AWS ya HackTricks)!

Njia nyingine za kusaidia HackTricks:

Ikiwa unataka kuona kampuni yako ikitangazwa kwenye HackTricks au kupakua HackTricks kwa PDF Angalia MIPANGO YA USAJILI!
Pata bidhaa rasmi za PEASS & HackTricks
Gundua Familia ya PEASS, mkusanyiko wetu wa kipekee wa NFTs
Jiunge na 💬 Kikundi cha Discord au kikundi cha telegram au nifuata kwenye Twitter 🐦 @carlospolopm.
Shiriki mbinu zako za udukuzi kwa kuwasilisha PRs kwa HackTricks na HackTricks Cloud repos za github.

Taarifa Msingi

Huduma hii inaruhusu watumiaji kuhifadhi, kutafuta, kuchambua, kufuatilia, na kutoa data za kumbukumbu na matukio kutoka GCP.

Kuchuja Kumbukumbu imejumuishwa kabisa na huduma zingine za GCP, ikitoa hifadhi ya kati ya kumbukumbu kutoka kwa rasilimali zako zote za GCP. Inakusanya kiotomatiki kumbukumbu kutoka kwa huduma mbalimbali za GCP kama App Engine, Compute Engine, na Cloud Functions. Unaweza pia kutumia Kuchuja Kumbukumbu kwa maombi yanayoendesha kwenye tovuti au katika mawingu mengine kwa kutumia wakala au API ya Kuchuja Kumbukumbu.

Vipengele muhimu:

Ukuzaji wa Data za Kumbukumbu: Unganisha data za kumbukumbu kutoka vyanzo mbalimbali, kutoa mtazamo wa kina wa maombi na miundombinu yako.
Usimamizi wa Kumbukumbu Halisi: Pasha kumbukumbu kwa wakati halisi kwa uchambuzi na majibu ya haraka.
Uchambuzi wa Data wenye Nguvu: Tumia uwezo wa kuchuja na kutafuta wa juu kuchuja kati ya kiasi kikubwa cha data za kumbukumbu haraka.
Unganisho na BigQuery: Toa kumbukumbu kwa BigQuery kwa uchambuzi na uulizaji wa kina.
Vipimo vya Kumbukumbu kulingana na Kumbukumbu: Unda vipimo vya desturi kutoka kwa data yako ya kumbukumbu kwa ufuatiliaji na kutuma arifa.

Mchakato wa Kumbukumbu

Kimsingi visima na vipimo vya kumbukumbu vitafanya kazi ya kuhifadhi kumbukumbu.

Vipimo Vinavyoungwa mkono na Kuchuja Kumbukumbu ya GCP

Kuchuja Kumbukumbu inaweza kubadilishwa kwa kiasi kikubwa ili kukidhi mahitaji mbalimbali ya uendeshaji:

Maboksi ya Kumbukumbu (Hifadhi ya Kumbukumbu kwenye wavuti): Taja maboksi katika Kuchuja Kumbukumbu kusimamia kutunza kumbukumbu, kutoa udhibiti juu ya muda gani viingizo vyako vya kumbukumbu vitahifadhiwa.

Kwa chaguo-msingi maboksi _Default na _Required hujengwa (moja inachukua kile kingine hakifanyi).
_Required ni:

LOG_ID("cloudaudit.googleapis.com/activity") OR LOG_ID("externalaudit.googleapis.com/activity") OR LOG_ID("cloudaudit.googleapis.com/system_event") OR LOG_ID("externalaudit.googleapis.com/system_event") OR LOG_ID("cloudaudit.googleapis.com/access_transparency") OR LOG_ID("externalaudit.googleapis.com/access_transparency")

Muda wa kutunza data unaweza kubadilishwa kwa kila sanduku na lazima uwe angalau siku 1. Hata hivyo muda wa kutunza wa _Required ni siku 400 na hauwezi kubadilishwa.
Tafadhali kumbuka kuwa Maboksi ya Kumbukumbu hayapo wazi katika Uhifadhi wa Wavuti.

Visima vya Kumbukumbu (Mlango wa Kumbukumbu kwenye wavuti): Unda visima vya kumbukumbu kutoa kupeleka viingizo vya kumbukumbu kwenye vituo mbalimbali kama Pub/Sub, BigQuery, au Uhifadhi wa Wavuti kulingana na kichujio.

Kwa chaguo-msingi visima kwa maboksi _Default na _Required hujengwa:

_Required logging.googleapis.com/projects//locations/global/buckets/_Required LOG_ID("cloudaudit.googleapis.com/activity") OR LOG_ID("externalaudit.googleapis.com/activity") OR LOG_ID("cloudaudit.googleapis.com/system_event") OR LOG_ID("externalaudit.googleapis.com/system_event") OR LOG_ID("cloudaudit.googleapis.com/access_transparency") OR LOG_ID("externalaudit.googleapis.com/access_transparency") _Default logging.googleapis.com/projects//locations/global/buckets/_Default NOT LOG_ID("cloudaudit.googleapis.com/activity") AND NOT LOG_ID("externalaudit.googleapis.com/activity") AND NOT LOG_ID("cloudaudit.googleapis.com/system_event") AND NOT LOG_ID("externalaudit.googleapis.com/system_event") AND NOT LOG_ID("cloudaudit.googleapis.com/access_transparency") AND NOT LOG_ID("externalaudit.googleapis.com/access_transparency")

* **Vichujio vya Kutenga:** Inawezekana kuweka **vichujio vya kutenga kuzuia viingizo vya kumbukumbu maalum** kuingizwa, kuokoa gharama, na kupunguza kelele isiyohitajika.
3. **Vipimo vya Kumbukumbu kulingana na Kumbukumbu:** Sanidi **vipimo vya desturi** kulingana na maudhui ya kumbukumbu, kuruhusu arifa na ufuatiliaji kulingana na data ya kumbukumbu.
4. **Maoni ya Kumbukumbu:** Maoni ya kumbukumbu hutoa udhibiti wa juu na **wa kina juu ya nani anaye na upatikanaji** wa kumbukumbu ndani ya maboksi yako ya kumbukumbu.&#x20;
* Kuchuja Kumbukumbu **inaunda kiotomatiki maoni ya `_AllLogs` kwa kila sanduku**, ambayo inaonyesha kumbukumbu zote. Kuchuja Kumbukumbu pia inaunda maoni kwa sanduku la `_Default` linaloitwa `_Default`. Maoni ya `_Default` kwa sanduku la `_Default` inaonyesha kumbukumbu zote isipokuwa kumbukumbu za Ukaguzi wa Upatikanaji wa Data. Maoni ya `_AllLogs` na `_Default` hayawezi kuhaririwa.

Inawezekana kuruhusu mkuu **kutumia maoni maalum ya Kumbukumbu** na sera ya IAM kama:

<div data-gb-custom-block data-tag="code" data-overflow='wrap'>

```json
{
"bindings": [
{
"members": [
"user:username@gmail.com"
],
"role": "roles/logging.viewAccessor",
"condition": {
"title": "Bucket reader condition example",
"description": "Grants logging.viewAccessor role to user username@gmail.com for the VIEW_ID log view.",
"expression":
"resource.name == \"projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID\""
}
}
],
"etag": "BwWd_6eERR4=",
"version": 3
}

Kumbukumbu za Mipangilio ya Awali

Kwa chaguo-msingi, operesheni za Andika Msimamizi (zinaitwa pia kumbukumbu za ukaguzi wa Shughuli za Msimamizi) ndizo zinazorekodiwa (andika metadata au maelezo ya usanidi) na hazitaweza kuzimwa.

Kisha, mtumiaji anaweza kuwezesha Kumbukumbu za Ukaguzi wa Upatikanaji wa Data, hizi ni Soma ya Msimamizi, Andika Data na Soma ya Data.

Unaweza kupata habari zaidi kuhusu kila aina ya kumbukumbu katika nyaraka: https://cloud.google.com/iam/docs/audit-logging

Hata hivyo, elewa kwamba hii inamaanisha kwamba kwa chaguo-msingi vitendo vya GetIamPolicy na vitendo vingine vya kusoma havirekodiwi. Kwa hivyo, kwa chaguo-msingi, mshambuliaji anayejaribu kutambua mazingira hatachukuliwa hatua ikiwa msimamizi wa mfumo hajaweza kusanidi kuzalisha kumbukumbu zaidi.

Ili kuwezesha kumbukumbu zaidi kwenye konsoli, msimamizi wa mfumo anahitaji kwenda https://console.cloud.google.com/iam-admin/audit na kuziwezesha. Kuna chaguo 2 tofauti:

Mipangilio ya Chaguo-msingi: Inawezekana kuunda mipangilio ya chaguo-msingi na kurekodi kumbukumbu zote za Soma ya Msimamizi na/au Soma ya Data na/au Andika Data na hata kuongeza mabwana waliopewa msamaha:

Chagua Huduma: Au tu chagua huduma unayotaka kuzalisha kumbukumbu na aina ya kumbukumbu na mabwana waliopewa msamaha kwa huduma hiyo maalum.

Pia elewa kwamba kwa chaguo-msingi kumbukumbu hizo pekee zinazalishwa kwa sababu kuzalisha kumbukumbu zaidi kutasababisha ongezeko la gharama.

Urambazaji

Zana ya amri ya gcloud ni sehemu muhimu ya mfumo wa GCP, ikiruhusu kusimamia rasilimali na huduma zako. Hapa ndio jinsi unavyoweza kutumia gcloud kusimamia mipangilio yako ya kumbukumbu na kupata kumbukumbu.

# List buckets
gcloud logging buckets list
gcloud logging buckets describe <bucket-name> --location <location>

# List log entries: only logs that contain log entries are listed.
gcloud logging logs list

# Get log metrics
gcloud logging metrics list
gcloud logging metrics describe <metric-name>

# Get log sinks
gcloud logging sinks list
gcloud logging sinks describe <sink-name>

# Get log views
gcloud logging views list --bucket <bucket> --location global
gcloud logging views describe --bucket <bucket> --location global <view-id> # view-id is usually the same as the bucket name

# Get log links
gcloud logging links list --bucket _Default --location global
gcloud logging links describe <link-id> --bucket _Default --location global

Mfano wa kuangalia logs za cloudresourcemanager (ile inayotumika kwa BF permissions): https://console.cloud.google.com/logs/query;query=protoPayload.serviceName%3D%22cloudresourcemanager.googleapis.com%22;summaryFields=:false:32:beginning;cursorTimestamp=2024-01-20T00:07:14.482809Z;startTime=2024-01-01T11:12:26.062Z;endTime=2024-02-02T17:12:26.062Z?authuser=2&project=digital-bonfire-410512

Hakuna logs za testIamPermissions:

Baada ya Uvamizi

pageGCP - Logging Post Exploitation

Uimara

pageGCP - Logging Persistence

Marejeo

Jifunze AWS hacking kutoka sifuri hadi shujaa na htARTE (HackTricks AWS Red Team Expert)!

Njia nyingine za kusaidia HackTricks:

Ikiwa unataka kuona kampuni yako ikitangazwa kwenye HackTricks au kupakua HackTricks kwa PDF Angalia MIPANGO YA KUJIUNGA!
Pata swag rasmi wa PEASS & HackTricks
Gundua Familia ya PEASS, mkusanyiko wetu wa NFTs ya kipekee
Jiunge na 💬 Kikundi cha Discord au kikundi cha telegram au fuata kwenye Twitter 🐦 @carlospolopm.
Shiriki mbinu zako za kuhack kwa kuwasilisha PRs kwa HackTricks na HackTricks Cloud github repos.

PreviousGCP - KMS Enum NextGCP - Memorystore Enum

Last updated 2 days ago