AWS - CloudWatch Enum

htARTE (HackTricks AWS Red Team Expert) ile sıfırdan kahraman olmak için AWS hackleme öğrenin!

HackTricks'ı desteklemenin diğer yolları:

• Şirketinizi HackTricks'te reklamını görmek veya HackTricks'i PDF olarak indirmek için ABONELİK PLANLARI'na göz atın!

• Resmi PEASS & HackTricks ürünlerini edinin

• Özel NFT'lerden oluşan koleksiyonumuz The PEASS Family'yi keşfedin

• 💬 Discord grubuna veya telegram grubuna katılın veya Twitter 🐦 @hacktricks_live'ı takip edin.

• Hacking hilelerinizi HackTricks ve HackTricks Cloud github depolarına PR göndererek paylaşın.

CloudWatch

CloudWatch, AWS kaynakları, uygulamalar ve hizmetlerin birleşik bir görünümünü sağlayan günlükler/metriklere/olaylara dayalı izleme ve işletme verileri toplar. CloudWatch Günlük Olayı, her günlük satırında 256KB'lık bir boyut sınırlamasına sahiptir. Yüksek çözünürlüklü alarmlar ayarlayabilir, günlükleri ve metrikleri yan yana görselleştirebilir, otomatik eylemler alabilir, sorunları gidermeye yardımcı olabilir ve uygulamaları optimize etmek için içgörüler keşfedebilirsiniz.

Örneğin, CloudTrail'den günlükleri izleyebilirsiniz. İzlenen olaylar:

• Güvenlik Grupları ve NACL'lerdeki Değişiklikler

• EC2 örneklerinin Başlatılması, Durdurulması, Yeniden Başlatılması ve Sonlandırılması

• IAM ve S3 içindeki Güvenlik Politikalarındaki Değişiklikler

• AWS Yönetim Konsolu'na başarısız giriş denemeleri

• Başarısız yetkilendirme ile sonuçlanan API çağrıları

• Cloudwatch'da arama yapmak için filtreler: https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/FilterAndPatternSyntax.html

CloudWatch Günlükleri

Uygulamalardan ve sistemlerden (CloudTrail dahil) AWS hizmetlerinden ve uygulamalardan/sistemlerden günlükleri birleştirmenize ve izlemenize olanak tanır (CloudWatch Ajanı bir ana bilgisayara yüklenebilir). Günlükler süresiz olarak saklanabilir (Günlük Grubu ayarlarına bağlı olarak) ve dışa aktarılabilir.

Öğeler:

Günlük Grubu	Aynı saklama, izleme ve erişim kontrol ayarlarını paylaşan bir dizi günlük akışı
Günlük Akışı	Aynı kaynağı paylaşan bir dizi günlük olayı
Abonelik Filtreleri	Belirli bir günlük grubundaki olayları eşleştiren bir filtre deseni tanımlar ve bunları Kinesis Data Firehose akışına, Kinesis akışına veya bir Lambda işlevine gönderir

CloudWatch İzleme ve Olaylar

CloudWatch temel verileri her 5 dakikada bir birleştirir (ayrıntılı olanı her 1 dakikada bir yapar). Birleştirme işleminden sonra, alarmların eşik değerlerini kontrol eder ve gerektiğinde bir alarm tetiklemesi yapar. Bu durumda, CloudWatch bir olay göndermek ve bazı otomatik eylemler gerçekleştirmek için hazırlanabilir (AWS lambda işlevleri, SNS konuları, SQS kuyrukları, Kinesis Akışları)

Ajan Kurulumu

Makinelerin/konteynerların içine ajanlar kurarak günlükleri otomatik olarak CloudWatch'a gönderebilirsiniz.

• İzinlerine sahip bir rol oluşturun ve bunu örneğe ekleyin, böylece CloudWatch, örneklerden veri toplamak ve AWS sistem yöneticisi SSM ile etkileşimde bulunmanın yanı sıra veri toplamak için izin alabilir (CloudWatchAgentAdminPolicy & AmazonEC2RoleforSSM)

• EC2 örneğine agenti indirin ve kurun (https://s3.amazonaws.com/amazoncloudwatch-agent/linux/amd64/latest/AmazonCloudWatchAgent.zip). EC2 içinden indirebilir veya AWS Sistem Yöneticisi'ni kullanarak otomatik olarak yükleyebilirsiniz, AWS-ConfigureAWSPackage paketini seçerek

• CloudWatch Ajanını yapılandırın ve başlatın

Bir günlük grubunda birçok akış bulunur. Bir akışta birçok olay bulunur. Ve her akışın içindeki olayların sırayla olduğu garanti edilir.

Eylemler

Sıralama

# Dashboards
aws cloudwatch list-dashboards
aws cloudwatch get-dashboard --dashboard-name <dashboard_name>

# Alarms
aws cloudwatch describe-alarms
aws cloudwatch describe-alarm-history
aws cloudwatch describe-alarms-for-metric --metric-name <metric_name> --namespace <namespace>
aws cloudwatch describe-alarms-for-metric --metric-name IncomingLogEvents --namespace AWS/Logs

# Anomaly Detections
aws cloudwatch describe-anomaly-detectors
aws cloudwatch describe-insight-rules

# Logs
aws logs tail "<log_group_name>" --follow
aws logs get-log-events --log-group-name "<log_group_name>" --log-stream-name "<log_stream_name>" --output text > <output_file>

# Events enumeration
aws events list-rules
aws events describe-rule --name <name>
aws events list-targets-by-rule --rule <name>
aws events list-archives
aws events describe-archive --archive-name <name>
aws events list-connections
aws events describe-connection --name <name>
aws events list-endpoints
aws events describe-endpoint --name <name>
aws events list-event-sources
aws events describe-event-source --name <name>
aws events list-replays
aws events list-api-destinations
aws events list-event-buses

Referanslar

• https://cloudsecdocs.com/aws/services/logging/cloudwatch/

htARTE (HackTricks AWS Kırmızı Takım Uzmanı) ile sıfırdan kahraman olmak için AWS hackleme öğrenin!

HackTricks'i desteklemenin diğer yolları:

• Şirketinizi HackTricks'te reklamınızı görmek veya HackTricks'i PDF olarak indirmek için ABONELİK PLANLARI'na göz atın!

• Resmi PEASS & HackTricks ürünlerini edinin

• Özel NFT'lerimizden oluşan PEASS Ailesi'ni keşfedin

• 💬 Discord grubuna veya telegram grubuna katılın veya bizi Twitter 🐦 @hacktricks_live'da takip edin.

• Hacking hilelerinizi HackTricks ve HackTricks Cloud github depolarına PR göndererek paylaşın.