Was ist passiert?
Unit 42 Sicherheitsforscher haben Angriffsszenarios dokumentiert, bei denen Bedrohungsakteure Cloud-Logging-Services manipulieren, um ihre Spuren zu verwischen. Durch gezielte Angriffe auf Logging-Systeme können Eindringlinge ihre Aktivitäten vor Sicherheitsteams verbergen und so ihre Verweildauer in kompromittierten Umgebungen verlängern.
Hintergrund & Bedeutung
Cloud-Logging-Services sind kritische Komponenten der Sicherheitsinfrastruktur und dienen der Erkennung von Angriffen und forensischen Analysen. Angreifer haben jedoch erkannt, dass die Deaktivierung oder Manipulation dieser Logging-Mechanismen ein effektives Mittel zur Verschleierung von Cyberangriffen ist. Dies stellt eine erhebliche Gefahr dar, da Sicherheitsteams ohne vollständige Logs blind agieren und Bedrohungen nicht erkennen können. Die Forschung zeigt konkrete Angriffsvektoren gegen AWS CloudTrail, Azure Monitor und Google Cloud Logging auf.
Empfehlungen für IT-Teams
Implementieren Sie unveränderliche Logs: Aktivieren Sie Log-Schutzfunktionen wie AWS CloudTrail Integrity Validation und Azure Immutable Storage, um nachträgliche Manipulationen zu verhindern.
Zentrale Log-Aggregation: Leiten Sie Logs zu separaten, isolierten Storage-Systemen weiter, die mit minimalen Zugriffsrechten konfiguriert sind.
Überwachen Sie Logging-Änderungen: Implementieren Sie Alerts für Modifikationen an Logging-Konfigurationen und unerwartete Deaktivierungen.
Principle of Least Privilege: Beschränken Sie Berechtigungen zur Deaktivierung oder Manipulation von Logging-Services auf absolute Notwendigkeit.
Regelmäßige Audits: Führen Sie kontinuierliche Überwachungen durch, um Anomalien in Log-Einträgen zu erkennen.
Fazit
Die Sicherung von Cloud-Logging-Services ist essentiell für eine effektive Bedrohungserkennung. Organisations sollten diese kritischen Systeme mit mehrschichtigen Kontrollen schützen und damit die Blindheit von Sicherheitsteams verhindern.
Quelle: Original Artikel von Unit 42