RB-ANALYSIS-043: Analyse van activiteit in de cloud control plane

Documentbeheer

1. Vereisten

• Het tijdvenster van het incident
• Een lijst van identiteiten en resources die volgens de triage binnen de scope vallen
• Een SIEM waarin de logs van de cloud control plane zijn geïndexeerd
• De console van de cloudprovider (om de status van resources te controleren)

2. Stap-voor-stap-instructies

Veelgemaakte fouten

• Alleen de identiteit uit de alert onderzoeken - aanvallers maken vaak nieuwe identiteiten en rollen aan voor persistence; de oorspronkelijke identiteit wordt mogelijk al vroeg niet meer gebruikt
• Alleen de regio uit de alert onderzoeken - control plane-activiteit is per regio; aanvallers wisselen van regio om detectie te ontlopen
• Vertrouwen op wat de console laat zien als "wat er bestaat" - als de securitylogging is gemanipuleerd, toont de console mogelijk alleen de status na de aanvaller, niet de oorspronkelijke

1. Reconstrueer de tijdlijn van acties per identiteit

   • Maak een chronologische lijst van elke API-aanroep van elke identiteit binnen de scope (gebruiker, rol, service account, workload identity)
   • Per aanroep: tijdstip, bron-IP, bronregio, user-agent, doeldienst, actie, doelresource, resultaat (geslaagd / mislukt)
   • Zoek de eerste actie die afwijkt voor de identiteit (soort actie, regio, IP, user-agent)

2. Stel IAM-wijzigingen vast

   • Maak een lijst van elke identiteit / rol / policy / access key / federatierelatie die in het incidentvenster is aangemaakt, gewijzigd of verwijderd
   • Stel per wijziging vast wie die deed, wanneer en vanaf waar
   • Markeer elke wijziging die bredere toegang geeft dan de identiteit eerder had
   • Markeer het aanmaken van nieuwe identiteiten of access keys die niet aan een bekend changeticket gekoppeld zijn

3. Stel wijzigingen aan resources vast

   • Maak een lijst van elke resource die in het incidentvenster is aangemaakt, gewijzigd of verwijderd
   • Markeer resources in ongebruikelijke regio's, met ongebruikelijke afmetingen of met ongebruikelijke configuraties (bijv. open security groups, publieke storage buckets, grote compute)
   • Markeer geplande of terugkerende resources (functies met triggers, scheduled tasks, cron jobs) - veelgebruikt voor persistence

4. Stel manipulatie van securitydiensten vast

   • Controleer op acties die de dekking stoppen, opschorten of verkleinen van:
     • Audit logging (CloudTrail, diagnostische instellingen van Azure Activity, GCP-audit-sinks, OCI-audit)
     • Securitydiensten (GuardDuty, Defender for Cloud, Security Command Center, Cloud Guard)
     • Detectie- / SIEM-regels (wijzigingen in Sentinel-regels, EventBridge- / Eventarc-regels)
     • Bewaarbeleid voor logs (verkorten van de bewaartermijn is een signaal van manipulatie)

5. Stel activiteit over accounts / tenants heen vast

   • Maak een lijst van alle assume-role- / gedelegeerde-toegangs- / B2B-activiteit in het venster
   • Markeer elke rolovername waarbij een extern account of een externe tenant betrokken is die niet op de lijst van bekende partners staat
   • Stel per externe entiteit vast hoe het vertrouwen tot stand kwam en of dat van vóór het incident dateert

6. Stel persistence-mechanismen vast

   • Nieuwe IAM-gebruikers met langlevende access keys
   • Nieuwe rollen met ruime trust policies (vooral met principals uit externe accounts)
   • Wijzigingen in federatierelaties
   • Geplande compute (Lambda-triggers, scheduled tasks, cron jobs, terugkerende pipelines)
   • Pushes naar base images in container- / image-registries

7. Stel de initial access-vector vast

   • Correleer de eerste afwijkende actie van de identiteit met het bron-IP / de user-agent / de regio
   • Stel vast of de identiteit een menselijke gebruiker, een workload identity of een gefedereerde identiteit was
   • Stel vast of de credential is gelekt, gebruteforced, overgenomen via een verkeerd geconfigureerde vertrouwensrelatie of gebruikt na een legitieme compromittering van de identiteit

8. Documenteer en draag over

   • Leg de bevindingen vast: tijdlijn per identiteit, IAM-wijzigingen, wijzigingen aan resources, manipulatie, persistence, initial access-vector
   • Draag over aan de Incident Commander voor de planning van containment / eradication
   • Werk het incidentrecord bij met alle gebruikte queries

3. Na afloop

• Zorg dat de bevindingen in het incidentrecord staan, met gekoppelde logbronnen en querystrings
• Bevestig dat alle vastgestelde persistence-mechanismen via de eradication worden gevolgd

Bijdrager

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.