Cloud Logging, Detection και Cross-Cloud Investigation — DedSec Project

Ελληνική έκδοση — Μάθημα 137. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.

Μάθε να ερευνάς cloud events με identity/action/resource/result, central logging, immutable retention, temporary credentials και cross-cloud correlation.

Μαθησιακοί στόχοι

Στο τέλος πρέπει να μπορείς να:

• εξηγήσεις το control-plane audit logs και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το identity and token context και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το data-plane versus management-plane telemetry και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το multi-account/project/subscription aggregation και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το log integrity and retention και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το time synchronization and event ordering και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,

Βαθιές τεχνικές έννοιες

1. control-plane audit logs

Cloud audit logs καλύπτουν administrative/API changes σε identity, policy, networking και resources. Ενεργοποίησέ τα και κεντρικοποίησέ τα πριν από incident γιατί μη καταγεγραμμένο event δεν ανακατασκευάζεται μετά.

2. identity και token context

Cloud event χρειάζεται caller, assumed role/service principal, session/token context, source και target resource/account/tenant. Συσχέτισε temporary identity με parent workload/human.

3. data-plane έναντι management-plane logs

Management logs δείχνουν configuration/control και data-plane logs πραγματική data/workload access. Investigation συχνά χρειάζεται και τα δύο για να συνδέσει policy change με επόμενη χρήση.

4. central aggregation

Στείλε logs σε independent security account/project με περιορισμένα delete/admin permissions. Έτσι compromise ενός workload δεν διαγράφει εύκολα τη μοναδική evidence copy.

5. integrity και retention

Χρησιμοποίησε retention, immutability όπου ταιριάζει, restricted deletion και export verification. Retention πρέπει να λαμβάνει υπόψη detection latency, privacy/legal και cost.

6. time synchronization και ordering

Distributed events φτάνουν αργά ή έχουν διαφορετικά timestamps. Κράτησε original και ingestion time και χρησιμοποίησε request/session IDs αντί να θεωρείς display order causal order.

7. cross-cloud normalization

Providers/SaaS έχουν διαφορετικά names για principals/resources/actions. Κάνε normalization σε κοινό schema αλλά διατήρησε raw provider fields ώστε να μη χάνεται semantics.

8. investigation pivots και evidence preservation

Ξεκίνα από identity, resource, IP, request ID, key ή time window και κάνε pivots σε identity/control plane/workload/network/data access. Document queries/time zone και hash important exports.

Καθοδηγούμενο εργαστήριο

• Εργαστήριο 1 — Δημιούργησε συνθετικά συμβάντα πολλαπλών cloud και κανονικοποίησε πέντε πεδία από τρία διαφορετικά σχήματα παρόχων.

• Εργαστήριο 2 — Κατασκεύασε χρονογραμμή διερεύνησης για υποθετική αλλαγή πολιτικής, ασυνήθιστη πρόσβαση και αποκατάσταση.

• Εργαστήριο 3 — Σχεδίασε βαθμίδες διατήρησης για πολύτιμα αρχεία ελέγχου, θορυβώδη συμβάντα πρόσβασης δεδομένων και στιγμιότυπα διερεύνησης.

Πλήρες αγγλικό μάθημα

English Module 137

Επόμενα μαθήματα

Σχετικά modules: 019, 023, 037, 047, 059, 076, 080, 105, 106. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.