ZEKASTRA

VP-08 · Bulut ve SaaS incelemesi

Sızan AWS anahtarı ve depolama sızıntısı: CloudTrail, S3 erişim günlükleri ve herkese açılan kova

Bir AWS hesabının iki buçuk gününe ait 1.651 CloudTrail kaydı, 1.021 S3 sunucu erişim günlüğü satırı ve bir IAM kimlik bilgisi raporu; yanında kod deposu hizmetinin yerel saatli bildirimi. On altı soru, bir derleme anahtarını herkese açık bir depodan bir rol oturumuna, okunan 294 müşteri sözleşmesine, herkese açılan bir kovaya, üç dış adresin indirdiği bir arşive, geride bırakılan ikinci anahtara ve izi durdurmaya yönelik reddedilen denemeye kadar izler.

Sentetik eğitim verisi. Kuruluş, kişiler, cihazlar, seri numaraları ve zamanlar uydurmadır.

01Brifing

Lodos Lojistik A.Ş. müşteri portalını AWS üzerinde çalıştırır (hesap 111122223333, eu-central-1). Derleme hattı, 192.0.2.40 adresli çalıştırıcıdan ci-deploy IAM kullanıcısıyla dağıtım yapar; kullanıcının erişim anahtarı Haziran 2024'ten beri değiştirilmemiştir. 7'yi 8 Ağustos 2026'ya bağlayan gece bir kod deposu hizmeti anahtarın herkese açık bir depoda yayımlandığını bildirdi. 8 Ağustos 09:05 UTC'deki sınırlamadan önce bir inceleme uzmanı CloudTrail'i, iki kovanın S3 sunucu erişim günlüklerini ve IAM kimlik bilgisi raporunu dışa aktardı. Bildirim yerel saattedir.

İç denetim soruyor:

  1. Anahtar derleme hattı dışında biri tarafından kullanıldı mı; yayımlandıktan ne kadar sonra?
  2. Hangi müşteri dosyaları hesaptan çıktı, hangi yolla ve onları kim indirdi?
  3. Oturum geride ne bıraktı; neyi denedi ve başaramadı?

Yalnızca dosyalardan cevap verin. Anahtarları, oturumları, adresleri, kovaları ve nesneleri adlandırın; dış adreslerin arkasında bir kişi ya da grup adlandırmayın. Depo, dış ana makineler ve nesnelerin içeriği incelenmedi.

02Delil dosyaları

DosyaİçerikSHA-256
README.txtSenaryo ve dosya listesiİngilizce ve Türkçe brifing, kurallar ve dosya listesi.5545426a73956f1bffc9296ebae483a43cf61896fedfe87914d9509b81fdfc94
acquisition-log.txtToplama günlüğüNeyin ne zaman ve hangi rolle toplandığı, aralıktan sonraki sınırlama adımları ve derleme hattının, ofisin ve portalın bilinen adresleri.10988ea8dea162058f2ae846427482cb52d5dedc57360ac09a3f2fb848cef9af
export-metadata.txtDışa aktarım parametreleriDört dışa aktarımın aralığı, satır sayısı, zaman esası ve kapsamı. Önce bunu okuyun: CloudTrail veri olayları yalnızca bir kovayı kapsar.8854e417500bcef8af248e1878a924d40f5df16ce49e96acaa63ae4d4c729315
cloudtrail-events.jsonlCloudTrail kayıtlarıSatır başına bir JSON nesnesiyle UTC'li 1.651 kayıt: tüm bölgeler için yönetim olayları ve lodos-musteri-arsiv için S3 veri olayları.9f0d1571cbec7b2d862758879579bc44b6855c80c122004e2918611fe882b341
s3-access-logs.logS3 sunucu erişim günlüklerilodos-musteri-arsiv ve lodos-yedek-paylasim kovalarının UTC'li 1.021 erişim günlüğü kaydı; kimliği doğrulanmamış istekler dahil.f222b86325e2d4e4a5b47ea60edf0c151ee2ba2d02667c99e1f56aee034929f4
iam-credential-report.csvIAM kimlik bilgisi raporu8 Ağustos 08:40 UTC itibarıyla yedi asıl kimlik: parolalar, MFA, her iki erişim anahtarı, her birinin oluşturulma ve son kullanılma zamanı.7f06b2e5745c775354c5e06fe384fed6c498599d67eb4073d2d1c645aa3a0e46
gizli-anahtar-uyarisi.txtGizli bilgi tarama bildirimiKod deposu hizmetinin e-postası: depo, dosya, commit, gönderim ve tespit zamanı; bölge yazılmadan yerel saatle.748c68871ebde473e9bc8f15a97a492d738be7e65526f1530a51833d3ade1139
manifest.txtHash bildirimiKendisi hariç yukarıdaki her dosyanın SHA-256 değeri. Başlamadan önce doğrulayın.(bildirimin kendisi)

Yukarıdaki hash değerleri manifest.txt'den kopyalanmıştır. Bunları kendiniz yeniden hesaplayın, örneğin hash aracıyla ya da sha256sum ile.

Bu dosyaları İnceleme Masasında da inceleyebilirsiniz: hash denetimi, tek UTC zaman çizelgesi, oturumlar ve bulgu taslağı tarayıcıda.

03Başlamadan önce

  • Başka hiçbir şeyi okumadan önce her dosyayı manifest.txt ile doğrulayın ve sonucu inceleme günlüğünüze yazın.
  • Dışarı aldığınız her zamanın yanına zaman esasını yazın. Dışa aktarımlar UTC'dir; bildirim yerel saattir.
  • Kullanıcı adlarını değil erişim anahtarı kimliklerini izleyin: bir rol oturumunun kendi anahtarı vardır ve bir AssumeRole kaydında verilir.
  • Nesneleri anahtarla ve yalnızca istek başarılıysa sayın. Her sayının yanına kullandığınız süzgeci yazın.

Notlarınızı şu formlarda tutun: F-02 Delil kabul formu ve F-04 İnceleme günlüğü.

04Sorular

Yalnızca dosyalardan cevaplayın. Her cevap bu tarayıcıda kontrol edilir ve hiçbir yere gönderilmez; cevaplarınız siz temizleyene kadar bu cihazda kalır. 16 soru, 30 puan.

  1. S011 puancloudtrail-events.jsonlmanifest.txt

    8 onaltılık karakter

  2. S022 puancloudtrail-events.jsonlacquisition-log.txt

    YYYY-AA-GG SS:DD:ss, UTC

  3. S032 puangizli-anahtar-uyarisi.txtcloudtrail-events.jsonlexport-metadata.txt

    Tam sayı, dakika

  4. S042 puancloudtrail-events.jsonl

    Tam sayı

  5. S051 puancloudtrail-events.jsonl

    Bir rol adı

  6. S062 puancloudtrail-events.jsonl

    Bir erişim anahtarı kimliği

  7. S072 puancloudtrail-events.jsonl

    Gecenin GetObject kayıtları ci-deploy'u değil rolü adlandırıyor. Onları sızan anahtara ne bağlar?

  8. S082 puancloudtrail-events.jsonls3-access-logs.log

    Tam sayı

  9. S092 puancloudtrail-events.jsonlexport-metadata.txt

    Oturumun kimlik-belgeleri/ altındaki 24 GetObject isteği kms:Decrypt ile ilgili bir errorMessage ile reddedildi. Rapor ne demeli?

  10. S102 puancloudtrail-events.jsonl

    YYYY-AA-GG SS:DD:ss, UTC

  11. S112 puancloudtrail-events.jsonls3-access-logs.logexport-metadata.txt

    CloudTrail'de gece boyunca lodos-yedek-paylasim kovasına PutObject yok. Ne sonuca varırsınız?

  12. S122 puans3-access-logs.log

    YYYY-AA-GG SS:DD:ss, UTC

  13. S132 puans3-access-logs.log

    Tam sayı

  14. S142 puancloudtrail-events.jsonliam-credential-report.csv

    Bir erişim anahtarı kimliği

  15. S152 puancloudtrail-events.jsonl

    22:21:40'ta sızan anahtar lodos-org-trail üzerinde cloudtrail:StopLogging çağırdı. Kayıt tutmaya ne oldu?

  16. S162 puancloudtrail-events.jsonls3-access-logs.logiam-credential-report.csvgizli-anahtar-uyarisi.txt

    İnceleyen kişi yalnızca bu dosyalara dayanarak hangi cümleyi imzalayabilir?

Puan 0 / 30

05Bulgunuz

Son adım: üç denetim sorusunu bir bulgu olarak cevaplayan tek bir paragraf yazın. Eğitmeniniz bunu dört ölçüte göre değerlendirir:

  • Her zaman kendi esasını taşır; bildirim yerel saatten çevrilir.
  • Rapor erişim anahtarı kimliklerini AssumeRole boyunca izler ve rol oturumunun sızan anahtara nasıl bağlandığını söyler.
  • Nesneler anahtarla ve yalnızca istek başarılıysa sayılır; reddedilen istekler deneme olarak raporlanır.
  • Rapor veri olayı kapsamını belirtir ve CloudTrail'in kapsamadığı kova için erişim günlüğünü kullanır.
  • Sınırlama iki anahtarı, rolün güven ilkesini, herkese açık kovayı ve indiren üç adresi kapsar.

Bulgular nasıl ifade edilir →

İrtibat ve hizmet talepleri

Bu sayfayla ilgili inceleme hizmeti, bilirkişilere destek ve iş birliği için irtibat kurun. Lütfen e-postaya delil dosyası ya da kişisel veri eklemeyin.

İrtibat sayfası →