GCP-Data-Access-Logs: standardmäßig aus – und andere Lücken
Warum Data-Access-Audit-Logs in GCP die übliche Sackgasse sind: standardmäßig aus, 30 Tage Aufbewahrung, was ohne sie unsichtbar bleibt, was Sie aktivieren.
Beiträge mit Tag: #cloud-audit-logs
Kompromittierung in GCP: ein fiktives Fallbeispiel
Ein fiktiver Google-Cloud-Vorfall von A bis Z: geleakter CI-Schlüssel, Owner für Gmail-Konto, Startskript-Hintertür, öffentlicher Bucket, gelöschter Sink.
GCP-Log-Sink gelöscht? Spurenverwischung in Logs erkennen
Wie Angreifer Verteidiger in Google Cloud blind machen: gelöschte Log-Sinks, Ausschlüsse, Log-Buckets, abgeschaltetes Data-Access-Logging, SCC. Was bleibt.
Exfiltration aus GCS und BigQuery: Spuren in Audit-Logs
Datendiebstahl aus Cloud Storage und BigQuery belegen oder ausschließen: massenhaftes storage.objects.get, öffentliche Buckets, HMAC-Schlüssel, Kopien, Images.
GCP-Kryptomining und Startskript-Hintertüren erkennen
Missbrauch von Compute Engine in GCP-Audit-Logs erkennen: Startskript-Hintertüren, SSH-Schlüssel, deaktiviertes OS Login, GPU-VMs und ungenutzte Regionen.
Impersonation von GCP-Dienstkonten: die Kette nachverfolgen
Impersonation von Dienstkonten in GCP-Audit-Logs verfolgen: GenerateAccessToken, SignBlob, serviceAccountDelegationInfo, actAs und Token-Creator-Rollen.
SetIamPolicy-Missbrauch: Owner-Rechte für Externe aufspüren
SetIamPolicy-Audit-Einträge wie ein Ermittler lesen: bindingDeltas, Owner für Gmail-Konten, fremde Domains, allUsers, Token Creator, Organisationsrichtlinien.
GCP-Audit-Logs analysieren: Schritt für Schritt im Browser
Audit-Logs und VPC Flow Logs aus Google Cloud Schritt für Schritt analysieren: als JSON exportieren, Dateien ablegen, Urteil, Befunde und Zeitleiste auswerten.
Cloud Audit Logs: Log-Typen erklärt und richtig exportieren
Admin Activity, Data Access, System Event und Policy Denied: was jedes Audit-Log erfasst, Aufbewahrung, wichtige Felder und vier Wege, die Logs zu exportieren.
Incident Response in Google Cloud: kompromittiertes Projekt
Ihr Google-Cloud-Projekt ist womöglich kompromittiert. Die Reihenfolge: Identität eindämmen, Audit-Logs sichern, mit methodNames eingrenzen, dann bereinigen.