T1578

تغییر زیرساخت محاسباتی ابری

Modify Cloud Compute Infrastructure

توضیحات

مهاجمان سرویس‌های محاسباتی ابری را تغییر می‌دهند تا از دفاع‌ها فرار کنند و شواهد را حذف کنند. این تکنیک شامل ایجاد snapshot، ایجاد یا حذف instance‌های ابری و revert کردن به snapshot‌های قبلی می‌شود.

زیرتکنیک‌ها (2)

شناسهنام
ایجاد SnapshotCreate Snapshot

مهاجمان snapshot‌هایی از volume‌های ابری ایجاد می‌کنند تا داده‌های حساس را استخراج کنند. با ایجاد snapshot از volume‌های حاوی داده‌های حساس، مهاجمان می‌توانند آن‌ها را در حساب‌های خود mount کنند.

حذف Cloud InstanceDelete Cloud Instance

مهاجمان instance‌های ابری را پس از استفاده حذف می‌کنند تا آثار فعالیت خود را پنهان کنند. حذف instance می‌تواند لاگ‌ها و شواهد فعالیت مخرب را از بین ببرد.

روش‌های شناسایی

نظارت بر تغییرات زیرساخت ابری. بررسی لاگ‌های CloudTrail. شناسایی ایجاد یا حذف غیرعادی instance. تحلیل فعالیت‌های ابری.

روش‌های مقابله

نظارت بر تغییرات زیرساخت ابری. پیاده‌سازی IAM با حداقل سطح دسترسی. استفاده از MFA. بررسی منظم تغییرات. پیاده‌سازی Cloud Security Posture Management.