Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Aprile! Scopri di più
Spegnere i Log Cloud: Disable or Modify Cloud Logs (T1562.008)
La tecnica Disable or Modify Cloud Logs descrive uno scenario in cui un avversario, una volta ottenuto un livello sufficiente di privilegi in un ambiente cloud, disattiva o altera i servizi di logging per cancellare la propria traccia operativa. Si colloca nella tattica Defense Evasion (TA0005), la fase della kill chain in cui l'attaccante lavora attivamente per non farsi individuare.
Il concetto è semplice ma devastante: se non esistono log, non esiste evidenza. In AWS ciò può significare interrompere CloudTrail o eliminare le integrazioni con CloudWatch e gli SNS topic associati. In ambienti Microsoft 365, l'attaccante può disattivare l'audit sulle caselle di posta tramite cmdlet PowerShell dedicati, oppure declassare la licenza di un utente da Enterprise E5 a E3, rimuovendo di fatto le funzionalità di Advanced Auditing.
La pericolosità di questa tecnica risiede nel suo effetto moltiplicatore: ogni azione successiva — esfiltrazione di email, movimento laterale, persistenza — avviene in un vuoto informativo. Il team di difesa si trova a ricostruire un'intrusione con pagine mancanti dal registro. È una tecnica che non produce danni diretti ma abilita tutto ciò che segue, rendendola un cardine nelle operazioni di gruppi sofisticati.
La simulazione di questa tecnica in un laboratorio cloud richiede un account con permessi elevati — tipicamente un ruolo IAM con policy AdministratorAccess o equivalenti. L'obiettivo è dimostrare al cliente quanto sia facile spegnere la visibilità e quanto tempo impiega il SOC ad accorgersene.
Ambiente AWS — Disabilitazione di CloudTrail
Il primo scenario prevede l'uso diretto della CLI AWS. Per arrestare il logging su un trail esistente:
aws cloudtrail stop-logging --name management-trail
Questo singolo comando interrompe la raccolta eventi. Per un approccio più aggressivo, si può eliminare completamente il trail:
aws cloudtrail delete-trail --name management-trail
Un attaccante sofisticato potrebbe preferire un approccio più sottile, disattivando solo il logging multi-region o la validazione dell'integrità dei file di log:
aws cloudtrail update-trail --name management-trail --no-is-multi-region-trail --no-enable-log-file-validation
Per simulare la rimozione delle notifiche SNS — impedendo così agli alert downstream di attivarsi — il comando è:
aws sns delete-topic --topic-arn
Il tool Pacu (open source), sviluppato da Rhino Security Labs, automatizza queste operazioni attraverso moduli dedicati. Pacu può enumerare i trail attivi, disabilitarli e interrompere i VPC Flow Logs con pochi comandi interattivi. Dopo l'installazione tramite pip, si avvia una sessione e si esegue il modulo pertinente:
run detection__enum_services
seguito dai moduli di disabilitazione specifici per CloudTrail e Flow Logs. La forza di Pacu sta nella sua capacità di concatenare le azioni in un flusso d'attacco realistico.
Ambiente Microsoft 365 — Disabilitazione audit mailbox
Per replicare lo scenario Office 365, si utilizza il modulo Exchange Online PowerShell. Dopo la connessione al tenant:
Set-MailboxAuditBypassAssociation -Identity "utente@dominio.com" -AuditBypassEnabled $true
Questo cmdlet esclude l'utente specificato dall'auditing delle operazioni sulla casella di posta. In un engagement reale, si consiglia di documentare lo stato pre-modifica con Get-MailboxAuditBypassAssociation e ripristinare immediatamente dopo il test. L'intera sequenza va concordata con il cliente, poiché la disattivazione dell'audit crea un reale gap di visibilità durante il test.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo