Enumerazione dei Log: Log Enumeration (T1654)
La tecnica T1654 - Log Enumeration appartiene alla tattica TA0007 (Discovery) e descrive il comportamento con cui un attaccante, dopo aver ottenuto accesso a un sistema, esamina i log locali o centralizzati per estrarre informazioni utili alle fasi successive dell'operazione. I registri di sistema sono una miniera di dati: contengono record di autenticazione, tracce di software installato, mappe di host raggiungibili nella rete interna e, non ultimo, la telemetria che il team di risposta agli incidenti sta osservando in tempo reale.
Questa duplice natura — fonte di intelligence sull'ambiente e finestra sulle attività difensive — rende l'enumerazione dei log un passaggio particolarmente insidioso. Sul lato Windows gli avversari sfruttano binari nativi come wevtutil.exe o cmdlet PowerShell come Get-EventLog e Get-WinEvent; in ambienti Linux si affidano a lettura diretta di /var/log/ o a journalctl; nel cloud emergono utility come CollectGuestLogs.exe dell'Azure VM Agent o chiamate API a CloudWatch e CloudTrail.
L'impatto operativo si misura in 5 gruppi APT documentati (fra cui Volt Typhoon, Mustang Panda, APT5) e 5 famiglie malware che integrano capacità di parsing dei log. La singola mitigazione mappata (M1018 - User Account Management) sottolinea come la difesa passi soprattutto dal contenimento dei privilegi di accesso alle sorgenti di logging.
In un ingaggio red team autorizzato, la log enumeration è una fase silenziosa e ad alto rendimento. Su Windows, i comandi nativi replicano fedelmente quanto osservato in Volt Typhoon: wevtutil.exe qe Security /c:50 /rd:true /f:text per estrarre gli ultimi 50 eventi di sicurezza, oppure Get-EventLog security -Newest 200 | Where-Object {$_.EventID -eq 4624} per isolare i logon riusciti. Un pattern efficace è filtrare gli EventID 4624 (logon), 4672 (privilegi speciali) e 4776 (validazione NTLM) per costruire una mappa degli account privilegiati senza generare traffico di rete.
Per esportazioni massive, wevtutil epl Security C:\ProgramData\sec.evtx consente di copiare l'intero canale in un file EVTX da esfiltrare offline, riducendo il rumore rispetto a query ripetute. In ambienti dove PowerShell è auditato, Get-WinEvent -FilterHashtable @{LogName='Security';ID=4624} -MaxEvents 500 accetta filtri XPath più selettivi.
Su Linux, la simulazione dell'approccio di Aquatic Panda si traduce in grep -E 'Accepted|Failed' /var/log/auth.log per estrarre credenziali validate, seguito da last -F e lastb per lo storico dei logon. journalctl -u sshd --since "7 days ago" offre visibilità sulle sessioni recenti; su distribuzioni con systemd, journalctl _COMM=sudo rivela comandi privilegiati eseguiti.
Su macOS, log show --predicate 'eventMessage contains "authenticated"' --last 24h interroga l'unified log senza toccare file system, mentre fs_usage -w -f filesys può monitorare in tempo reale le scritture su /var/log/system.log.
In ambienti cloud, Pacu (open source) è lo strumento di riferimento per esercitazioni AWS: i moduli cloudtrail__download_event_history e logging__enum_monitoring automatizzano l'enumerazione di CloudTrail e CloudWatch. Su Azure, la CLI az monitor activity-log list riproduce l'accesso ai log di attività, mentre CollectGuestLogs.exe — se presente sulla VM — genera un bundle diagnostico riutilizzabile.
Su ESXi, l'accesso via shell a /var/log/hostd.log, /var/log/vpxa.log e /var/log/vmkernel.log consente di mappare autenticazioni vCenter e operazioni sulle VM. Per un'analisi offline, Chainsaw (open source) e Hayabusa (open source) sono eccellenti per il triage di grandi volumi di EVTX raccolti durante l'operazione, riducendo il tempo dedicato al parsing manuale.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.