T1685.002: 禁用或修改云日志

摘要

攻击者可能禁用或修改云日志记录能力和集成，以限制对其活动收集的数据并避免检测。云环境允许收集和分析审计和应用程序日志，这些日志提供对用户在环境中所做活动的洞察。如果攻击者拥有足够的权限，他们可以禁用或修改日志记录以规避对其活动的检测。 例如，在 AWS 中，攻击者可能在进一步进行恶意活动之前禁用 CloudWatch/CloudTrail 集成。他们也可以篡改日志记录功能，例如通过移除任何关联的 SNS 主题、禁用多区域日志记录，或禁用验证和/或加密日志文件的设置。(Citation: AWS Cloud Trail)(Citation: Pacu Detection Disruption Module) 在 Office 365 中，攻击者可能通过使用 Set-MailboxAuditBypassAssociation cmdlet 禁用特定用户的邮件收集活动日志记录、为禁用用户的 M365 高级审核，或将用户的许可证从 Enterprise E5 降级为 Enterprise E3 许可证。(Citation: Dark Reading)