GCP - Logging Enum

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks

Informations de base

Ce service permet aux utilisateurs de stocker, rechercher, analyser, surveiller et alerter sur les données et événements de journal provenant de GCP.

Cloud Logging est entiĂšrement intĂ©grĂ© avec d’autres services GCP, fournissant un rĂ©fĂ©rentiel centralisĂ© pour les journaux de toutes vos ressources GCP. Il collecte automatiquement les journaux de divers services GCP comme App Engine, Compute Engine et Cloud Functions. Vous pouvez Ă©galement utiliser Cloud Logging pour des applications fonctionnant sur site ou dans d’autres clouds en utilisant l’agent ou l’API Cloud Logging.

Fonctionnalités clés :

  • Centralisation des donnĂ©es de journal : AgrĂ©ger les donnĂ©es de journal provenant de diverses sources, offrant une vue d’ensemble de vos applications et de votre infrastructure.
  • Gestion des journaux en temps rĂ©el : Diffuser les journaux en temps rĂ©el pour une analyse et une rĂ©ponse immĂ©diates.
  • Analyse de donnĂ©es puissante : Utiliser des capacitĂ©s de filtrage et de recherche avancĂ©es pour trier rapidement de grands volumes de donnĂ©es de journal.
  • IntĂ©gration avec BigQuery : Exporter les journaux vers BigQuery pour une analyse et des requĂȘtes dĂ©taillĂ©es.
  • MĂ©triques basĂ©es sur les journaux : CrĂ©er des mĂ©triques personnalisĂ©es Ă  partir de vos donnĂ©es de journal pour la surveillance et l’alerte.

Flux de journaux

https://betterstack.com/community/guides/logging/gcp-logging/

Fondamentalement, les sinks et les mĂ©triques basĂ©es sur les journaux dĂ©termineront oĂč un journal doit ĂȘtre stockĂ©.

Configurations prises en charge par GCP Logging

Cloud Logging est hautement configurable pour répondre à divers besoins opérationnels :

  1. Seaux de journaux (Stockage des journaux sur le web) : Définir des seaux dans Cloud Logging pour gérer la conservation des journaux, offrant un contrÎle sur la durée de conservation de vos entrées de journal.
  • Par dĂ©faut, les seaux _Default et _Required sont crĂ©Ă©s (l’un enregistre ce que l’autre n’enregistre pas).
  • _Required est :
```bash
LOG_ID("cloudaudit.googleapis.com/activity") OR LOG_ID("externalaudit.googleapis.com/activity") OR LOG_ID("cloudaudit.googleapis.com/system_event") OR LOG_ID("externalaudit.googleapis.com/system_event") OR LOG_ID("cloudaudit.googleapis.com/access_transparency") OR LOG_ID("externalaudit.googleapis.com/access_transparency")
```
  • La pĂ©riode de conservation des donnĂ©es est configurĂ©e par bucket et doit ĂȘtre d’au moins 1 jour. Cependant, la pĂ©riode de conservation de _Required est de 400 jours et ne peut pas ĂȘtre modifiĂ©e.
  • Notez que les Log Buckets ne sont pas visibles dans Cloud Storage.
  1. Log Sinks (Routeur de logs dans le web) : CrĂ©ez des sinks pour exporter des entrĂ©es de logs vers diverses destinations telles que Pub/Sub, BigQuery ou Cloud Storage en fonction d’un filtre.
  • Par dĂ©faut, des sinks pour les buckets _Default et _Required sont crĂ©Ă©s :

_Required logging.googleapis.com/projects//locations/global/buckets/_Required LOG_ID(“cloudaudit.googleapis.com/activity”) OR LOG_ID(“externalaudit.googleapis.com/activity”) OR LOG_ID(“cloudaudit.googleapis.com/system_event”) OR LOG_ID(“externalaudit.googleapis.com/system_event”) OR LOG_ID(“cloudaudit.googleapis.com/access_transparency”) OR LOG_ID(“externalaudit.googleapis.com/access_transparency”) _Default logging.googleapis.com/projects//locations/global/buckets/_Default NOT LOG_ID(“cloudaudit.googleapis.com/activity”) AND NOT LOG_ID(“externalaudit.googleapis.com/activity”) AND NOT LOG_ID(“cloudaudit.googleapis.com/system_event”) AND NOT LOG_ID(“externalaudit.googleapis.com/system_event”) AND NOT LOG_ID(“cloudaudit.googleapis.com/access_transparency”) AND NOT LOG_ID(“externalaudit.googleapis.com/access_transparency”)

- **Filtres d'exclusion :** Il est possible de configurer des **exclusions pour empĂȘcher des entrĂ©es de logs spĂ©cifiques** d'ĂȘtre ingĂ©rĂ©es, ce qui permet d'Ă©conomiser des coĂ»ts et de rĂ©duire le bruit inutile.
3. **Métriques basées sur les logs :** Configurez des **métriques personnalisées** basées sur le contenu des logs, permettant des alertes et un suivi basés sur les données de logs.
4. **Vues de logs :** Les vues de logs offrent un contrÎle avancé et **granulaire sur qui a accÚs** aux logs dans vos buckets de logs.
- Cloud Logging **crée automatiquement la vue `_AllLogs` pour chaque bucket**, qui montre tous les logs. Cloud Logging crée également une vue pour le bucket `_Default` appelée `_Default`. La vue `_Default` pour le bucket `_Default` montre tous les logs sauf les logs d'audit d'accÚs aux données. Les vues `_AllLogs` et `_Default` ne sont pas modifiables.

Il est possible de permettre à un principal **d'utiliser uniquement une vue de log spécifique** avec une politique IAM comme :
```json
{
"bindings": [
{
"members": ["user:username@gmail.com"],
"role": "roles/logging.viewAccessor",
"condition": {
"title": "Bucket reader condition example",
"description": "Grants logging.viewAccessor role to user username@gmail.com for the VIEW_ID log view.",
"expression": "resource.name == \"projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID\""
}
}
],
"etag": "BwWd_6eERR4=",
"version": 3
}

Journaux par défaut

Par dĂ©faut, les opĂ©rations Admin Write (Ă©galement appelĂ©es journaux d’audit d’activitĂ© admin) sont celles qui sont enregistrĂ©es (Ă©crire des mĂ©tadonnĂ©es ou des informations de configuration) et ne peuvent pas ĂȘtre dĂ©sactivĂ©es.

Ensuite, l’utilisateur peut activer les journaux d’audit d’accĂšs aux donnĂ©es, qui sont Admin Read, Data Write et Data Write.

Vous pouvez trouver plus d’infos sur chaque type de journal dans la documentation : https://cloud.google.com/iam/docs/audit-logging

Cependant, notez que cela signifie qu’en par dĂ©faut, les actions GetIamPolicy et d’autres actions de lecture ne sont pas enregistrĂ©es. Donc, par dĂ©faut, un attaquant essayant d’énumĂ©rer l’environnement ne sera pas dĂ©tectĂ© si l’administrateur systĂšme n’a pas configurĂ© la gĂ©nĂ©ration de journaux supplĂ©mentaires.

Pour activer plus de journaux dans la console, l’administrateur systĂšme doit se rendre sur https://console.cloud.google.com/iam-admin/audit et les activer. Il existe 2 options diffĂ©rentes :

  • Configuration par dĂ©faut : Il est possible de crĂ©er une configuration par dĂ©faut et d’enregistrer tous les journaux Admin Read et/ou Data Read et/ou Data Write et mĂȘme d’ajouter des principaux exemptĂ©s :
  • SĂ©lectionner les services : Ou simplement sĂ©lectionner les services pour lesquels vous souhaitez gĂ©nĂ©rer des journaux et le type de journaux ainsi que le principal exemptĂ© pour ce service spĂ©cifique.

Notez Ă©galement qu’en par dĂ©faut, seuls ces journaux sont gĂ©nĂ©rĂ©s car gĂ©nĂ©rer plus de journaux augmentera les coĂ»ts.

ÉnumĂ©ration

L’outil en ligne de commande gcloud est une partie intĂ©grante de l’écosystĂšme GCP, vous permettant de gĂ©rer vos ressources et services. Voici comment vous pouvez utiliser gcloud pour gĂ©rer vos configurations de journaux et accĂ©der aux journaux.

# List buckets
gcloud logging buckets list
gcloud logging buckets describe <bucket-name> --location <location>

# List log entries: only logs that contain log entries are listed.
gcloud logging logs list

# Get log metrics
gcloud logging metrics list
gcloud logging metrics describe <metric-name>

# Get log sinks
gcloud logging sinks list
gcloud logging sinks describe <sink-name>

# Get log views
gcloud logging views list --bucket <bucket> --location global
gcloud logging views describe --bucket <bucket> --location global <view-id> # view-id is usually the same as the bucket name

# Get log links
gcloud logging links list --bucket _Default --location global
gcloud logging links describe <link-id> --bucket _Default --location global

Exemple pour vérifier les journaux de cloudresourcemanager (celui utilisé pour BF permissions) : https://console.cloud.google.com/logs/query;query=protoPayload.serviceName%3D%22cloudresourcemanager.googleapis.com%22;summaryFields=:false:32:beginning;cursorTimestamp=2024-01-20T00:07:14.482809Z;startTime=2024-01-01T11:12:26.062Z;endTime=2024-02-02T17:12:26.062Z?authuser=2&project=digital-bonfire-410512

Il n’y a pas de journaux de testIamPermissions :

Post Exploitation

GCP - Logging Post Exploitation

Persistence

GCP - Logging Persistence

Références

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks