MITRE ATT&CK - Técnica

T1685.002: Disable or Modify Cloud Log

Disable or Modify Cloud Log (T1685.002) é uma técnica catalogada no MITRE ATT&CK Enterprise usada como referência para mapear comportamento adversário em auditorias de segurança.

Técnica T1685.002 Enterprise ATT&CK

Contexto para AppSec

Em uma auditoria de AppSec, Disable or Modify Cloud Log deve ser usada para revisar caminhos em que código, configuração, dependências ou infraestrutura podem viabilizar o comportamento descrito pela MITRE. No ATT&CK, ela aparece em Defense Impairment. As plataformas mapeadas pela MITRE incluem IaaS, SaaS, Identity Provider e Office Suite. No Vigly, esse contexto ajuda a conectar evidências do repositório com priorização e remediação.

Tática/fase Defense Impairment
Plataformas MITRE IaaS, SaaS, Identity Provider, Office Suite

Descrição oficial original do MITRE ATT&CK

An adversary may disable or modify cloud logging capabilities and integrations to limit what data is collected on their activities and avoid detection. Cloud environments allow for collection and analysis of audit and application logs that provide insight into what activities a user does within the environment. If an adversary has sufficient permissions, they can disable or modify logging to avoid detection of their activities. For example, in AWS an adversary may disable CloudWatch/CloudTrail integrations prior to conducting further malicious activity. They may alternatively tamper with logging functionality, for example, by removing any associated SNS topics, disabling multi-region logging, or disabling settings that validate and/or encrypt log files. In Office 365, an adversary may disable logging on mail collection activities for specific users by using the Set-MailboxAuditBypassAssociation cmdlet, by disabling M365 Advanced Auditing for the user, or by downgrading the user’s license from an Enterprise E5 to an Enterprise E3 license.

Ver fonte oficial no MITRE ATT&CK

Como o Vigly audita a técnica Disable or Modify Cloud Log automaticamente na sua pipeline

O Vigly cruza sinais de SAST, modelagem de ameaças, regras de negócio e evidências do repositório para priorizar riscos reais antes que eles cheguem à produção.

Conhecer a plataforma