01 · 跨云日志架构：归集、规范化与留存
统一检测的地基是统一日志。三大云审计日志体系——AWS CloudTrail（管理事件默认记录全部控制面API调用；数据事件需显式启用）、Azure Activity Log（订阅级控制面操作）+资源诊断日志、Google Cloud Audit Logs（Admin Activity默认记录，Data Access与Access Transparency需配置）——在事件结构、字段命名与交付方式上互不相同。跨云日志架构的标准解法：各云日志→组织级汇聚（S3/Storage/Bucket或消息队列）→统一SIEM/数据湖（Microsoft Sentinel、Google Security Operations/Chronicle、Splunk或国内等保要求下的本地化SIEM）。
| 层 | 要点 | 多云坑点 |
|---|---|---|
| 采集 | 管理事件全量+数据事件按风险启用；流日志/DNS/负载均衡日志按需 | CloudTrail按Region分片、Azure按订阅分片——漏配一个Region/订阅即盲区 |
| 传输完整性 | 日志桶开启对象锁/MFA删除防护；CloudTrail日志文件验证 | 「先关日志再攻击」是标准反取证手法——日志服务停用须秒级告警（见第2页战术表） |
| 规范化 | 映射到统一数据模型（如OCSF开放网络安全模式，AWS主导开源） | 谁/在哪/干了什么/作用于何资源四要素对齐；时钟以NTP统一 |
| 留存 | 《网络安全法》第21条：网络日志留存不少于六个月；取证场景建议≥1年 | 各云默认留存普遍偏短，需显式配置生命周期 |
02 · 检测工程：Sigma规则与ATT&CK云战术映射
跨云检测应遵循「行为规则抽象→平台适配→持续度量」的工程方法：以Sigma等通用检测规则语言编写与厂商无关的行为规则，再经后端适配器编译为各SIEM查询语法。规则覆盖框架直接映射MITRE ATT&CK Cloud战术（第2页）：初始访问、持久化、权限提升、防御规避、横向移动、收集、渗出七大域。
title: Cloud Audit Logging Disabled
status: stable
logsource:
product: cloud # 后端适配：aws-cloudtrail / azure-activity / gcp-audit
service: control-plane
detection:
selection:
eventSource: | # 平台适配层填充实际字段
- cloudtrail.amazonaws.com # StopLogging / DeleteTrail / PutEventSelectors
- Microsoft.Insights/diagnosticSettings # 删除诊断设置
- audit.googleapis.com # SetIamPolicy 停用日志服务账号
eventName:
- StopLogging
- DeleteTrail
- Delete
condition: selection
level: high
# 关联增强：同一主体在此前1小时内执行过敏感数据访问 → 直接升级为Critical| 检测场景 | 规则要点 | 响应动作 |
|---|---|---|
| 凭证泄露使用 | 不可能旅行、异常ASN、MFA异常后敏感API调用 | 冻结会话、强制重认证、令牌吊销、凭证轮换 |
| 权限提升 | 通配符策略附加、角色信任修改、组织级角色变更 | 自动回滚+人工复核（高危误报率需度量调优） |
| 反取证 | 日志服务停用/删除/缩短留存、告警规则静默 | 该场景默认Critical——正常变更走IaC，控制台改动即可疑 |
| 数据渗出 | 非常规区域、出境激增、打包行为（GetObject批量模式） | 临时阻断+快照取证+DLP联动（第6页） |
| 跨云横向 | 联邦令牌链异常跳数、AssumeRole/TokenExchange离群 | 按信任链图谱定位入口云、全云同步隔离 |
2.1 检测工程治理要点
- 规则即代码：Sigma规则版本化管理（仓库化、PR评审、变更可追溯），检测逻辑与ATT&CK技术编号映射登记，覆盖率按战术域逐季度量。
- 误报治理：每条规则标注预期误报率与调优责任人；连续高误报规则进入整改或下线流程，防止告警疲劳吞噬对「反取证」类低误报高价值规则的响应速度。
- 数据质量监控：日志源断流、字段缺失、时钟漂移作为检测管道的一等公民监控——规则再完善，数据断流即整体失明。
- 红蓝对抗校验：第4节演练科目同时充当检测规则的实战校验场，未检出即规则缺陷工单。
KEV驱动：美国CISA「已知被利用漏洞（KEV）目录」持续收录云组件相关在野利用漏洞，应作为跨云补丁优先级的权威外部输入（详见专题主页面动态条目）。
03 · 跨云事件响应：流程与取证要点
3.1 跨云IR总流程
多云事件的复杂度在于「同一事件、多个现场」：入口可能在SaaS，落地在A云，横向到B云，数据位于C云的数据仓库。标准流程：①确认与定级（单云事件 vs 跨云事件）→②入口云止损（冻结身份、隔离资源）→③信任链全图排查（第3页信任清单+第2页攻击面清单逐条核对）→④跨云同步遏制（各云并行执行，防「这边封、那边跑」）→⑤取证与根因→⑥恢复与复盘（控制项回写基线）。
3.2 两类高频事件的处置手册要点
| 事件类型 | 黄金1小时动作 | 取证要点 |
|---|---|---|
| 凭证/账号失陷 | 全云吊销会话与令牌、禁用账号、重置密钥、冻结API访问 | 登录日志+令牌颁发日志完整保全；恶意IP清单沉淀进检测 |
| 根账号/组织级失陷 | 各云break-glass账号介入、冻结组织变更、SCP/Policy临时收紧到只读 | 组织级审计日志（Organization trail等）优先保全——常规账号日志可能已被攻击者清除 |
| 数据泄露疑似 | 涉事存储桶快照、访问日志完整导出、DSPM全量复扫 | 按第6页出境台账判定是否触发监管通报（网安法/数安法/PIPL时限） |
| SaaS平台事件 | 评估自身暴露面（受影响租户功能、数据范围）、轮换授权令牌 | 平台方通报+自有日志交叉验证（第三方通报不可单独采信） |
3.3 多云取证基础
- 磁盘取证：EBS快照/Azure托管磁盘快照/GCP磁盘克隆——先快照后分析，避免污染现场
- 内存与运行时：VM内存获取能力各云不一，eBPF类运行时遥测（子课题02）可作为补充证据源
- 日志完整性：日志桶对象锁+校验文件（CloudTrail日志文件验证）确保证据链可用
- 时间线重建：跨云统一时区（UTC）对齐四要素时间戳，事件序列以分钟级精度还原
04 · 攻防演练：多云专属科目
演练是把上述能力「用熟」的唯一方式。多云专属演练科目（在自有/授权环境执行）：
| 科目 | 场景设计 | 验证能力 |
|---|---|---|
| 跨云横向移动 | 从A云失陷工作负载经互联通道触达B云元数据服务/内部服务 | 东西向分段有效性、互联边界告警、信任链检测 |
| SaaS入口战役 | 模拟钓鱼获取SaaS会话→经SaaS API访问云数据仓库（UNC5537路径复刻） | CASB/API模式检测、会话异常告警、分钟级响应 |
| 反取证对抗 | 尝试停用日志服务、缩短留存、删除告警规则 | 日志完整性防护与停用告警时效 |
| 根账号接管 | 模拟组织管理员失陷场景 | break-glass流程、组织级日志保全、跨云应急协同 |
| 灾备切换安全 | 主备切换后验证：策略是否同步、临时放宽是否回收 | 切换剧本中的安全门禁、配置漂移回补 |
4.1 度量指标
| 指标 | 定义 | 目标参考 |
|---|---|---|
| MTTD | 事件首次恶意行为→告警产生 | 高危场景分钟级—小时级 |
| MTTR | 告警→遏制完成 | 凭证类<4小时；数据类按预案 |
| 覆盖率 | ATT&CK云战术中已部署检测的技术占比 | 逐年提升并公开内部看板 |
| 日志健康度 | 应采集源实际采集率、日志服务存活率 | 100%/99.9% |
| 演练达标率 | 科目按时完成+整改项闭环率 | 整改闭环100% |
本节参考来源（第7页）
《中华人民共和国网络安全法》（2017年施行）第二十一条（网络日志留存不少于六个月）。
AWS CloudTrail官方文档（含日志文件验证与组织级跟踪）、Azure Activity Log与Diagnostic Settings官方文档、Google Cloud Audit Logs官方文档（以当前版本为准）。
Sigma通用检测规则项目：github.com/SigmaHQ/sigma。
MITRE ATT&CK Cloud战术矩阵：attack.mitre.org（企业矩阵，含云平台）。
CISA Known Exploited Vulnerabilities Catalog：cisa.gov。
OCSF（Open Cybersecurity Schema Framework）：schema.ocsf.io。
NIST SP 800-61r2《Computer Security Incident Handling Guide》与SP 800-86《取证技术集成指南》：csrc.nist.gov。
Microsoft Sentinel、Google Security Operations官方文档（多云数据连接器清单以当前版本为准）。
Mandiant《M-Trends 2025》：2024年全球攻击者中位驻留时间（dwell time）11天，凭据类初始访问占比16%——行为检测与分钟级响应的时效背景：cloud.google.com威胁情报博客。