Cegando a defesa: abuso de serviços de logging na nuvem para evasão e ocultação

Atacantes não estão mais só apagando logs, eles estão cegando defensores com precisão cirúrgica. O alvo é o próprio mecanismo de visibilidade: o router (trail no AWS, sink no Google Cloud), o destino (S3 bucket ou log bucket) e até a criptografia que protege os registros. Isso não é ruído operacional. É um ataque coordenado ao sistema de 'memória' da nuvem, onde cada log deveria ser uma prova forense imutável, mas vira uma fonte manipulável.

O risco real está na falsa sensação de segurança: enquanto os painéis do SIEM continuam ativos, os dados que alimentam esses painéis já foram desviados, criptografados com chaves inacessíveis ou sobrescritos com eventos falsos. E o pior: técnicas como o uso de sinks novos ou trails direcionados para contas externas não geram alertas óbvios, especialmente em ambientes sem monitoramento de criação de recursos de logging via EventBridge ou Cloud Audit Logs.

Isso não é sobre 'perda de logs'. É sobre perda de soberania operacional. Quando um atacante controla o fluxo de logs, ele define o que o SOC vê, e o que nunca vai ver. Um único trail redirecionado para uma conta maliciosa pode entregar em tempo real toda mudança de política IAM, toda nova instância EC2, todo acesso a bucket S3 com dados sensíveis. E se o defensor não souber que há um segundo 'cérebro' coletando tudo, a investigação começa tarde, e termina com conclusões erradas.