💎 پایان خرابکاری بی‌ردپا در VMware؟ قابلیت جدیدی که حتی تغییرات مخفیانه ادمین‌ها را افشا می‌کند!

‏ Broadcom این بار با قابلیت Audit Trail در VMware Cloud Foundation 9.1 به سراغ یکی از خطرناک‌ترین تهدیدهای دیتاسنتر رفته است: سوءاستفاده از دسترسی‌های مدیریتی!
در مقاله فنی منتشرشده در ۱۳ اکتبر ۲۰۲۶، VMware نشان داده که چگونه قابلیت‌های جدید Audit Records و Audit Trail می‌توانند فعالیت‌های مشکوک را در اجزای مختلف زیرساخت مجازی‌سازی ردیابی کنند.

VMware Cloud Foundation (VCF)

🚨 سناریوی ترسناک: وقتی مهاجم ردپای خود را پاک می‌کند!
تصور کنید مهاجمی به حساب مدیریتی vCenter دسترسی پیدا کرده و اقدامات زیر را انجام دهد:
1. سطح دسترسی یک Service Account را از Read-Only به دسترسی بالاتر تغییر دهد.
2. با آن حساب تعدادی VM حساس Production را خاموش و حذف کند.
3. از طریق SSH یا API به اجزای دیگر مانند NSX دسترسی پیدا کند.
4. در پایان، سطح دسترسی حساب را به حالت قبلی بازگرداند تا فعالیتش کمتر جلب توجه کند.
آیا تیم امنیت متوجه خواهد شد چه کسی، چه زمانی و از کدام مسیر این عملیات را انجام داده است؟
این دقیقاً الگوی حمله‌ای است که VMware در سناریوی فنی Audit Trail بررسی کرده است؛ البته سناریو یک نمونه آموزشی است، نه گزارش یک حمله واقعی تأییدشده.
⚡ قابلیت‌های جدید Audit Trail
‏ Cross-Component Forensics: ارتباط‌دادن رخدادهای امنیتی در vCenter، NSX و سایر اجزای پشتیبانی‌شده.
-‏Privilege Escalation Tracking: بررسی تغییرات مشکوک در سطح دسترسی حساب‌ها.
-‏Lateral Movement Investigation: شناسایی الگوهای حرکت مهاجم میان بخش‌های مدیریتی زیرساخت.
-‏Centralized Audit Records: مشاهده یکپارچه رخدادهای امنیتی، همراه با وضعیت Success/Failure و Severity.
-‏Timeline Analysis: بررسی زنجیره فعالیت‌ها در بازه‌های زمانی ۵ تا ۱۵ دقیقه‌ای.
 
‏ VMware Cloud Foundation (VCF) Blog
🔍 نمونه Eventهایی که در بررسی امنیتی اهمیت دارند
نمونه Audit Events :

‏Event کاربرد
‏sso.login.failure ورود ناموفق
‏ssh.connect. اتصال SSH
‏account.set.role.global.propagate
تغییر مجوز حساب
‏vm.delete حذف ماشین مجازی
‏role.delete حذف نقش امنیتی

💣 بخش جنجالی ماجرا
سال‌هاست مدیران VMware برای بررسی رخدادها از vCenter Events، لاگ‌های ESXi، NSX و ابزارهای SIEM مانند Splunk استفاده می‌کنند.
حالا Broadcom تلاش کرده بخشی از همین تحلیل‌های امنیتی را در VCF Operations یکپارچه کند.
اما سؤال مهم اینجاست:
آیا این قابلیت می‌تواند جایگزین SIEM شود یا صرفاً یک ابزار مکمل برای بررسی رخدادهای زیرساخت VMware است؟
‏Audit Trail امکان بررسی و ارتباط‌دادن رویدادها را فراهم می‌کند، اما به‌تنهایی جایگزین تمام قابلیت‌های SIEM، مانند همبستگی گسترده لاگ‌های سازمان، Threat Intelligence و پاسخ خودکار به رخدادها نیست.

@iranopensource🌎