تأمين حاويات تخزين السجلات

تخزّن CloudTrail وConfig وFlow Logs بياناتها في النهاية داخل حاويات S3. وتُعد هذه الحاوية جوهرة تاج مسار التدقيق، ولذلك تستحق أقوى وسائل الحماية. فإذا كانت الحاوية آمنة، فلن يتمكن المهاجم الذي يخترق أحد أعباء العمل من الوصول إلى الأدلة المتعلقة بما فعله.

يتمثل الضابط الأول في S3 Block Public Access، الذي يضمن عدم كشف حاوية السجلات على الإنترنت مطلقًا. فتسريب حاوية سجلات قابلة للقراءة العامة يكشف تفاصيل تشغيلية حساسة لأي شخص. ويؤدي تفعيل Block Public Access على مستوى الحساب والحاوية إلى إغلاق هذا الخطر بشكل حاسم.

ينبغي أن تسمح سياسة الحاوية المحكمة لخدمة التسجيل وحدها بالكتابة، ولأدوار أمان محددة فقط بالقراءة، مع رفض الوصول عن الجميع سواهم. ويمكنك أيضًا رفض s3:DeleteObject لجميع العناصر الأساسية، بحيث لا يمكن إزالة السجلات من خلال استدعاءات API العادية، وهو خط أساس قوي ضد العبث العشوائي.

يفرض S3 Object Lock تخزينًا بنمط الكتابة مرة واحدة والقراءة مرات متعددة (WORM)، مما يجعل الكائنات غير قابلة للتغيير فعليًا لفترة محددة. وحتى مسؤول الحساب لا يستطيع حذف كائن مقفل أو الكتابة فوقه قبل انتهاء مدة الاحتفاظ. وهذا أقوى دفاع ضد مهاجم أو موظف من الداخل يحاول حذف السجلات.

يحتوي Object Lock على وضعين. في وضع الحوكمة، يستطيع المستخدمون الذين يملكون أذونات خاصة تجاوز القفل. أما في وضع الامتثال، فلا يستطيع أي شخص، ولا حتى المستخدم الجذر، حذف البيانات أو تقصير مدة الاحتفاظ قبل انتهائها. وبالنسبة إلى سجلات التدقيق الخاضعة للتنظيم، يوفر وضع الامتثال أقوى ضمان.

يتطلب Object Lock تفعيل إدارة الإصدارات، التي تحتفظ بكل إصدار من إصدارات الكائن. وتوفر إدارة الإصدارات وحدها فائدة أيضًا: فإذا استبدل مهاجم كائنًا، يظل الإصدار السابق موجودًا. وبدمجها مع رفض DeleteObjectVersion، تجعل إدارة الإصدارات تدمير السجل التاريخي أصعب بكثير من حذف كائن حالي واحد.

يتطلب MFA Delete مصادقة متعددة العوامل لحذف إصدارات الكائنات نهائيًا أو تغيير حالة إدارة الإصدارات. فهو يضيف حاجزًا بشريًا مدعومًا بالأجهزة أمام الإجراءات المدمرة في حاوية السجلات، بحيث لا يستطيع حتى الاعتماد المخترَق حذف الإصدارات بهدوء دون جهاز MFA.

شفّر بيانات السجل أثناء التخزين باستخدام KMS، ويفضل استخدام مفتاح تديره أنت بحيث تقيد سياسته من يمكنه فك التشفير. ويحمي ذلك السرية، لأن السجلات غالبًا ما تحتوي على تفاصيل حساسة مثل أسماء المستخدمين وعناوين IP. كما ينشئ KMS سجل تدقيق لكل عملية فك تشفير، مما يضيف رؤية حول هوية من يقرأ السجلات.

فعّل تسجيل الوصول إلى خادم S3 أو استخدم أحداث البيانات في CloudTrail على حاوية السجلات حتى تتمكن من معرفة من وصل إليها. وأصدر تنبيهًا عند عمليات القراءة غير المتوقعة أو أي محاولة حذف. وتضمن مراقبة حاوية السجلات نفسها أن الهجوم على أدلتك سيُسجَّل، للمفارقة، هو الآخر.

لا يكفي إعداد واحد وحده. إن الجمع بين Block Public Access، وسياسة الحاوية الرافضة للحذف، وObject Lock في وضع الامتثال، وإدارة الإصدارات، وMFA Delete، وتشفير KMS يجعل الحاوية مقاومة للحذف والتعديل والكشف. والهدف هو الدفاع المتعمق، إذ تغطي كل طبقة ثغرات الطبقات الأخرى.

تكون حاوية السجلات المؤمَّنة جيدًا غير قابلة للتغيير، وخاصة، ومشفَّرة، وتخضع للمراقبة. وبدمجها مع التحقق من صحة ملفات سجلات CloudTrail لاكتشاف العبث، تضمن بقاء أدلتك وسلامتها القابلة للإثبات. وهذا التحصين على مستوى الحاوية هو بالضبط ما تتوقعه سيناريوهات الاختبار المتعلقة بحماية السجلات.

اختبروا معرفتكم بتقوية الحاويات.

قوّوا حاويات السجلات باستخدام ضوابط متعددة الطبقات: Block Public Access، وسياسة حاوية تمنع الحذف، وS3 Object Lock (وضع Compliance غير قابل للكسر، بينما يمكن تجاوز وضع Governance)، وتفعيل الإصدارات، وMFA Delete، وتشفير KMS لحماية السرية. راقبوا الوصول باستخدام S3 access logging أو أحداث البيانات في CloudTrail. وتجعل هذه الضوابط السجلات غير قابلة للتغيير، خاصة، وتحت المراقبة.