التحقق من ملفات سجلات CloudTrail

يتيح لك التحقق من صحة ملفات سجلات CloudTrail إثبات أن ملفات السجل التي تم تسليمها إلى S3 لم تُعدَّل أو تُحذف أو تُزوَّر بعد أن كتبها CloudTrail. وهذه الميزة تحول عبارة «نأمل أن تكون السجلات سليمة» إلى «يمكننا إثبات ذلك تشفيريًا». ويُعد تفعيلها أفضل ممارسة لا تتطلب سوى نقرة واحدة في أي مسار.

عند تفعيلها، ينشئ CloudTrail ملف ملخص كل ساعة، يشير إلى ملفات السجل التي تم تسليمها خلال تلك الفترة ويحتوي على تجزئة لكل ملف. وتُوقَّع ملفات الملخص نفسها. وتشكل هذه الملفات معًا سلسلة تتيح لك التحقق من أن كل ملف سجل لم يتغير ومن عدم فقدان أي ملف.

تتم تجزئة كل ملف سجل باستخدام SHA-256، ويُوقَّع ملف الملخص باستخدام SHA-256 with RSA. وبما أن أي تغيير في ملف السجل يغير تجزئته، ولأن الملخص موقَّع تشفيريًا، فلا يستطيع المهاجم تغيير سجل دون كسر هذه الحسابات الرياضية. وهذا ما يجعل السجلات كاشفة للعبث.

يشير كل ملف ملخص أيضًا إلى ملف الملخص السابق، مكونًا تسلسلًا مترابطًا ساعة بعد ساعة. ويعني هذا الترابط إمكانية اكتشاف ليس فقط ملف السجل المعدَّل، بل أيضًا الملخص المفقود أو المحذوف، لأن الفجوة تقطع السلسلة. وهذه السلسلة المستمرة هي التي تثبت اكتمال السجلات بمرور الوقت.

تتحقق من السلامة باستخدام أمر CLI المسمى validate-logs، الذي يفحص توقيعات الملخصات وتجزئات ملفات السجل المشار إليها ضمن نطاق زمني. ويبلغ عن أي ملف تم تعديله أو حذفه، أو أي ملف ملخص مفقود. ويوفر ذلك للمحققين فحصًا موثوقًا لسلامة السجلات عند الطلب.

من المهم فهم أن التحقق إجراء اكتشافي وليس وقائيًا. فهو لا يمنع أحدًا من حذف ملف سجل، بل يتيح لك إثبات أن ذلك حدث. ولمنع الحذف، تجمع بين التحقق وحمايات الحاوية مثل Object Lock. يخبرك التحقق بالحقيقة، بينما تفرض الضوابط الأخرى الالتزام بها.

توجد ملفات الملخص في حاوية S3 نفسها التي تحتوي على السجلات، ويجب حمايتها بالقدر نفسه من العناية. فإذا تمكن مهاجم من إعادة إنشاء الملخصات أو حذفها بحرية، فسيتم تقويض الدليل. ويؤدي تخزين الملخصات في حاوية مقيدة الوصول، ويفضل أن تكون غير قابلة للتغيير، إلى الحفاظ على ضمان السلامة من البداية إلى النهاية.

يمثل التحقق ركيزة السلامة في حماية السجلات. وهو يعمل بالتكامل مع التخزين غير القابل للتغيير لتحقيق التوافر، ومع التشفير لتحقيق السرية. وفي الاختبار، عندما يسأل السيناريو عن كيفية إثبات عدم العبث بالسجلات بعد تسليمها، فإن التحقق من صحة ملفات سجلات CloudTrail هو الإجابة الدقيقة.

تفعّل التحقق عند إنشاء مسار أو تحديثه، من خلال إعداد واحد. ولا توجد تكلفة إضافية لميزة التحقق نفسها، باستثناء تكلفة تخزين ملفات الملخص المعتادة في S3. وبالنظر إلى فائدتها الكبيرة وتكلفتها الضئيلة، ينبغي تفعيلها في كل مسار دون استثناء.

شغّل التحقق بانتظام، وليس أثناء الحوادث فقط، حتى تكتشف العبث بسرعة. وتعمل بعض الفرق على أتمتة الأمر validate-logs وفق جدول زمني وإصدار تنبيه عند حدوث أي فشل. ويحوّل التحقق المنتظم هذه الميزة من إجراء لاحق للتحقيق الجنائي إلى مراقب نشط لسلامة مسار التدقيق.

أثناء التدقيق، يوفر التحقق من صحة ملفات السجل دليلًا تشفيريًا على أن مسار التدقيق كامل ولم يُعدَّل، بما يلبي متطلبات أطر مثل PCI DSS وSOC 2. وتُعد القدرة على تشغيل validate-logs وإظهار نتيجة سليمة دليلًا ملموسًا على إمكانية الوثوق ببيانات المراقبة بوصفها سجلًا للأحداث.

اختبر معرفتك بالتحقق.

يثبت التحقق من صحة ملفات سجلات CloudTrail عدم العبث بالسجلات بعد تسليمها. وتحتوي ملفات الملخص التي تُنشأ كل ساعة على تجزئات SHA-256 للسجلات، وتكون موقَّعة ومترابطة مع الملخص السابق، مما يتيح اكتشاف الملفات المفقودة. تحقّق باستخدام validate-logs. وهذه ميزة اكتشافية، لذا اجمعها مع التخزين غير القابل للتغيير لمنع الحذف. فعّلها في كل مسار ونفّذ التحقق بانتظام.