Audit og logning af administratorsessioner

At give administrativ adgang er kun halvdelen af opgaven; du skal også registrere, hvad administratorerne gør. Session Manager tilbyder omfattende logning, så hver kommando og session kan knyttes til en ansvarlig. SCS-C02-eksamenen fremhæver denne mulighed for kontrol som en central fordel frem for SSH, hvor logning på kommandoniveau er vanskelig at centralisere.

Logningen i Session Manager har to lag: logning på API-niveau af, hvem der startede og stoppede sessioner, registreret af CloudTrail, samt logning af selve tastetrykkene og outputtet i sessionens indhold, sendt til CloudWatch Logs eller S3. Tilsammen besvarer de både spørgsmålene "hvem oprettede forbindelse" og "hvad gjorde de".

CloudTrail registrerer API-kaldene StartSession og TerminateSession og viser, hvilken IAM-identitet der oprettede forbindelse til hvilken instans og hvornår. Da dette er administrationshændelser, vises de automatisk i dit trail, så du får en pålidelig og manipulationssikker registrering af administrativ adgang til brug ved undersøgelser.

Hvis du vil registrere kommandoerne og outputtet i en session, aktiverer du sessionslogning i indstillingerne for Session Manager og sender den til en S3-bucket eller en CloudWatch Logs-gruppe. Nu gemmes hvert tastetryk, en operatør indtaster, og hvert resultat, der returneres, hvilket er det nærmeste, du kommer på en videooptagelse af sessionen.

Sessionslogge er bevismateriale, så de skal være manipulationsresistente. Gem dem i en dedikeret, stramt begrænset S3-bucket, helst på en separat logningskonto, med kryptering og restriktive politikker. Det sikrer, at en administrator, selv en ondsindet administrator, ikke kan slette registreringen af sin egen session.

Du kan kræve KMS-kryptering for både sessionsdata i realtid og gemte logge. Håndhævet kryptering beskytter sessionsindhold både under lagring og overførsel, opfylder compliance-krav og sikrer, at følsomme kommandoer eller output aldrig eksponeres i klartekst.

Ud over interaktive sessioner udfører SSM Run Command kommandoer på mange instanser på én gang, og det bliver også fuldt revideret. Hver kørsel logges med oplysninger om, hvem der kørte den, på hvilke mål og med hvilket output, så selv administrative handlinger på tværs af hele flåden har samme ansvarlighed som en enkelt session.

Du kan forbinde sessionhændelser med EventBridge og SNS for at få advarsler i realtid, når en session starter, især på følsomme instanser. En notifikation i det øjeblik nogen opretter forbindelse til en produktionsdatabaseserver giver dit sikkerhedsteam mulighed for at overvåge privilegeret adgang, mens det sker, i stedet for bagefter.

Fuldstændig sessionsrevision understøtter incident response, compliance og afskrækkelse. Viden om, at alle handlinger registreres, modvirker misbrug, og når en hændelse opstår, kan efterforskere nøjagtigt gennemgå, hvad en operatør gjorde. Denne ansvarlighed fra ende til anden er en afgørende grund til, at eksamen foretrækker Session Manager frem for nøglebaseret SSH.

Du kan stramme sessionerne yderligere ved at bruge SSM-dokumenter, der begrænser en session til bestemte handlinger, og ved at deaktivere interaktive shells for bestemte roller. Sammen med logning betyder det, at selv en autoriseret operatør er begrænset til godkendte aktiviteter, hvilket indsnævrer, hvad en kompromitteret konto kan gøre, mens alle handlinger fortsat registreres.

Sessionsrevision i Session Manager kombinerer CloudTrail til API-hændelserne StartSession/TerminateSession med logning af sessionsindhold til S3 eller CloudWatch Logs, eventuelt KMS-krypteret. Beskyt loggene på en stramt begrænset, separat konto, revider Run Command på samme måde, og brug EventBridge/SNS til advarsler i realtid ved privilegeret adgang.

Sessionsrevision i Session Manager har to lag: CloudTrail registrerer API-hændelserne StartSession/TerminateSession, mens logning af sessionsindhold sender tastetryk og output til S3 eller CloudWatch Logs, eventuelt KMS-krypteret. Beskyt loggene på en separat, stramt begrænset konto, revider også Run Command, og send advarsler i realtid via EventBridge/SNS.