Validering af CloudTrail-logfiler

CloudTrail-logfilvalidering gør det muligt at bevise, at logfiler, der er leveret til S3, ikke er blevet ændret, slettet eller forfalsket, efter CloudTrail skrev dem. Det er funktionen, der ændrer »vi håber, at loggene er intakte« til »vi kan påvise kryptografisk, at de er det«. Aktivering af funktionen er en god praksis med ét klik på ethvert spor.

Når funktionen er aktiveret, opretter CloudTrail hver time en fordøjelsesfil, som henviser til de logfiler, der blev leveret i perioden, og indeholder en hash af hver fil. Fordøjelsesfilerne signeres også. Tilsammen danner de en kæde, som gør det muligt at kontrollere både, at hver logfil er uændret, og at ingen mangler.

Hver logfil hashes med SHA-256, og fordøjelsesfilen signeres med SHA-256 with RSA. Fordi enhver ændring af en logfil ændrer dens hash, og fordi fordøjelsen er kryptografisk signeret, kan en angriber ikke ændre en log uden at bryde den matematiske sammenhæng. Det er det, der gør loggene manipulationssynlige.

Hver fordøjelsesfil henviser også til den forrige fordøjelsesfil, så der dannes en kædet sekvens time efter time. Denne kædning gør det muligt at opdage ikke kun en ændret logfil, men også en manglende eller slettet fordøjelse, fordi et hul bryder kæden. Den sammenhængende kæde beviser, at loggene er komplette over tid.

Du kontrollerer integriteten ved hjælp af CLI-kommandoen validate-logs, som kontrollerer fordøjelsessignaturerne og hashværdierne for de henviste logfiler i et tidsinterval. Den rapporterer enhver fil, der er ændret eller slettet, samt filer, hvis fordøjelse mangler. Det giver efterforskere en autoritativ integritetskontrol efter behov.

En vigtig nuance er, at validering er detekterende, ikke forebyggende. Den forhindrer ikke nogen i at slette en logfil; den lader dig bevise, at det er sket. Hvis du vil forhindre sletning, kombinerer du validering med bucket-beskyttelse som Object Lock. Validering fortæller dig sandheden; andre kontroller håndhæver den.

Fordøjelsesfiler ligger i den samme S3-bucket som loggene og skal beskyttes lige så omhyggeligt. Hvis en angriber frit kunne genskabe eller slette fordøjelser, ville beviset blive undermineret. Opbevaring af fordøjelser i en låst og helst uforanderlig bucket bevarer integritetsgarantien fra ende til anden.

Validering udgør integritets-søjlen i logbeskyttelsen. Den fungerer sammen med uforanderlig opbevaring for tilgængelighed og kryptering for fortrolighed. Når et eksamensscenarie spørger, hvordan du beviser, at logge ikke er blevet manipuleret efter leveringen, er CloudTrail-logfilvalidering det præcise svar.

Du aktiverer validering, når du opretter eller opdaterer et spor, ved hjælp af en enkelt indstilling. Selve valideringsfunktionen koster ikke ekstra ud over den normale S3-opbevaring af fordøjelsesfiler. Da fordelene er store, og omkostningen er ubetydelig, bør den aktiveres på hvert spor uden undtagelse.

Kør validering regelmæssigt, ikke kun under hændelser, så du hurtigt opdager manipulation. Nogle team automatiserer validate-logs efter en tidsplan og alarmerer ved enhver fejl. Regelmæssig validering gør funktionen til en aktiv integritetsovervågning af dit revisionsspor i stedet for en eftertanke i forbindelse med forensik.

Under en revision leverer logfilvalidering det kryptografiske bevis på, at dit revisionsspor er komplet og uændret, og opfylder dermed krav i rammeværk som PCI DSS og SOC 2. At kunne køre validate-logs og vise et fejlfrit resultat er et konkret bevis på, at dine overvågningsdata kan stoles på som registrering af hændelser.

CloudTrail-logfilvalidering beviser, at logge ikke er blevet manipuleret efter leveringen. Timelige fordøjelsesfiler indeholder SHA-256-hashværdier af logge, signeres og kædes til den forrige fordøjelse, så manglende filer kan opdages. Kontrollér med validate-logs. Funktionen er detekterende, så kombiner den med uforanderlig opbevaring for at forhindre sletning. Aktivér den på hvert spor, og udfør validering regelmæssigt.