Hvorfor manipulation af logge er en trussel

Sikkerhedslogfiler er beviset på, hvad der er sket i dit miljø. De danner grundlag for detektion, undersøgelse og compliance. Hvis en angriber kan ændre eller slette dem, mister du muligheden for at vide, hvad der skete, og dit revisionsspor bliver værdiløst. At beskytte logfilernes integritet er derfor det samme som at beskytte selve sandheden.

Sofistikerede angribere anvender anti-forensik: De forsøger aktivt at skjule deres spor. Når de har fået adgang, forsøger de at deaktivere logning, slette logfiler eller stoppe sporingen, så deres efterfølgende handlinger ikke bliver registreret. At bekæmpe disse forsøg er en central del af beredskabet til håndtering af hændelser, fordi en angriber, der ikke bliver opdaget, er langt farligere.

Et almindeligt træk er at stoppe eller slette et CloudTrail-spor med StopLogging eller DeleteTrail. Når logningen stopper, efterlader efterfølgende handlinger ingen revisionsregistrering. Det er afgørende at opdage og forhindre disse kald eller sikre, at de selv bliver logget et andet sted, så sporet forbliver troværdigt.

Selv når logningen er aktiveret, kan en angriber forsøge at slette logfilerne i den S3-bucket, hvor de opbevares. Hvis bucketen ikke er beskyttet, udsletter fjernelse af objekter historikken. Derfor er sikring af bucketen til logopbevaring lige så vigtig som at aktivere logning fra starten.

Ud over sletning kan en angriber forsøge at ændre logindholdet for at skjule bestemte handlinger eller give en anden skylden. Ændrede logge er muligvis værre end manglende logge, fordi de aktivt vildleder efterforskere. Det er derfor et særskilt og vigtigt mål at opdage manipulation, ikke kun at forhindre sletning.

Beskyttelse af logge bygger på tre idéer: integritet (at bevise, at loggene ikke er ændret), tilgængelighed (at sikre, at de ikke kan slettes) og fortrolighed (at forhindre uautoriseret læsning). AWS tilbyder specifikke funktioner til hver af dem. En komplet strategi omfatter alle tre i stedet for kun at fokusere på én.

Et vigtigt princip er adskillelse af ansvar: De personer og konti, der driver arbejdsbelastninger, bør ikke kontrollere loggene om disse arbejdsbelastninger. Hvis en angriber kompromitterer en konto til en arbejdsbelastning, bør vedkommende derfor ikke samtidig få mulighed for at slette beviserne. Det er baggrunden for designet med dedikerede logkonti.

Manipulationsforsøg er i sig selv værdifulde signaler. Et metrikfilter og en alarm på CloudTrail-hændelser som StopLogging, DeleteTrail eller UpdateTrail alarmerer dig i samme øjeblik, nogen rører ved din logningskonfiguration. Ofte er forsøget på at skjule handlinger det tydeligste tegn på, at et angreb er i gang.

Rammeværk som PCI DSS og HIPAA kræver udtrykkeligt, at revisionslogge beskyttes mod ændringer, og at de opbevares i den krævede periode. Manipulationssikre, opbevarede logge er ikke kun god praksis, men et krav til overholdelse. Revisorer vil se efter de kontroller, der viser, at dine logge er troværdige og komplette.

De forsvarsmekanismer, du skal lære om – validering af logfiler, låste og uforanderlige bucketer samt centraliserede arkivkonti – imødegår hver især en bestemt manipulationsteknik. Når du først forstår truslen, bliver det tydeligt, hvorfor hver kontrol findes, og hvordan de tilsammen skaber et lagdelt forsvar, som en angriber ikke let kan besejre.

Logintegritet er et tilbagevendende eksamenstema, fordi det ligger i krydsfeltet mellem registrering, forensik og styring. Forvent scenarier, hvor målet er at sikre, at logge overlever et kompromitteringsangreb. De rigtige svar fokuserer på uforanderlighed, validering og isolation – aldrig på at stole på, at en enkelt konto kontrollerer sig selv.

Logge er beviser, og angribere bruger anti-forensik til at deaktivere spor, slette filer eller ændre registreringer. Beskyt integritet, tilgængelighed og fortrolighed, håndhæv adskillelse af ansvar, så konti til arbejdsbelastninger ikke kan slette deres egne logge, og opret alarmer for hændelser som StopLogging. Rammeværk for overholdelse kræver manipulationssikre, opbevarede logge, og resten af dette kursus viser, hvordan du opnår det.