Warum die Manipulation von Protokollen eine Bedrohung ist

Sicherheitslogs sind der Beweis dafür, was in Ihrer Umgebung geschehen ist. Sie bilden die Grundlage für Erkennung, Untersuchung und Compliance. Wenn ein Angreifer sie ändern oder löschen kann, verlieren Sie die Möglichkeit festzustellen, was passiert ist, und Ihr Audit-Trail wird wertlos. Die Integrität der Logs zu schützen bedeutet daher, die Wahrheit selbst zu schützen.

Fortgeschrittene Angreifer betreiben Anti-Forensik: Sie verwischen aktiv ihre Spuren. Nach dem Eindringen versuchen sie, die Protokollierung zu deaktivieren, Protokolldateien zu löschen oder Spuren zu beseitigen, damit ihre späteren Aktionen nicht aufgezeichnet werden. Diese Maßnahmen zu vereiteln, ist ein zentraler Bestandteil der Vorbereitung auf Sicherheitsvorfälle, denn ein unentdeckter Angreifer ist wesentlich gefährlicher.

Ein häufiges Vorgehen besteht darin, einen CloudTrail-Trail zu stoppen oder zu löschen, und zwar mit StopLogging oder DeleteTrail. Sobald die Protokollierung endet, hinterlassen nachfolgende Aktionen keinen Prüfdatensatz mehr. Diese Aufrufe zu erkennen und zu verhindern oder sicherzustellen, dass sie selbst an anderer Stelle protokolliert werden, ist entscheidend, damit die Spur vertrauenswürdig bleibt.

Selbst bei aktivierter Protokollierung kann ein Angreifer versuchen, die Protokolldateien im S3-Bucket zu löschen, in dem sie gespeichert sind. Ist der Bucket nicht geschützt, löscht das Entfernen von Objekten die Vergangenheit. Deshalb ist die Absicherung des Buckets für die Protokollspeicherung genauso wichtig wie die Aktivierung der Protokollierung.

Über das Löschen hinaus könnte ein Angreifer versuchen, den Inhalt von Protokollen zu verändern, um bestimmte Aktionen zu verbergen oder jemand anderem anzulasten. Veränderte Protokolle sind wohl noch problematischer als fehlende, weil sie Ermittler aktiv in die Irre führen. Manipulationen zu erkennen und nicht nur das Löschen zu verhindern, ist daher ein eigenständiges und wichtiges Ziel.

Der Schutz von Protokollen beruht auf drei Grundsätzen: Integrität (nachzuweisen, dass Protokolle nicht verändert wurden), Verfügbarkeit (sicherzustellen, dass sie nicht gelöscht werden können) und Vertraulichkeit (unbefugtes Lesen zu verhindern). AWS bietet für jeden dieser Bereiche spezielle Funktionen. Eine vollständige Strategie berücksichtigt alle drei, statt sich nur auf einen zu konzentrieren.

Ein wichtiges Prinzip ist die Aufgabentrennung: Die Personen und Konten, die Workloads betreiben, sollten nicht die Protokolle dieser Workloads kontrollieren. Wenn ein Angreifer ein Workload-Konto kompromittiert, sollte er dadurch nicht auch die Möglichkeit erhalten, die Beweise zu löschen. Dies ist der Grund für die Einrichtung dedizierter Protokollkonten.

Manipulationsversuche sind selbst wichtige Signale. Ein Metrikfilter und Alarm für CloudTrail-Ereignisse wie StopLogging, DeleteTrail oder UpdateTrail benachrichtigt Sie sofort, wenn jemand Ihre Protokollierungskonfiguration verändert. Oft ist der Versuch, etwas zu verbergen, das deutlichste Zeichen dafür, dass gerade ein Angriff stattfindet.

Frameworks wie PCI DSS und HIPAA verlangen ausdrücklich, Prüfprotokolle vor Veränderungen zu schützen und ihre Aufbewahrung sicherzustellen. Manipulationssichere und aufbewahrte Protokolle sind nicht nur eine gute Praxis, sondern eine Compliance-Vorgabe. Prüfer werden nach den Kontrollen suchen, die belegen, dass Ihre Protokolle vertrauenswürdig und vollständig sind.

Die Schutzmaßnahmen, die Sie kennenlernen werden – Validierung von Protokolldateien, gesperrte und unveränderliche Buckets sowie zentrale Archivkonten –, wirken jeweils einer bestimmten Manipulationstechnik entgegen. Wenn Sie die Bedrohung zuerst verstehen, wird deutlich, warum jede Kontrolle existiert und wie sie sich zu einer mehrschichtigen Verteidigung ergänzen, die ein Angreifer nur schwer überwinden kann.

Die Integrität von Protokollen ist ein wiederkehrendes Prüfungsthema, weil sie die Bereiche Erkennung, Forensik und Governance verbindet. Rechnen Sie mit Szenarien, in denen sichergestellt werden soll, dass Protokolle eine Kompromittierung überstehen. Die richtigen Antworten konzentrieren sich auf Unveränderlichkeit, Validierung und Isolation – niemals darauf, einem einzelnen Konto die Selbstkontrolle zu überlassen.

Testen Sie Ihr Verständnis der Bedrohung.

Protokolle sind Beweismittel, und Angreifer nutzen Anti-Forensik, um Spuren zu deaktivieren, Dateien zu löschen oder Datensätze zu verändern. Schützen Sie Integrität, Verfügbarkeit und Vertraulichkeit, setzen Sie eine Aufgabentrennung durch, damit Workload-Konten ihre eigenen Protokolle nicht löschen können, und lösen Sie bei Ereignissen wie StopLogging einen Alarm aus. Compliance-Frameworks verlangen manipulationssichere und aufbewahrte Protokolle. Im weiteren Verlauf dieses Kurses erfahren Sie, wie Sie dies erreichen.