CloudTrail Insights und Integrität von Log-Dateien

CloudTrail Insights ist eine optionale Funktion, die maschinelles Lernen verwendet, um automatisch ungewöhnliche API-Aktivitäten in Ihrem AWS-Konto zu erkennen. Für jede API wird eine Baseline der normalen API-Aufrufraten und der Volumina von Verwaltungsereignissen mit Schreibzugriff erstellt. Anschließend werden Sie benachrichtigt, wenn die Aktivität deutlich von dieser Baseline abweicht. Insights-Ereignisse werden an denselben S3-Bucket wie Ihre Trail-Protokolle übermittelt und können außerdem EventBridge-Regeln für automatisierte Reaktionen auslösen.

CloudTrail Insights wird pro Trail aktiviert. Sie können Anomalien der API-Aufrufrate (eine ungewöhnliche Anzahl von Verwaltungsereignissen mit Schreibzugriff pro Sekunde) oder Anomalien der API-Fehlerrate (eine ungewöhnliche Anzahl von Fehlern aufgrund verweigerter Zugriffe oder Drosselung) erkennen lassen. Für Insights ist ein aktiver Trail mit aktivierten Verwaltungsereignissen erforderlich. AWS berechnet für Insights-Ereignisse zusätzliche Gebühren neben den regulären Gebühren für Trail-Ereignisse. Insights benötigt 24–36 Stunden, um eine erste Baseline zu erstellen, bevor Anomalien erkannt werden können.

Ein Insights-Ereignis besteht aus einem Start-Event und einem End-Event. Das Start-Event wird ausgelöst, wenn die Anomalie beginnt – beispielsweise bei einem ungewöhnlichen Anstieg der TerminateInstances-Aufrufe. Das End-Event wird ausgelöst, wenn die API-Aufrufrate wieder auf den Normalwert zurückkehrt. Jedes Insights-Ereignis enthält die betroffene API, die normale Baseline-Rate, die beobachtete Spitzenrate und die Dauer. So können Sie feststellen, ob es sich um einen anhaltenden Angriff oder einen kurzen Anstieg gehandelt hat.

Häufige Anomalien, die CloudTrail Insights kennzeichnet, sind: eine Beeinträchtigung von Anmeldeinformationen, bei der ein Angreifer gestohlene Schlüssel verwendet, um mit hoher Geschwindigkeit alle S3-Buckets aufzulisten; ein falsch konfiguriertes Bereitstellungsskript, das in einer Schleife tausende Male die EC2-API aufruft; eine Bedrohung durch einen Insider, der Ressourcen schneller als üblich löscht; oder ein Angriff auf die Lieferkette, bei dem eine Lambda-Funktion plötzlich ungewöhnliche STS-Aufrufe ausführt. Insights ermöglicht ein schnelleres Erkennungsfenster als die manuelle Überprüfung von CloudTrail-Protokollen.

CloudTrail-Insights-Ereignisse werden automatisch an Amazon EventBridge übermittelt und ermöglichen dadurch automatisierte Reaktionen. Sie können eine EventBridge-Regel erstellen, die bei der Erkennung eines Insights-Ereignisses eine Lambda-Funktion auslöst – beispielsweise um eine Slack-Nachricht zu senden, ein Jira-Ticket zu erstellen oder sogar automatisch die Zugriffsschlüssel des IAM-Benutzers zu widerrufen, wenn die Anomalie einem bekannten Angriffsmuster entspricht. Dadurch entsteht eine Echtzeit-Sicherheitsautomatisierung rund um die von Insights erkannten Befunde.

Die Validierung der Integrität von Protokolldateien stellt sicher, dass CloudTrail-Protokolldateien nach der Übermittlung an S3 nicht geändert, gelöscht oder gefälscht wurden. Wenn diese Funktion aktiviert ist (über --enable-log-file-validation), erstellt CloudTrail stündlich eine Digest-Datei, die die SHA-256-Hashes aller während dieser Stunde übermittelten Protokolldateien sowie den Hash des vorherigen Digests enthält. Die Digest-Datei selbst wird mit dem privaten Schlüssel von CloudTrail signiert. Sie können Protokolle über den AWS-CLI-Befehl validate-logs validieren.

CloudTrail übermittelt jede Stunde eine Digest-Datei an einen von den Protokolldateien getrennten Pfad in S3 (s3://bucket/CloudTrail-Digest/...). Der Digest enthält den SHA-256-Hash jeder in der vergangenen Stunde übermittelten Protokolldatei, den S3-URI jeder Datei sowie einen Hash des vorherigen Digests, wodurch eine Hash-Kette entsteht. Wenn ein Angreifer eine Protokolldatei nach der Übermittlung ändert, stimmt der Hash im Digest nicht mehr überein – die Validierung schlägt fehl und meldet, welche Dateien manipuliert wurden.

Die Integrität von Protokolldateien ist nur dann von Nutzen, wenn die Digest-Dateien und die Protokolldateien selbst geschützt sind. Bewährte Vorgehensweisen: Aktivieren Sie S3 MFA Delete für den CloudTrail-Bucket, damit Dateien nicht ohne MFA gelöscht werden können, wenden Sie eine Bucket-Richtlinie zum Verweigern des Löschens an, um das Löschen von Objekten durch beliebige Principals zu verhindern, aktivieren Sie S3 Object Lock im Compliance-Modus für eine unveränderliche Protokollaufbewahrung und verwenden Sie einen Organisationstrail, damit Mitgliedskonten die Protokollierung nicht deaktivieren können. Zusammen machen diese Kontrollen es für einen Insider nahezu unmöglich, Prüfbelege zu löschen.

CloudTrail Insights und Amazon GuardDuty ergänzen sich und sind keine Ersatzlösungen füreinander. Insights konzentriert sich auf Anomalien des API-Aufrufvolumens – plötzliche Anstiege bei bestimmten Verwaltungs-API-Aufrufen. GuardDuty analysiert eine breitere Auswahl an Datenquellen, darunter CloudTrail-Ereignisse, VPC Flow Logs und DNS-Logs, um Bedrohungsmuster wie kompromittierte Anmeldeinformationen, Kryptomining, Daten-Exfiltration und bekannte schädliche IP-Adressen zu erkennen. Aktivieren Sie für eine mehrschichtige Verteidigung beide Services: Insights für volumenbasierte Anomalien und GuardDuty für Erkennungen auf Basis von Bedrohungsinformationen.

Auf der Insights-Registerkarte der CloudTrail-Konsole werden alle erkannten Anomalien mit Start- und Endzeit, API-Namen und einem Diagramm aufgeführt, das die Baseline-Rate mit der während der Anomalie beobachteten Rate vergleicht. Wenn Sie auf ein Insights-Ereignis klicken, gelangen Sie direkt zu den zugehörigen Verwaltungsereignissen im Ereignisverlauf für dasselbe Zeitfenster. So können Sie „Es gab eine Anomalie“ mit „Dies sind die konkreten API-Aufrufe, die sie verursacht haben“ in Beziehung setzen. Diese Drill-down-Funktion macht Insights zu einem praktisch nutzbaren Werkzeug.

Die Validierung der Integrität von Protokolldateien wird von mehreren Compliance-Frameworks gefordert: PCI-DSS verlangt den Nachweis, dass Prüfprotokolle nicht verändert wurden; HIPAA schreibt manipulationssichere Prüfkontrollen für Gesundheitsdaten vor; SOC 2 verlangt Integritätskontrollen für Sicherheitsprotokolle. Die Kombination aus der CloudTrail-Validierung von Protokolldateien, S3 Object Lock und Organisationstrails erfüllt diese Anforderungen und wird häufig in der AWS-Compliance-Dokumentation genannt. Wenn Prüfungsfragen den „Nachweis, dass Protokolle nicht manipuliert wurden“ thematisieren, lautet die Antwort: Validierung der Integrität von Protokolldateien.

Testen Sie Ihr Verständnis der AWS-Solutions-Architect-Konzepte (SAA-C03) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: CloudTrail Insights verwendet ML, um ungewöhnliche Anomalien der API-Aufruf- und Fehlerrate mit Start-/End-Events zu erkennen; die Validierung der Integrität von Protokolldateien verwendet SHA-256-Digest-Dateien in einer Hash-Kette, um Manipulationen oder das Löschen von Protokolldateien zu erkennen; und S3 Object Lock in Kombination mit Richtlinien zum Verweigern des Löschens schützt die Integrität des Prüfpfads. Als Nächstes behandeln wir AWS Config Rules und die automatisierte Behebung.