Administratorsitzungen prüfen und protokollieren

Administrativen Zugriff zu gewähren, ist nur die halbe Aufgabe. Sie müssen auch aufzeichnen, was Administratoren tun. Session Manager bietet eine umfassende Protokollierung, sodass jeder Befehl und jede Sitzung nachvollziehbar ist. Die SCS-C02-Prüfung betont diese Prüfbarkeit als zentralen Vorteil gegenüber SSH, bei dem die Protokollierung auf Befehlsebene nur schwer zentralisiert werden kann.

Die Protokollierung von Session Manager umfasst zwei Ebenen: die Protokollierung auf API-Ebene, die über CloudTrail erfasst, wer Sitzungen gestartet und beendet hat, sowie die Protokollierung der Sitzungsinhalte, bei der die tatsächlichen Tastatureingaben und Ausgaben an CloudWatch Logs oder S3 gesendet werden. Zusammen beantworten sie sowohl die Frage „Wer hat sich verbunden?“ als auch „Was wurde getan?“

CloudTrail zeichnet die API-Aufrufe StartSession und TerminateSession auf und zeigt, welche IAM-Identität wann eine Verbindung zu welcher Instance hergestellt hat. Da es sich um Verwaltungsereignisse handelt, erscheinen sie automatisch in Ihrem Trail und liefern so für Untersuchungen einen zuverlässigen, manipulationsnachweisbaren Datensatz administrativer Zugriffe.

Um die Befehle und Ausgaben innerhalb einer Sitzung zu erfassen, aktivieren Sie die Sitzungsprotokollierung in den Einstellungen des Session Manager und leiten die Daten an einen S3-Bucket oder eine CloudWatch-Logs-Gruppe weiter. Dadurch werden jeder Tastendruck eines Operators und jedes zurückgegebene Ergebnis gespeichert – vergleichbar mit einer Videoaufzeichnung der Sitzung.

Sitzungsprotokolle sind Beweismittel und müssen daher manipulationsresistent sein. Speichern Sie sie in einem dedizierten, streng abgesicherten S3-Bucket, idealerweise in einem separaten Logging-Konto, und verwenden Sie Verschlüsselung sowie restriktive Richtlinien. So kann ein Administrator – selbst ein böswilliger – den Datensatz seiner eigenen Sitzung nicht löschen.

Sie können für die Live-Sitzungsdaten und die gespeicherten Protokolle eine KMS-Verschlüsselung voraussetzen. Durch die erzwungene Verschlüsselung sind Sitzungsinhalte sowohl im Ruhezustand als auch während der Übertragung geschützt. Dadurch erfüllen Sie Compliance-Vorgaben und stellen sicher, dass sensible Befehle oder Ausgaben niemals im Klartext offengelegt werden.

Über interaktive Sitzungen hinaus führt SSM mit Run Command Befehle gleichzeitig auf vielen Instances aus und protokolliert auch diese vollständig. Jeder Aufruf wird mit dem Ausführenden, den Zielsystemen und der Ausgabe erfasst. Dadurch unterliegen selbst administrative Aktionen auf der gesamten Flotte derselben Nachvollziehbarkeit wie eine einzelne Sitzung.

Sie können Sitzungsereignisse mit EventBridge und SNS verknüpfen, um Echtzeitwarnungen zu erhalten, sobald eine Sitzung gestartet wird – insbesondere bei sensiblen Instances. Eine Benachrichtigung in dem Moment, in dem sich jemand mit einem Produktionsdatenbankserver verbindet, ermöglicht es Ihrem Sicherheitsteam, privilegierte Zugriffe während ihrer Durchführung zu überwachen und nicht erst im Nachhinein.

Eine vollständige Sitzungsüberwachung unterstützt die Incident Response, die Compliance und die Abschreckung. Das Wissen, dass jede Aktion aufgezeichnet wird, wirkt einer missbräuchlichen Nutzung entgegen. Tritt ein Vorfall auf, können Ermittler exakt nachvollziehen, was ein Operator getan hat. Diese durchgängige Nachvollziehbarkeit ist ein entscheidender Grund dafür, dass die Prüfung Session Manager gegenüber schlüsselbasiertem SSH bevorzugt.

Sie können Sitzungen weiter absichern, indem Sie SSM documents verwenden, die eine Sitzung auf bestimmte Aktionen beschränken, und interaktive Shells für bestimmte Rollen deaktivieren. In Verbindung mit der Protokollierung bedeutet dies, dass selbst ein autorisierter Operator auf genehmigte Aktivitäten beschränkt bleibt. Dadurch wird eingeschränkt, was ein kompromittiertes Konto ausführen könnte, während jede Aktion weiterhin aufgezeichnet wird.

Das Auditing mit Session Manager kombiniert CloudTrail für die API-Ereignisse StartSession/TerminateSession mit der Protokollierung von Sitzungsinhalten in S3 oder CloudWatch Logs, optional KMS-verschlüsselt. Schützen Sie die Protokolle in einem streng abgesicherten, separaten Konto, überwachen Sie Run Command auf dieselbe Weise und verwenden Sie EventBridge/SNS für Echtzeitwarnungen bei privilegierten Zugriffen.

Testen Sie das Auditing von Sitzungen.

Das Auditing mit Session Manager umfasst zwei Ebenen: CloudTrail zeichnet die API-Ereignisse StartSession/TerminateSession auf, während die Protokollierung von Sitzungsinhalten Tastatureingaben und Ausgaben an S3 oder CloudWatch Logs sendet, optional KMS-verschlüsselt. Schützen Sie die Protokolle in einem separaten, streng abgesicherten Konto, überwachen Sie auch Run Command und versenden Sie Echtzeitwarnungen über EventBridge/SNS.