CloudTrail-Protokolldateivalidierung

Mit der Validierung von CloudTrail-Protokolldateien können Sie nachweisen, dass an S3 übermittelte Protokolldateien nicht verändert, gelöscht oder gefälscht wurden, nachdem CloudTrail sie geschrieben hat. Diese Funktion macht aus „Wir hoffen, dass die Protokolle intakt sind“ die Aussage „Wir können es kryptografisch nachweisen“. Die Aktivierung ist für jeden Trail eine Best Practice mit nur einem Klick.

Wenn die Funktion aktiviert ist, erstellt CloudTrail stündlich eine Digest-Datei, die auf die in diesem Zeitraum übermittelten Protokolldateien verweist und einen Hash jeder Datei enthält. Die Digest-Dateien werden selbst signiert. Zusammen bilden sie eine Kette, mit der Sie überprüfen können, dass jede Protokolldatei unverändert ist und keine fehlt.

Jede Protokolldatei wird mit SHA-256 gehasht, und die Digest-Datei wird mit SHA-256 with RSA signiert. Da jede Änderung an einer Protokolldatei ihren Hash verändert und die Digest-Datei kryptografisch signiert ist, kann ein Angreifer kein Protokoll verändern, ohne die mathematische Prüfung zu verletzen. Dadurch werden die Protokolle manipulationssicher erkennbar.

Jede Digest-Datei verweist außerdem auf die vorherige Digest-Datei, sodass Stunde für Stunde eine verkettete Folge entsteht. Dadurch können Sie nicht nur eine veränderte Protokolldatei erkennen, sondern auch eine fehlende oder gelöschte Digest-Datei, da eine Lücke die Kette unterbricht. Die durchgehende Kette weist die Vollständigkeit über die Zeit nach.

Sie überprüfen die Integrität mit dem CLI-Befehl validate-logs. Dieser prüft für einen Zeitraum die Signaturen der Digest-Dateien und die Hashes der referenzierten Protokolldateien. Er meldet jede Datei, die verändert oder gelöscht wurde oder deren Digest-Datei fehlt. Damit erhalten Ermittler bei Bedarf eine maßgebliche Integritätsprüfung.

Eine wichtige Besonderheit: Die Validierung ist erkennend, nicht präventiv. Sie verhindert nicht, dass jemand eine Protokolldatei löscht, sondern ermöglicht Ihnen den Nachweis, dass dies geschehen ist. Um das Löschen zu verhindern, kombinieren Sie die Validierung mit Bucket-Schutzmaßnahmen wie Object Lock. Die Validierung zeigt die Wahrheit; andere Kontrollen setzen sie durch.

Digest-Dateien befinden sich im selben S3-Bucket wie die Protokolle und müssen ebenso sorgfältig geschützt werden. Könnte ein Angreifer Digests beliebig neu erzeugen oder löschen, wäre der Beweis entwertet. Werden Digests in einem gesperrten, idealerweise unveränderlichen Bucket gespeichert, bleibt die Integritätsgarantie durchgängig erhalten.

Die Validierung bildet die Säule der Integrität beim Protokollschutz. Sie arbeitet mit unveränderlichem Speicher für die Verfügbarkeit und mit Verschlüsselung für die Vertraulichkeit zusammen. Wenn in der Prüfung gefragt wird, wie Sie nachweisen können, dass Protokolle nach der Übermittlung nicht manipuliert wurden, ist die Validierung von CloudTrail-Protokolldateien die präzise Antwort.

Sie aktivieren die Validierung beim Erstellen oder Aktualisieren eines Trails mit einer einzigen Einstellung. Für die Validierungsfunktion selbst fallen über die normalen S3-Speicherkosten für Digest-Dateien hinaus keine zusätzlichen Gebühren an. Angesichts des großen Nutzens und der vernachlässigbaren Kosten sollte sie ausnahmslos für jeden Trail aktiviert werden.

Führen Sie die Validierung regelmäßig und nicht nur während eines Sicherheitsvorfalls aus, damit Sie Manipulationen schnell bemerken. Einige Teams automatisieren validate-logs nach einem Zeitplan und lösen bei jedem Fehler einen Alarm aus. Regelmäßige Validierung macht aus der Funktion mehr als einen forensischen nachträglichen Prüfschritt: Sie wird zu einer aktiven Integritätsüberwachung Ihrer Prüfspur.

Bei einer Prüfung liefert die Validierung von Protokolldateien den kryptografischen Nachweis, dass Ihre Prüfspur vollständig und unverändert ist, und erfüllt damit Anforderungen von Frameworks wie PCI DSS und SOC 2. validate-logs ausführen und ein fehlerfreies Ergebnis vorlegen zu können, ist ein konkreter Beleg dafür, dass Ihre Überwachungsdaten als Aufzeichnung der Ereignisse vertrauenswürdig sind.

Testen Sie Ihr Wissen über die Validierung.

Die Validierung von CloudTrail-Protokolldateien weist nach, dass Protokolle nach der Übermittlung nicht manipuliert wurden. Stündliche Digest-Dateien enthalten SHA-256-Hashes der Protokolle, werden signiert und mit dem vorherigen Digest verkettet, sodass fehlende Dateien erkannt werden können. Überprüfen Sie dies mit validate-logs. Die Funktion ist erkennend; kombinieren Sie sie daher mit unveränderlichem Speicher, um das Löschen zu verhindern. Aktivieren Sie sie für jeden Trail und führen Sie regelmäßig Validierungen durch.