Protokollspeicher-Buckets absichern

CloudTrail, Config und Flow Logs speichern ihre Daten letztlich in S3-Buckets. Dieser Bucket ist das Kronjuwel Ihrer Prüfspur und verdient daher den stärksten Schutz. Wenn der Bucket sicher ist, kann ein Angreifer, der einen Workload kompromittiert, trotzdem nicht auf die Beweise seiner Aktionen zugreifen.

Die erste Kontrolle ist S3 Block Public Access. Sie stellt sicher, dass der Protokoll-Bucket niemals dem Internet ausgesetzt ist. Ein öffentlich lesbarer Protokoll-Bucket gibt jedem Einblick in vertrauliche Betriebsdetails. Wenn Sie Block Public Access auf Konto- und Bucket-Ebene aktivieren, schließen Sie dieses Risiko konsequent aus.

Eine strenge Bucket-Richtlinie sollte nur dem Protokollierungsdienst das Schreiben und nur bestimmten Sicherheitsrollen das Lesen erlauben und alle anderen ablehnen. Sie können außerdem s3:DeleteObject für alle Principals ablehnen, damit Protokolle nicht über normale API-Aufrufe entfernt werden können. Das ist eine starke Grundlage gegen beiläufige Manipulationen.

S3 Object Lock erzwingt eine Write Once Read Many (WORM)-Speicherung und macht Objekte für einen bestimmten Zeitraum tatsächlich unveränderlich. Selbst ein Kontoadministrator kann ein gesperrtes Objekt vor Ablauf der Aufbewahrungsfrist weder löschen noch überschreiben. Dies ist der stärkste Schutz davor, dass ein Angreifer oder ein Insider Protokolle löscht.

Object Lock verfügt über zwei Modi. Im Governance-Modus können Benutzer mit speziellen Berechtigungen die Sperre außer Kraft setzen. Im Compliance-Modus kann niemand, nicht einmal der Root-Benutzer, die Aufbewahrungsfrist vor ihrem Ablauf verkürzen oder Objekte löschen. Für regulierte Prüfprotokolle bietet der Compliance-Modus die stärkste Garantie.

Object Lock erfordert eine Versionierung, durch die jede Version eines Objekts erhalten bleibt. Auch allein bietet die Versionierung Vorteile: Wenn ein Angreifer ein Objekt überschreibt, bleibt die vorherige Version erhalten. Zusammen mit einer Ablehnung von DeleteObjectVersion macht die Versionierung die Zerstörung der Historie deutlich schwieriger als das Löschen eines einzelnen aktuellen Objekts.

MFA Delete erfordert eine Multi-Faktor-Authentifizierung, um Objektversionen dauerhaft zu löschen oder den Versionierungsstatus zu ändern. Dadurch wird eine durch Hardware abgesicherte menschliche Kontrollstufe vor zerstörerische Aktionen am Protokoll-Bucket gesetzt. Selbst mit kompromittierten Zugangsdaten können Versionen nicht unbemerkt gelöscht werden, wenn das MFA-Gerät fehlt.

Verschlüsseln Sie ruhende Protokolldaten mit KMS, idealerweise mit einem kundenseitig verwalteten Schlüssel, dessen Richtlinie festlegt, wer entschlüsseln darf. Dies schützt die Vertraulichkeit, da Protokolle häufig vertrauliche Angaben wie Benutzernamen und IP-Adressen enthalten. KMS erzeugt außerdem einen Prüfdatensatz für jede Entschlüsselung und schafft damit zusätzliche Transparenz darüber, wer die Protokolle liest.

Aktivieren Sie S3 server access logging oder verwenden Sie CloudTrail-Datenereignisse für den Protokoll-Bucket, damit Sie sehen können, wer darauf zugegriffen hat. Lösen Sie bei unerwarteten Lesezugriffen oder jedem Löschversuch einen Alarm aus. Durch die Überwachung des Protokoll-Buckets selbst wird ein Angriff auf Ihre Beweise ironischerweise ebenfalls aufgezeichnet.

Keine einzelne Einstellung reicht aus. Block Public Access, eine löschverweigernde Bucket-Richtlinie, Object Lock im Compliance-Modus, Versionierung, MFA Delete und KMS-Verschlüsselung machen den Bucket gemeinsam widerstandsfähig gegen Löschen, Verändern und Offenlegen. Das Ziel ist eine mehrschichtige Verteidigung: Jede Schicht schließt Lücken der anderen.

Ein ordnungsgemäß abgesicherter Protokoll-Bucket ist unveränderlich, privat, verschlüsselt und wird überwacht. Zusammen mit der Validierung von CloudTrail-Protokolldateien zur Erkennung von Manipulationen stellt er sicher, dass Ihre Beweise erhalten bleiben und nachweislich intakt sind. Diese Absicherung auf Bucket-Ebene entspricht genau dem, was Prüfungsszenarien zum Schutz von Protokollen erwarten.

Testen Sie Ihr Wissen über die Absicherung von Buckets.

Sichern Sie Log-Buckets mit mehrschichtigen Kontrollen ab: Block Public Access, einer Bucket-Richtlinie zum Verhindern des Löschens, S3 Object Lock (der Compliance-Modus ist unveränderbar, der Governance-Modus kann überschrieben werden), Versionierung, MFA Delete und KMS-Verschlüsselung für die Vertraulichkeit. Überwachen Sie den Zugriff mit S3 access logging oder CloudTrail-Datenereignissen. Zusammen machen diese Maßnahmen Logs unveränderbar, privat und überwachbar.