Protección de buckets de almacenamiento de registros

CloudTrail, Config y Flow Logs terminan almacenando datos en buckets de S3. Ese bucket es la joya de la corona de su rastro de auditoría, por lo que merece las protecciones más sólidas. Si el bucket es seguro, un atacante que comprometa una carga de trabajo seguirá sin poder acceder a las pruebas de lo que hizo.

El primer control es S3 Block Public Access, que garantiza que el bucket de registros nunca quede expuesto a Internet. Un bucket de registros con lectura pública filtra información operativa confidencial a cualquiera. Habilitar Block Public Access tanto a nivel de cuenta como de bucket elimina este riesgo de forma contundente.

Una política del bucket estricta debería permitir que solo el servicio de registro escriba y que solo roles de seguridad específicos lean, y debería denegar el acceso a todos los demás. También puede denegar s3:DeleteObject a todas las entidades principales para que los registros no puedan eliminarse mediante llamadas normales a la API, lo que constituye una sólida protección básica contra la manipulación ocasional.

S3 Object Lock aplica un almacenamiento write-once-read-many (WORM), haciendo que los objetos sean realmente inmutables durante un período determinado. Ni siquiera un administrador de cuenta puede eliminar o sobrescribir un objeto bloqueado antes de que expire su retención. Esta es la defensa más sólida contra un atacante o una persona interna que elimine registros.

Object Lock tiene dos modos. En el modo Governance, los usuarios con permisos especiales pueden anular el bloqueo. En el modo Compliance, nadie, ni siquiera el usuario root, puede eliminar objetos ni acortar el período de retención hasta que expire. Para los registros de auditoría regulados, el modo Compliance ofrece la garantía más sólida.

Object Lock requiere el control de versiones, que conserva todas las versiones de un objeto. El control de versiones por sí solo también ayuda: si un atacante sobrescribe un objeto, la versión anterior permanece. Combinado con una denegación de DeleteObjectVersion, el control de versiones hace que destruir el historial sea mucho más difícil que eliminar un único objeto actual.

MFA Delete requiere autenticación multifactor para eliminar permanentemente versiones de objetos o cambiar el estado del control de versiones. Añade una barrera humana respaldada por hardware delante de las acciones destructivas en el bucket de registros, de modo que ni siquiera una credencial comprometida pueda purgar versiones silenciosamente sin el dispositivo MFA.

Cifre los datos de registro en reposo con KMS, idealmente mediante una clave administrada por el cliente cuya política limite quién puede descifrarlos. Esto protege la confidencialidad, ya que los registros suelen contener datos confidenciales como nombres de usuario y direcciones IP. KMS también genera un registro de auditoría de cada descifrado, lo que proporciona visibilidad adicional sobre quién lee los registros.

Habilite el registro de acceso del servidor de S3 o utilice eventos de datos de CloudTrail en el bucket de registros para poder ver quién accedió a él. Configure una alarma para lecturas inesperadas o cualquier intento de eliminación. Monitorizar el propio bucket de registros garantiza que un ataque contra sus pruebas, paradójicamente, también quede registrado.

Ninguna configuración individual es suficiente. Block Public Access, una política del bucket que deniegue eliminaciones, Object Lock en modo Compliance, el control de versiones, MFA Delete y el cifrado de KMS hacen que el bucket sea resistente a la eliminación, modificación y exposición. El objetivo es la defensa en profundidad: cada capa cubre las deficiencias de las demás.

Un bucket de registros correctamente protegido es inmutable, privado, cifrado y monitorizado. Combinado con la validación de archivos de registro de CloudTrail para detectar manipulaciones, garantiza que sus pruebas sobrevivan y se mantengan intactas de forma demostrable. Este fortalecimiento a nivel de bucket es exactamente lo que esperan los escenarios de examen sobre la protección de registros.

Compruebe sus conocimientos sobre el fortalecimiento de buckets.

Fortalezca los buckets de logs con controles por capas: Block Public Access, una bucket policy que deniegue el borrado, S3 Object Lock (el modo Compliance no se puede eludir; el modo Governance sí se puede sobrescribir), versioning, MFA Delete y KMS encryption para garantizar la confidencialidad. Supervise el acceso mediante S3 access logging o eventos de datos de CloudTrail. En conjunto, estas medidas hacen que los logs sean inmutables, privados y supervisados.