Ylläpitäjäistuntojen auditointi ja lokitus

Ylläpitäjien käyttöoikeuksien myöntäminen on vasta puolet työstä; teidän on myös tallennettava, mitä ylläpitäjät tekevät. Session Manager tarjoaa kattavan lokituksen, joten jokainen komento ja istunto voidaan yhdistää vastuulliseen käyttäjään. SCS-C02-kokeessa tätä auditoitavuutta korostetaan keskeisenä etuna SSH:hon verrattuna, sillä komentotason lokitusta on vaikea keskittää SSH:lla.

Session Managerin lokitus jakautuu kahteen tasoon: API-tason lokitukseen, joka tallentaa CloudTrailiin tiedot istuntojen aloittajista ja lopettajista, sekä istunnon sisällön lokitukseen, joka tallentaa todelliset näppäinpainallukset ja tulosteen ja lähettää ne CloudWatch Logsiin tai S3:een. Yhdessä nämä vastaavat sekä kysymykseen "kuka muodosti yhteyden" että kysymykseen "mitä hän teki".

CloudTrail tallentaa StartSession- ja TerminateSession-API-kutsut ja näyttää, mikä IAM-identiteetti muodosti yhteyden mihinkin instanssiin ja milloin. Koska kyse on hallintatapahtumista, ne näkyvät jäljityksessä automaattisesti. Näin saat luotettavan ja muutosten havaitsemisen mahdollistavan tietueen järjestelmänvalvojan käytöstä tutkintaa varten.

Jos haluat tallentaa istunnon aikana annetut komennot ja tulosteen, ota istunnon lokitus käyttöön Session Managerin asetuksissa ja ohjaa lokit S3-säilöön tai CloudWatch Logs -lokiryhmään. Tämän jälkeen jokainen ylläpitäjän kirjoittama näppäinpainallus ja jokainen palautettu tulos tallennetaan. Tämä vastaa lähimmin istunnon videotallennetta.

Istuntolokit ovat todistusaineistoa, joten niiden on oltava muutoksia kestäviä. Tallenna ne erilliseen, tiukasti rajoitettuun S3-säilöön, mieluiten erilliseen lokitiliin, ja käytä salausta sekä rajoittavia käytäntöjä. Näin edes järjestelmänvalvoja, pahantahtoinenkin, ei voi poistaa oman istuntonsa tietoja.

Voit edellyttää KMS-salausta sekä reaaliaikaisille istuntotiedoille että tallennetuille lokeille. Salausvaatimuksen avulla istunnon sisältö suojataan levossa ja siirron aikana, mikä täyttää vaatimustenmukaisuusvelvoitteet ja varmistaa, etteivät arkaluonteiset komennot tai tulosteet joudu koskaan näkyviin salaamattomina.

Interaktiivisten istuntojen lisäksi SSM:n Run Command suorittaa komentoja useissa instansseissa samanaikaisesti, ja myös sen käyttö auditoidaan kattavasti. Jokainen kutsu kirjataan yhdessä suorittajan, kohteiden ja tulosteen kanssa. Näin myös koko kalustoon kohdistuvat hallintotoimet ovat yhtä jäljitettävissä kuin yksittäinen istunto.

Voit yhdistää istuntotapahtumat palveluihin EventBridge ja SNS saadaksesi reaaliaikaisia hälytyksiä, kun istunto alkaa, etenkin arkaluonteisissa instansseissa. Ilmoitus heti, kun joku muodostaa yhteyden tuotantotietokantapalvelimeen, antaa tietoturvatiimille mahdollisuuden seurata etuoikeutettua käyttöä sen tapahtuessa eikä vasta jälkikäteen.

Istuntojen kattava auditointi tukee häiriötilanteisiin vastaamista, vaatimustenmukaisuutta ja ennaltaehkäisyä. Kun tiedetään, että jokainen toimenpide tallennetaan, väärinkäyttöä tapahtuu vähemmän. Häiriötilanteen sattuessa tutkijat voivat lisäksi toistaa tarkasti, mitä ylläpitäjä teki. Tämä päästä päähän ulottuva jäljitettävyys on ratkaiseva syy siihen, että kokeessa suositaan Session Manageria avainpohjaisen SSH:n sijaan.

Voit tiukentaa istuntojen rajoituksia käyttämällä SSM-dokumentteja, jotka sallivat istunnossa vain tietyt toiminnot, sekä poistamalla interaktiiviset komentotulkit käytöstä tietyiltä rooleilta. Yhdessä lokituksen kanssa tämä tarkoittaa, että valtuutettuakin ylläpitäjää rajoitetaan hyväksyttyihin toimintoihin. Näin vaarantuneen tilin mahdollisuudet kaventuvat ja jokainen toimenpide jää tallennetuksi.

Session Managerin auditointi yhdistää CloudTrailin StartSession/TerminateSession-API-tapahtumien tallentamiseen ja istunnon sisällön lokituksen S3:een tai CloudWatch Logsiin, jotka voidaan haluttaessa salata KMS:llä. Suojaa lokit tiukasti rajoitetussa, erillisessä tilissä, auditioi Run Command samalla tavalla ja käytä EventBridgea/SNS:ää reaaliaikaisiin hälytyksiin etuoikeutetusta käytöstä.

Session Managerin auditoinnissa on kaksi tasoa: CloudTrail tallentaa StartSession/TerminateSession-API-tapahtumat, kun taas istunnon sisällön lokitus lähettää näppäinpainallukset ja tulosteen S3:een tai CloudWatch Logsiin, ja ne voidaan haluttaessa salata KMS:llä. Suojaa lokit erillisessä, tiukasti rajoitetussa tilissä, auditoi myös Run Command ja lähetä reaaliaikaisia hälytyksiä EventBridgen/SNS:n kautta.