Miksi lokien peukalointi on uhka

Tietoturvalokit ovat evidence eli todiste siitä, mitä ympäristössänne on tapahtunut. Ne muodostavat havainnoinnin, tutkinnan ja vaatimustenmukaisuuden perustan. Jos hyökkääjä voi muuttaa tai poistaa lokit, menetätte mahdollisuuden selvittää tapahtumat ja auditointipolkunne muuttuu arvottomaksi. Lokien eheyden suojaaminen on siksi itse totuuden suojaamista.

Edistyneet hyökkääjät käyttävät anti-forensiikkaa: he peittävät aktiivisesti jälkensä. Saatuaan pääsyn järjestelmään he yrittävät poistaa lokituksen käytöstä, poistaa lokitiedostoja tai katkaista jäljitysketjun, jotta heidän myöhemmistä toimistaan ei jäisi tallennetta. Näiden toimien estäminen on keskeinen osa häiriötilanteisiin varautumista, sillä havaitsematta jäänyt hyökkääjä on huomattavasti vaarallisempi.

Yksi yleinen toimintatapa on pysäyttää CloudTrail trail tai poistaa se komennoilla StopLogging tai DeleteTrail. Kun lokitus loppuu, myöhemmistä toimista ei jää tarkastuslokia. Näiden kutsujen havaitseminen ja estäminen tai niiden kirjaaminen muualle on välttämätöntä jäljitysketjun luotettavuuden säilyttämiseksi.

Vaikka lokitus olisi käytössä, hyökkääjä voi yrittää poistaa lokitiedostot S3-säilöstä, johon ne on tallennettu. Jos säilöä ei ole suojattu, objektien poistaminen pyyhkii historian. Siksi lokien tallennussäilön suojaaminen on yhtä tärkeää kuin lokituksen käyttöönotto alun perin.

Poistamisen lisäksi hyökkääjä voi yrittää muuttaa lokien sisältöä tiettyjen toimien piilottamiseksi tai jonkun muun syyllistämiseksi. Muutetut lokit ovat mahdollisesti puuttuvia lokeja pahempia, koska ne johtavat tutkijoita aktiivisesti harhaan. Siksi väärentämisen havaitseminen, ei ainoastaan poistamisen estäminen, on erillinen ja tärkeä tavoite.

Lokien suojaaminen perustuu kolmeen ajatukseen: eheyteen (osoitetaan, ettei lokeja ole muutettu), saatavuuteen (varmistetaan, ettei niitä voida poistaa) ja luottamuksellisuuteen (estetään luvaton lukeminen). AWS tarjoaa kuhunkin näistä omat ominaisuutensa. Kattava strategia käsittelee kaikkia kolmea sen sijaan, että keskityttäisiin vain yhteen.

Keskeinen periaate on tehtävien eriyttäminen: työkuormia käyttävien henkilöiden ja tilien ei pitäisi hallita kyseisiä työkuormia koskevia lokeja. Jos hyökkääjä vaarantaa työkuorman tilin, hän ei siten saa valtaa poistaa todisteita. Tämä ohjaa erillisten lokitilien suunnittelua.

Väärentämisyritykset ovat itsessään erittäin arvokkaita signaaleja. CloudTrail-tapahtumille, kuten StopLogging, DeleteTrail tai UpdateTrail, määritetty mittarisuodatin ja hälytys ilmoittavat heti, kun joku koskee lokituksen määrityksiin. Usein juuri yritys peittää jäljet on selkein merkki käynnissä olevasta hyökkäyksestä.

PCI DSS:n ja HIPAA:n kaltaiset viitekehykset edellyttävät nimenomaisesti tarkastuslokien suojaamista muutoksilta ja niiden säilytyksen varmistamista. Muutosten havaitsemiseen soveltuvat ja säilytetyt lokit eivät ole vain hyvää käytäntöä, vaan vaatimustenmukaisuusvaatimus. Auditoijat etsivät kontrolleja, jotka osoittavat lokien olevan luotettavia ja täydellisiä.

Puolustuskeinot, joita opiskelette — lokitiedostojen validointi, tiukasti rajoitetut ja muuttumattomat säilöt sekä keskitetyt arkistotilit — torjuvat kukin tiettyä väärentämistekniikkaa. Uhan ymmärtäminen ensin tekee selväksi, miksi kukin kontrolli on olemassa ja miten ne yhdessä muodostavat kerroksellisen suojauksen, jota hyökkääjä ei helposti pysty ohittamaan.

Lokin eheys on toistuva koeteema, koska se yhdistää havainnoinnin, forensiikan ja hallinnon. Odottakaa tilanteita, joissa tavoitteena on varmistaa lokien säilyminen tietoturvaloukkauksen jälkeen. Oikeat vastaukset perustuvat muuttumattomuuteen, validointiin ja eristämiseen — eivät koskaan siihen, että yksi tili valvoisi itseään.

Lokit ovat todisteita, ja hyökkääjät käyttävät anti-forensiikkaa jäljityksen katkaisemiseen, tiedostojen poistamiseen tai tietueiden muuttamiseen. Suojatkaa eheys, saatavuus ja luottamuksellisuus, varmistakaa tehtävien eriyttäminen, jotta työkuormien tilit eivät voi poistaa omia lokejaan, ja määrittäkää hälytys esimerkiksi StopLogging-tapahtumista. Vaatimustenmukaisuusviitekehykset edellyttävät muutosten havaitsemiseen soveltuvia ja säilytettyjä lokeja, joiden toteuttamisen loppuosa tästä kurssista opettaa.