Validation des fichiers journaux CloudTrail

La validation des fichiers journaux CloudTrail permet de prouver que les fichiers journaux transmis à S3 n’ont pas été modifiés, supprimés ou falsifiés après leur écriture par CloudTrail. C’est la fonctionnalité qui transforme « nous espérons que les journaux sont intacts » en « nous pouvons le démontrer cryptographiquement ». L’activer est une bonne pratique qui ne demande qu’un clic sur toute piste.

Lorsqu’elle est activée, CloudTrail crée chaque heure un fichier de condensé qui référence les fichiers journaux transmis pendant cette période et contient le hachage de chacun d’eux. Les fichiers de condensé sont eux-mêmes signés. Ensemble, ils forment une chaîne qui permet de vérifier à la fois que chaque fichier journal est inchangé et qu’aucun ne manque.

Chaque fichier journal est haché avec SHA-256, et le fichier de condensé est signé à l’aide de SHA-256 with RSA. Comme toute modification d’un fichier journal modifie son hachage et que le condensé est signé cryptographiquement, un attaquant ne peut pas altérer un journal sans rendre les calculs incohérents. C’est ce qui rend les journaux révélateurs de toute falsification.

Chaque fichier de condensé référence également le fichier de condensé précédent, formant une séquence chaînée d’heure en heure. Cette chaîne permet de détecter non seulement la modification d’un fichier journal, mais aussi un condensé manquant ou supprimé, car toute lacune rompt la chaîne. La continuité de la chaîne prouve l’exhaustivité au fil du temps.

Vous vérifiez l’intégrité à l’aide de la commande validate-logs de la CLI, qui contrôle les signatures des condensés et les hachages des fichiers journaux référencés pour une période donnée. Elle signale tout fichier modifié ou supprimé, ainsi que tout condensé manquant. Les enquêteurs disposent ainsi, à la demande, d’un contrôle d’intégrité faisant autorité.

Une nuance importante : la validation est détective, et non préventive. Elle n’empêche pas quelqu’un de supprimer un fichier journal ; elle vous permet de prouver que cette suppression a eu lieu. Pour empêcher les suppressions, vous combinez la validation avec des protections du compartiment comme Object Lock. La validation établit la vérité ; les autres contrôles la font respecter.

Les fichiers de condensé résident dans le même compartiment S3 que les journaux et doivent être protégés avec la même rigueur. Si un attaquant pouvait régénérer ou supprimer librement les condensés, la preuve serait compromise. Le stockage des condensés dans un compartiment verrouillé et, idéalement, immuable préserve la garantie d’intégrité de bout en bout.

La validation constitue le pilier de l’intégrité de la protection des journaux. Elle agit de concert avec le stockage immuable pour assurer la disponibilité, et avec le chiffrement pour assurer la confidentialité. À l’examen, lorsqu’un scénario demande comment prouver que les journaux n’ont pas été falsifiés après leur transmission, la validation des fichiers journaux CloudTrail est la réponse précise.

Vous activez la validation lors de la création ou de la mise à jour d’une piste, au moyen d’un seul paramètre. La fonctionnalité de validation elle-même n’entraîne aucun coût supplémentaire, en dehors du stockage S3 habituel des fichiers de condensé. Compte tenu de son grand intérêt et de son coût négligeable, elle devrait être activée sur chaque piste, sans exception.

Exécutez régulièrement la validation, et pas uniquement pendant les incidents, afin de détecter rapidement toute falsification. Certaines équipes automatisent validate-logs selon un calendrier et déclenchent une alerte en cas d’échec. Une validation régulière transforme cette fonctionnalité, souvent reléguée à l’analyse forensique, en un véritable outil de surveillance active de l’intégrité de votre piste d’audit.

Lors d’un audit, la validation des fichiers journaux fournit la preuve cryptographique que votre piste d’audit est complète et n’a pas été altérée, ce qui satisfait aux exigences de référentiels comme PCI DSS et SOC 2. Pouvoir exécuter validate-logs et présenter un résultat sans anomalie constitue une preuve concrète que vos données de surveillance peuvent être considérées comme le relevé fiable des événements.

Vérifiez vos connaissances sur la validation.

La validation des fichiers journaux CloudTrail prouve que les journaux n’ont pas été falsifiés après leur transmission. Chaque heure, les fichiers de condensé contiennent les hachages SHA-256 des journaux, sont signés et se chaînent au condensé précédent afin de détecter les fichiers manquants. Vérifiez-les avec validate-logs. Cette fonctionnalité est détective : associez-la donc à un stockage immuable pour empêcher les suppressions. Activez-la sur chaque piste et effectuez régulièrement la validation.