Sécuriser les compartiments de stockage des journaux

CloudTrail, Config et Flow Logs stockent finalement leurs données dans des compartiments S3. Ce compartiment est le joyau de la couronne de votre piste d’audit et mérite donc les protections les plus strictes. Si le compartiment est sécurisé, un attaquant qui compromet une charge de travail ne peut toujours pas accéder aux preuves de ses actions.

Le premier contrôle est S3 Block Public Access, qui garantit que le compartiment de journaux n’est jamais exposé à Internet. Un compartiment de journaux accessible publiquement divulgue des informations opérationnelles sensibles à n’importe qui. Activer Block Public Access au niveau du compte et du compartiment élimine ce risque de manière décisive.

Une politique de compartiment stricte doit autoriser uniquement le service de journalisation à écrire et uniquement certains rôles de sécurité à lire, tout en refusant l’accès à tous les autres. Vous pouvez également refuser s3:DeleteObject à tous les principaux afin que les journaux ne puissent pas être supprimés par des appels d’API habituels, ce qui constitue une solide protection de base contre les falsifications opportunistes.

S3 Object Lock impose un stockage write-once-read-many (WORM), rendant les objets véritablement immuables pendant une période définie. Même un administrateur de compte ne peut pas supprimer ou remplacer un objet verrouillé avant l’expiration de sa durée de conservation. C’est la défense la plus solide contre un attaquant ou un initié qui voudrait supprimer les journaux.

Object Lock propose deux modes. En Governance mode, les utilisateurs disposant d’une autorisation spéciale peuvent contourner le verrouillage. En Compliance mode, personne, pas même l’utilisateur root, ne peut supprimer les objets ni raccourcir leur durée de conservation avant son expiration. Pour les journaux d’audit réglementés, le mode Compliance offre la garantie la plus forte.

Object Lock exige la gestion des versions, qui conserve chaque version d’un objet. La gestion des versions, à elle seule, est également utile : si un attaquant remplace un objet, la version précédente demeure. Associée à un refus de DeleteObjectVersion, elle rend la destruction de l’historique bien plus difficile que la suppression d’un seul objet actuel.

MFA Delete exige une authentification multifacteur pour supprimer définitivement des versions d’objets ou modifier l’état de la gestion des versions. Elle ajoute une barrière humaine et matérielle aux actions destructrices sur le compartiment de journaux : même un identifiant compromis ne peut pas purger discrètement les versions sans le dispositif MFA.

Chiffrez les données des journaux au repos avec KMS, idéalement au moyen d’une clé gérée par le client dont la politique limite les personnes autorisées à déchiffrer. Cela protège la confidentialité, car les journaux contiennent souvent des informations sensibles comme des noms d’utilisateur et des adresses IP. KMS produit également une trace d’audit de chaque déchiffrement, ce qui permet de savoir qui lit les journaux.

Activez la journalisation des accès au serveur S3 ou utilisez les événements de données CloudTrail sur le compartiment de journaux afin de savoir qui y a accédé. Déclenchez une alarme en cas de lecture inattendue ou de toute tentative de suppression. Surveiller le compartiment de journaux lui-même garantit qu’une attaque contre vos preuves est, ironiquement, elle aussi enregistrée.

Aucun paramètre unique ne suffit. Block Public Access, une politique de compartiment refusant les suppressions, Object Lock en mode Compliance, la gestion des versions, MFA Delete et le chiffrement KMS rendent ensemble le compartiment résistant à la suppression, à la modification et à l’exposition. L’objectif est la défense en profondeur : chaque couche couvre les failles des autres.

Un compartiment de journaux correctement verrouillé est immuable, privé, chiffré et surveillé. Associé à la validation des fichiers journaux CloudTrail pour détecter les falsifications, il garantit que vos preuves subsistent et restent vérifiablement intactes. Ce renforcement au niveau du compartiment correspond exactement à ce qu’attendent les scénarios d’examen portant sur la protection des journaux.

Testez vos connaissances sur le renforcement des compartiments.

Renforcez les compartiments de journaux avec des contrôles en plusieurs couches : Block Public Access, une politique de compartiment qui refuse la suppression, S3 Object Lock (le mode Compliance est inviolable, tandis que le mode Governance peut être contourné), la gestion des versions, MFA Delete et le chiffrement KMS pour garantir la confidentialité. Surveillez les accès avec la journalisation des accès S3 ou les événements de données CloudTrail. Ensemble, ces mesures rendent les journaux immuables, privés et surveillés.