Pourquoi la falsification des journaux constitue une menace

Les journaux de sécurité constituent les éléments probants de ce qui s'est produit dans votre environnement. Ils sont à la base de la détection, de l'investigation et de la conformité. Si un attaquant peut les modifier ou les supprimer, vous perdez la capacité de savoir ce qui s'est produit et votre piste d'audit devient inutile. Protéger l'intégrité des journaux revient donc à protéger la vérité elle-même.

Les attaquants sophistiqués pratiquent l’antiforensique : ils effacent activement leurs traces. Après avoir obtenu un accès, ils tentent de désactiver la journalisation, de supprimer les fichiers journaux ou d’arrêter les pistes afin que leurs actions ultérieures ne soient pas enregistrées. Contrer ces tentatives est un aspect essentiel de la préparation aux incidents, car un attaquant non détecté est bien plus dangereux.

Une méthode courante consiste à arrêter ou supprimer une piste CloudTrail avec StopLogging ou DeleteTrail. Une fois la journalisation arrêtée, les actions suivantes ne laissent aucune trace d’audit. Détecter et empêcher ces appels, ou veiller à ce qu’ils soient eux-mêmes journalisés ailleurs, est essentiel pour préserver la fiabilité de la piste.

Même lorsque la journalisation est active, un attaquant peut tenter de supprimer les fichiers journaux du compartiment S3 où ils sont stockés. Si le compartiment n’est pas protégé, la suppression des objets efface l’historique. C’est pourquoi la sécurisation du compartiment de stockage des journaux est aussi importante que l’activation initiale de la journalisation.

Au-delà de la suppression, un attaquant peut tenter d’altérer le contenu des journaux pour dissimuler certaines actions ou faire accuser quelqu’un d’autre. Des journaux modifiés sont sans doute pires que des journaux manquants, car ils induisent activement les enquêteurs en erreur. Détecter les falsifications, et pas seulement empêcher les suppressions, constitue donc un objectif distinct et important.

La protection des journaux repose sur trois principes : l’intégrité (prouver que les journaux n’ont pas été altérés), la disponibilité (garantir qu’ils ne peuvent pas être supprimés) et la confidentialité (empêcher toute lecture non autorisée). AWS propose des fonctionnalités spécifiques pour chacun d’eux. Une stratégie complète doit prendre en compte les trois, plutôt que de se concentrer sur un seul.

Un principe essentiel est la séparation des responsabilités : les personnes et les comptes qui exploitent les charges de travail ne doivent pas contrôler les journaux correspondants. Si un attaquant compromet un compte de charge de travail, il ne doit pas obtenir pour autant le pouvoir d’effacer les preuves. C’est ce principe qui motive la création de comptes de journalisation dédiés.

Les tentatives de falsification sont elles-mêmes des signaux très importants. Un filtre de métrique et une alarme sur des événements CloudTrail tels que StopLogging, DeleteTrail ou UpdateTrail vous avertissent dès que quelqu’un touche à votre configuration de journalisation. Souvent, la tentative de dissimulation est le signe le plus évident qu’une attaque est en cours.

Des référentiels comme PCI DSS et HIPAA exigent explicitement de protéger les journaux d’audit contre toute modification et d’assurer leur conservation. Des journaux conservés et révélateurs de toute falsification ne relèvent pas seulement des bonnes pratiques : ils sont imposés par la conformité. Les auditeurs rechercheront les contrôles prouvant que vos journaux sont fiables et complets.

Les défenses que vous allez étudier — validation des fichiers journaux, compartiments verrouillés et immuables, et comptes d’archivage centralisés — contrent chacune une technique de falsification précise. Comprendre d’abord la menace montre clairement pourquoi chaque contrôle existe et comment ils se combinent pour former une défense en profondeur qu’un attaquant ne peut pas facilement vaincre.

L’intégrité des journaux est un thème récurrent des examens, car elle se trouve à l’intersection de la détection, de l’inforensique et de la gouvernance. Attendez-vous à des scénarios où l’objectif est de garantir la survie des journaux après une compromission. Les bonnes réponses s’appuient sur l’immutabilité, la validation et l’isolation, et jamais sur la confiance accordée à un seul compte chargé de se contrôler lui-même.

Vérifiez votre compréhension de la menace.

Les journaux sont des preuves, et les attaquants utilisent l’antiforensique pour désactiver les pistes, supprimer des fichiers ou modifier des enregistrements. Protégez l’intégrité, la disponibilité et la confidentialité, imposez la séparation des responsabilités afin que les comptes de charges de travail ne puissent pas effacer leurs propres journaux, et déclenchez une alarme sur des événements comme StopLogging. Les référentiels de conformité imposent des journaux conservés et révélateurs de toute falsification ; la suite de ce cours montre comment y parvenir.