CloudTrail Insights et intégrité des fichiers journaux

CloudTrail Insights est une fonctionnalité facultative qui utilise l’apprentissage automatique pour détecter automatiquement une activité API inhabituelle dans votre compte AWS. Elle établit une référence des taux d’appels API normaux et des volumes d’événements de gestion d’écriture pour chaque API, puis vous alerte lorsque l’activité s’écarte considérablement de cette référence. Les événements Insights sont remis dans le même compartiment S3 que les journaux de suivi et peuvent également déclencher des règles EventBridge pour une réponse automatisée.

CloudTrail Insights s’active pour chaque journal de suivi. Vous pouvez choisir de détecter les anomalies du taux d’appels API (nombre inhabituel d’événements de gestion d’écriture par seconde) ou les anomalies du taux d’erreurs API (nombre inhabituel d’erreurs d’accès refusé ou de limitation). Insights nécessite un journal de suivi actif avec les événements de gestion activés. AWS facture les événements Insights en plus des frais habituels liés aux événements des journaux de suivi. Insights nécessite 24 à 36 heures pour établir une référence initiale avant de pouvoir commencer à détecter les anomalies.

Un événement Insights comporte un événement de début et un événement de fin. L’événement de début est déclenché lorsque l’anomalie commence — par exemple, lors d’un pic inhabituel d’appels TerminateInstances — et l’événement de fin est déclenché lorsque le taux d’appels API revient à la normale. Chaque événement Insights inclut l’API concernée, le taux de référence normal, le taux de pointe observé et la durée. Cela vous aide à déterminer si l’anomalie correspondait à une attaque prolongée ou à une brève activité intense.

Voici des anomalies courantes signalées par CloudTrail Insights : une compromission d’identifiants au cours de laquelle un attaquant utilise des clés volées pour énumérer très rapidement tous les compartiments S3, un script de déploiement mal configuré qui boucle et appelle l’API EC2 des milliers de fois, une menace interne supprimant des ressources plus rapidement que d’habitude, ou une attaque de la chaîne d’approvisionnement au cours de laquelle une fonction Lambda effectue soudainement des appels STS inhabituels. Insights vous offre une détection plus rapide qu’un examen manuel des journaux CloudTrail.

Les événements CloudTrail Insights sont automatiquement remis à Amazon EventBridge, ce qui permet d’automatiser la réponse. Vous pouvez créer une règle EventBridge qui déclenche une fonction Lambda lorsqu’un événement Insights est détecté — par exemple pour envoyer un message Slack, créer un ticket Jira ou même révoquer automatiquement les clés d’accès de l’utilisateur IAM si l’anomalie correspond à un schéma d’attaque connu. Vous créez ainsi un pipeline d’automatisation de la sécurité en temps réel autour des résultats d’Insights.

La validation de l’intégrité des fichiers journaux garantit que les fichiers journaux CloudTrail n’ont pas été modifiés, supprimés ou falsifiés après leur remise dans S3. Lorsqu’elle est activée (avec --enable-log-file-validation), CloudTrail crée chaque heure un fichier récapitulatif contenant les hachages SHA-256 de tous les fichiers journaux remis pendant cette heure, ainsi que le hachage du récapitulatif précédent. Le fichier récapitulatif lui-même est signé avec la clé privée de CloudTrail. Vous pouvez valider les journaux à l’aide de la commande validate-logs de l’AWS CLI.

Chaque heure, CloudTrail remet un fichier récapitulatif dans S3, à un chemin distinct de celui des fichiers journaux (s3://bucket/CloudTrail-Digest/...). Le récapitulatif contient le hachage SHA-256 de chaque fichier journal remis au cours de l’heure précédente, l’URI S3 de chaque fichier et le hachage du récapitulatif précédent (ce qui forme une chaîne de hachages). Si un attaquant modifie un fichier journal après sa remise, le hachage du récapitulatif ne correspond plus : la validation échoue et indique quels fichiers ont été falsifiés.

L’intégrité des fichiers journaux n’est utile que si les fichiers récapitulatifs et les fichiers journaux eux-mêmes sont protégés. Bonnes pratiques : activez S3 MFA Delete sur le compartiment CloudTrail afin que les fichiers ne puissent pas être supprimés sans MFA, appliquez une politique de compartiment d’interdiction de suppression pour empêcher tout principal de supprimer des objets, activez S3 Object Lock (mode Compliance) pour une conservation immuable des journaux et utilisez un journal de suivi d’organisation afin que les comptes membres ne puissent pas désactiver la journalisation. Ensemble, ces contrôles rendent presque impossible l’effacement des preuves d’audit par un utilisateur interne.

CloudTrail Insights et Amazon GuardDuty sont complémentaires, et non redondants. Insights se concentre sur les anomalies du volume d’appels API — les pics soudains d’appels d’API de gestion spécifiques. GuardDuty analyse un ensemble plus large de sources de données, notamment les événements CloudTrail, les journaux de flux VPC et les journaux DNS, afin de détecter des schémas de menace tels que des identifiants compromis, le minage de cryptomonnaie, l’exfiltration de données et des adresses IP malveillantes connues. Pour une défense en profondeur, activez les deux : Insights pour les anomalies fondées sur le volume et GuardDuty pour les détections fondées sur les renseignements sur les menaces.

Dans la console CloudTrail, l’onglet Insights répertorie toutes les anomalies détectées avec leurs heures de début et de fin, le nom de l’API et un graphique comparant le taux de référence au taux observé pendant l’anomalie. En cliquant sur un événement Insights, vous accédez directement aux événements de gestion associés dans l’historique des événements pour la même période. Vous pouvez ainsi relier « une anomalie s’est produite » à « voici les appels API précis qui l’ont provoquée ». Cette capacité d’analyse détaillée rend Insights exploitable.

La validation de l’intégrité des fichiers journaux est exigée par plusieurs référentiels de conformité : PCI-DSS exige la preuve que les journaux d’audit n’ont pas été modifiés ; HIPAA impose des contrôles d’audit détectant les falsifications pour les données de santé ; SOC 2 exige des contrôles d’intégrité sur les journaux de sécurité. L’association de la validation des fichiers journaux CloudTrail, de S3 Object Lock et des journaux de suivi d’organisation répond à ces exigences et est fréquemment citée dans la documentation de conformité AWS. Lorsque les questions d’examen mentionnent la nécessité de « prouver que les journaux n’ont pas été falsifiés », la réponse est la validation de l’intégrité des fichiers journaux.

Testez votre compréhension des concepts AWS Solutions Architect (SAA-C03) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : CloudTrail Insights utilise le ML pour détecter les anomalies inhabituelles du taux d’appels API et du taux d’erreurs, avec des événements de début et de fin ; la validation de l’intégrité des fichiers journaux utilise des fichiers récapitulatifs SHA-256 organisés en chaîne de hachages pour détecter toute falsification ou suppression de fichiers journaux ; et S3 Object Lock associé à des politiques d’interdiction de suppression protège l’intégrité de la piste d’audit. Nous allons maintenant découvrir les règles AWS Config et la correction automatisée.