Validasi File Log CloudTrail

Validasi file log CloudTrail memungkinkan Anda membuktikan bahwa file log yang dikirim ke S3 tidak diubah, dihapus, atau dipalsukan setelah ditulis oleh CloudTrail. Fitur ini mengubah "kami berharap log tetap utuh" menjadi "kami dapat membuktikannya secara kriptografis". Mengaktifkannya adalah praktik terbaik yang dapat dilakukan dengan satu klik pada setiap jejak.

Saat diaktifkan, CloudTrail membuat file intisari setiap jam yang merujuk pada file log yang dikirim selama periode tersebut dan berisi hash masing-masing file. File intisari itu sendiri ditandatangani. Bersama-sama, file tersebut membentuk rantai yang memungkinkan Anda memverifikasi bahwa setiap file log tidak berubah dan tidak ada file yang hilang.

Setiap file log dibuatkan hash dengan SHA-256, dan file intisari ditandatangani menggunakan SHA-256 dengan RSA. Karena setiap perubahan pada file log akan mengubah hash-nya, dan intisari ditandatangani secara kriptografis, penyerang tidak dapat mengubah log tanpa merusak perhitungan tersebut. Inilah yang membuat log menunjukkan bukti manipulasi.

Setiap file intisari juga merujuk pada file intisari sebelumnya, sehingga membentuk urutan berantai dari jam ke jam. Rantai ini memungkinkan Anda mendeteksi bukan hanya file log yang diubah, tetapi juga intisari yang hilang atau dihapus, karena celah akan memutus rantai. Rantai yang berkesinambungan inilah yang membuktikan kelengkapan dari waktu ke waktu.

Anda memverifikasi integritas menggunakan perintah validate-logs CLI, yang memeriksa tanda tangan intisari dan hash file log yang dirujuk dalam rentang waktu tertentu. Perintah ini melaporkan file yang diubah atau dihapus, serta file yang intisarinya hilang. Dengan demikian, penyelidik memperoleh pemeriksaan integritas yang otoritatif kapan pun diperlukan.

Ada hal penting yang perlu dipahami: validasi bersifat detektif, bukan preventif. Validasi tidak menghentikan seseorang menghapus file log; validasi memungkinkan Anda membuktikan bahwa penghapusan itu terjadi. Untuk mencegah penghapusan, gabungkan validasi dengan perlindungan bucket seperti Object Lock. Validasi memberi tahu Anda fakta yang sebenarnya; kontrol lain menegakkannya.

File intisari berada di bucket S3 yang sama dengan log dan harus dilindungi dengan cermat. Jika penyerang dapat membuat ulang atau menghapus intisari dengan bebas, bukti tersebut akan kehilangan kekuatannya. Menyimpan intisari di bucket yang dikunci ketat dan, idealnya, tidak dapat diubah akan mempertahankan jaminan integritas dari awal hingga akhir.

Validasi merupakan pilar integritas dalam perlindungan log. Validasi bekerja bersama penyimpanan yang tidak dapat diubah untuk menjaga ketersediaan dan enkripsi untuk menjaga kerahasiaan. Dalam ujian, ketika skenario menanyakan cara membuktikan bahwa log tidak dimanipulasi setelah dikirim, jawaban yang tepat adalah validasi file log CloudTrail.

Anda mengaktifkan validasi saat membuat atau memperbarui jejak, cukup dengan satu pengaturan. Tidak ada biaya tambahan untuk fitur validasi itu sendiri selain biaya normal penyimpanan file intisari di S3. Dengan manfaat yang besar dan biaya yang nyaris tidak berarti, fitur ini sebaiknya diaktifkan pada setiap jejak tanpa pengecualian.

Jalankan validasi secara rutin, bukan hanya saat terjadi insiden, agar manipulasi dapat segera diketahui. Beberapa tim mengotomatiskan validate-logs sesuai jadwal dan membuat alarm jika terjadi kegagalan. Validasi rutin mengubah fitur ini dari sekadar langkah forensik setelah kejadian menjadi pemantau integritas aktif untuk jejak audit Anda.

Selama audit, validasi file log menyediakan bukti kriptografis bahwa jejak audit Anda lengkap dan tidak diubah, sehingga memenuhi persyaratan dalam kerangka kerja seperti PCI DSS dan SOC 2. Kemampuan menjalankan validate-logs dan menunjukkan hasil yang bersih merupakan bukti nyata bahwa data pemantauan Anda dapat dipercaya sebagai catatan peristiwa.

Uji pengetahuan Anda tentang validasi.

Validasi file log CloudTrail membuktikan bahwa log tidak dimanipulasi setelah dikirim. Setiap jam, file intisari menyimpan hash SHA-256 log, ditandatangani, dan dirangkai dengan intisari sebelumnya agar file yang hilang dapat terdeteksi. Lakukan verifikasi dengan validate-logs. Fitur ini bersifat detektif, jadi padukan dengan penyimpanan yang tidak dapat diubah untuk mencegah penghapusan. Aktifkan pada setiap jejak dan lakukan validasi secara rutin.