Mengamankan Bucket Penyimpanan Log

CloudTrail, Config, dan Flow Logs pada akhirnya menyimpan data di bucket S3. Bucket tersebut adalah aset paling berharga dalam jejak audit Anda, sehingga layak mendapatkan perlindungan terkuat. Jika bucket aman, penyerang yang menyusupi beban kerja tetap tidak dapat menjangkau bukti tentang tindakan mereka.

Kontrol pertama adalah S3 Block Public Access, yang memastikan bucket log tidak pernah terbuka ke internet. Bucket log yang dapat dibaca publik membocorkan detail operasional sensitif kepada siapa saja. Mengaktifkan Block Public Access pada tingkat akun dan bucket menutup risiko ini secara tegas.

Kebijakan bucket yang ketat seharusnya hanya mengizinkan layanan pencatatan untuk menulis dan hanya peran keamanan tertentu untuk membaca, serta menolak akses bagi pihak lain. Anda juga dapat menolak s3:DeleteObject untuk semua principal agar log tidak dapat dihapus melalui pemanggilan API biasa, sebagai perlindungan dasar yang kuat terhadap manipulasi sembarangan.

S3 Object Lock menerapkan penyimpanan write-once-read-many (WORM), sehingga objek benar-benar tidak dapat diubah selama periode tertentu. Bahkan administrator akun tidak dapat menghapus atau menimpa objek yang dikunci sebelum masa retensinya berakhir. Ini adalah pertahanan terkuat terhadap penyerang atau orang dalam yang ingin menghapus log.

Object Lock memiliki dua mode. Dalam Governance mode, pengguna dengan izin khusus dapat mengesampingkan penguncian. Dalam Compliance mode, tidak seorang pun, bahkan pengguna root, dapat menghapus atau mempersingkat retensi sebelum masa tersebut berakhir. Untuk log audit yang teregulasi, Compliance mode memberikan jaminan terkuat.

Object Lock memerlukan pembuatan versi, yang menyimpan setiap versi objek. Pembuatan versi saja juga membantu: jika penyerang menimpa suatu objek, versi sebelumnya tetap ada. Jika digabungkan dengan penolakan terhadap DeleteObjectVersion, pembuatan versi membuat penghancuran riwayat jauh lebih sulit daripada menghapus satu objek yang sedang aktif.

MFA Delete memerlukan autentikasi multifaktor untuk menghapus versi objek secara permanen atau mengubah status pembuatan versi. Fitur ini menambahkan gerbang yang melibatkan manusia dan didukung perangkat keras sebelum tindakan destruktif pada bucket log dilakukan, sehingga kredensial yang telah disusupi pun tidak dapat menghapus versi secara diam-diam tanpa perangkat MFA.

Enkripsikan data log saat tidak digunakan dengan KMS, idealnya menggunakan kunci yang dikelola pelanggan dengan kebijakan yang membatasi pihak yang dapat mendekripsi. Ini melindungi kerahasiaan, karena log sering berisi detail sensitif seperti nama pengguna dan alamat IP. KMS juga menghasilkan catatan audit untuk setiap dekripsi, sehingga menambah visibilitas tentang siapa yang membaca log.

Aktifkan pencatatan akses server S3 atau gunakan peristiwa data CloudTrail pada bucket log agar Anda dapat melihat siapa yang mengaksesnya. Buat alarm untuk pembacaan yang tidak terduga atau setiap upaya penghapusan. Memantau bucket log itu sendiri memastikan bahwa serangan terhadap bukti Anda—ironisnya—juga tercatat.

Tidak ada satu pengaturan yang cukup. Block Public Access, kebijakan bucket yang menolak penghapusan, Object Lock dalam Compliance mode, pembuatan versi, MFA Delete, dan enkripsi KMS secara bersama-sama membuat bucket tahan terhadap penghapusan, perubahan, dan paparan. Tujuannya adalah pertahanan berlapis: setiap lapisan menutupi celah lapisan lainnya.

Bucket log yang dikunci dengan benar tidak dapat diubah, bersifat privat, terenkripsi, dan dipantau. Jika digabungkan dengan validasi file log CloudTrail untuk mendeteksi manipulasi, bucket ini memastikan bukti Anda tetap tersedia dan dapat dibuktikan keutuhannya. Penguatan pada tingkat bucket inilah yang diharapkan dalam skenario ujian tentang perlindungan log.

Uji pengetahuan Anda tentang pengamanan bucket.

Perkuat keamanan bucket log dengan kontrol berlapis: Blokir Akses Publik, kebijakan bucket yang menolak penghapusan, Penguncian Objek S3 (mode Compliance tidak dapat ditembus, sedangkan Governance dapat ditimpa), pembuatan versi, Penghapusan dengan MFA, dan enkripsi KMS untuk menjaga kerahasiaan. Pantau akses dengan pencatatan akses S3 atau peristiwa data CloudTrail. Secara bersama-sama, semua kontrol ini membuat log tidak dapat diubah, bersifat privat, dan terpantau.