Mengaudit dan Mencatat Sesi Admin

Memberikan akses administratif hanyalah separuh tugas; Anda juga harus mencatat tindakan administrator. Session Manager menyediakan pencatatan yang lengkap sehingga setiap perintah dan sesi dapat dipertanggungjawabkan. Ujian SCS-C02 menekankan kemampuan audit ini sebagai keunggulan utama dibandingkan SSH, yang pencatatan tingkat perintahnya sulit dipusatkan.

Pencatatan Session Manager memiliki dua lapisan: pencatatan tingkat API tentang siapa yang memulai dan menghentikan sesi, yang direkam oleh CloudTrail, serta pencatatan isi sesi tentang penekanan tombol dan keluaran yang sebenarnya, yang dikirim ke CloudWatch Logs atau S3. Keduanya menjawab pertanyaan "siapa yang terhubung" dan "apa yang mereka lakukan".

CloudTrail mencatat panggilan API StartSession dan TerminateSession, serta menunjukkan identitas IAM mana yang terhubung ke instans mana dan kapan. Karena panggilan ini merupakan peristiwa manajemen, panggilan tersebut otomatis muncul di jejak Anda, sehingga menyediakan catatan akses administratif yang andal dan dapat menunjukkan jika telah diubah untuk keperluan investigasi.

Untuk menangkap perintah dan keluaran di dalam sesi, Anda mengaktifkan pencatatan sesi di preferensi Session Manager dan mengarahkannya ke bucket S3 atau grup log CloudWatch. Kini setiap penekanan tombol yang diketik operator dan setiap hasil yang dikembalikan disimpan—mirip rekaman video sesi.

Log sesi merupakan bukti, sehingga harus tahan terhadap perubahan. Simpan log di bucket S3 khusus yang aksesnya dibatasi secara ketat, idealnya di akun logging terpisah, dengan enkripsi dan kebijakan yang ketat. Dengan demikian, administrator, bahkan yang berniat jahat, tidak dapat menghapus catatan sesinya sendiri.

Anda dapat mewajibkan enkripsi KMS untuk data sesi langsung maupun log yang disimpan. Penerapan enkripsi berarti konten sesi terlindungi saat disimpan dan saat dikirim, memenuhi persyaratan kepatuhan serta memastikan perintah atau keluaran sensitif tidak pernah terekspos sebagai teks biasa.

Selain sesi interaktif, SSM Run Command menjalankan perintah pada banyak instans sekaligus dan juga diaudit sepenuhnya. Setiap pemanggilan dicatat beserta pihak yang menjalankannya, targetnya, dan keluarannya, sehingga tindakan administratif pada seluruh armada tetap memiliki akuntabilitas yang sama seperti satu sesi.

Anda dapat menghubungkan peristiwa sesi ke EventBridge dan SNS untuk menerima peringatan waktu nyata saat sesi dimulai, terutama pada instans sensitif. Notifikasi segera setelah seseorang terhubung ke server basis data produksi memungkinkan tim keamanan memantau akses istimewa saat berlangsung, bukan setelah kejadian.

Audit sesi yang lengkap mendukung respons insiden, kepatuhan, dan pencegahan. Mengetahui bahwa setiap tindakan dicatat akan mencegah penyalahgunaan, dan ketika insiden terjadi, penyelidik dapat memutar ulang secara tepat tindakan operator. Akuntabilitas menyeluruh ini menjadi alasan penting ujian lebih mengutamakan Session Manager daripada SSH berbasis kunci.

Anda dapat memperketat sesi lebih lanjut dengan menggunakan dokumen SSM yang membatasi sesi pada tindakan tertentu, serta menonaktifkan shell interaktif untuk peran tertentu. Jika digabungkan dengan pencatatan, langkah ini berarti operator yang berwenang pun dibatasi hanya pada aktivitas yang disetujui, sehingga mempersempit tindakan yang dapat dilakukan akun yang telah disusupi dan setiap tindakan tetap tercatat.

Audit Session Manager menggabungkan CloudTrail untuk peristiwa API StartSession/TerminateSession dengan pencatatan konten sesi ke S3 atau CloudWatch Logs, yang secara opsional dapat dienkripsi dengan KMS. Lindungi log dalam akun terpisah yang aksesnya dibatasi secara ketat, audit Run Command dengan cara yang sama, dan gunakan EventBridge/SNS untuk peringatan waktu nyata atas akses istimewa.

Uji audit sesi.

Audit Session Manager memiliki dua lapisan: CloudTrail mencatat peristiwa API StartSession/TerminateSession, sedangkan pencatatan konten sesi mengirimkan penekanan tombol dan keluaran ke S3 atau CloudWatch Logs, yang secara opsional dapat dienkripsi dengan KMS. Lindungi log dalam akun terpisah yang aksesnya dibatasi secara ketat, audit Run Command juga, dan kirimkan peringatan waktu nyata melalui EventBridge/SNS.