CloudTrail Insights dan Integritas Berkas Log

CloudTrail Insights adalah fitur opsional yang menggunakan pembelajaran mesin untuk mendeteksi aktivitas API yang tidak biasa secara otomatis di akun AWS Anda. Fitur ini menetapkan dasar normal untuk laju panggilan API dan volume peristiwa manajemen tulis pada setiap API, lalu memberi peringatan ketika aktivitas menyimpang secara signifikan dari dasar tersebut. Peristiwa Insights dikirim ke bucket S3 yang sama dengan log Trail Anda dan juga dapat memicu aturan EventBridge untuk respons otomatis.

CloudTrail Insights diaktifkan untuk setiap Trail. Anda dapat memilih untuk mendeteksi anomali laju panggilan API (jumlah peristiwa manajemen tulis per detik yang tidak biasa) atau anomali laju kesalahan API (jumlah kesalahan akses ditolak atau pembatasan laju yang tidak biasa). Insights memerlukan Trail aktif dengan peristiwa manajemen yang diaktifkan. AWS mengenakan biaya untuk peristiwa Insights di samping biaya peristiwa Trail biasa. Insights memerlukan waktu 24–36 jam untuk menetapkan dasar awal sebelum dapat mulai mendeteksi anomali.

Peristiwa Insights memiliki peristiwa awal dan peristiwa akhir. Peristiwa awal dipicu ketika anomali dimulai — misalnya, lonjakan panggilan TerminateInstances yang tidak biasa — sedangkan peristiwa akhir dipicu ketika laju panggilan API kembali normal. Setiap peristiwa Insights mencakup API yang terdampak, laju dasar normal, laju puncak yang diamati, dan durasinya. Informasi ini membantu Anda memahami apakah anomali tersebut merupakan serangan berkelanjutan atau lonjakan singkat.

Anomali umum yang ditandai CloudTrail Insights meliputi: kredensial yang disusupi ketika penyerang menggunakan kunci yang dicuri untuk mencantumkan semua bucket S3 dengan kecepatan tinggi, skrip penerapan yang salah konfigurasi yang berulang kali memanggil API EC2 ribuan kali, ancaman dari orang dalam yang menghapus sumber daya lebih cepat dari biasanya, atau serangan rantai pasokan ketika fungsi Lambda tiba-tiba melakukan panggilan STS yang tidak biasa. Insights memberi Anda jendela deteksi yang lebih cepat daripada meninjau log CloudTrail secara manual.

Peristiwa CloudTrail Insights secara otomatis dikirim ke EventBridge, sehingga respons otomatis dapat dilakukan. Anda dapat membuat aturan EventBridge yang memicu fungsi Lambda ketika peristiwa Insights terdeteksi — misalnya, untuk mengirim pesan Slack, membuat tiket Jira, atau bahkan mencabut kunci akses pengguna IAM secara otomatis jika anomali tersebut cocok dengan pola serangan yang diketahui. Dengan demikian, terbentuk pipeline otomatisasi keamanan waktu nyata di sekitar temuan Insights.

Validasi integritas file log memastikan bahwa file log CloudTrail tidak diubah, dihapus, atau dipalsukan setelah dikirim ke S3. Saat diaktifkan (melalui --enable-log-file-validation), CloudTrail membuat file ringkasan setiap jam yang berisi hash SHA-256 dari semua file log yang dikirim selama jam tersebut, serta hash dari ringkasan sebelumnya. File ringkasan itu sendiri ditandatangani dengan kunci privat CloudTrail. Anda dapat memvalidasi log menggunakan perintah validate-logs dari AWS CLI.

Setiap jam, CloudTrail mengirimkan file ringkasan ke S3 di jalur yang terpisah dari file log (s3://bucket/CloudTrail-Digest/...). Ringkasan tersebut berisi hash SHA-256 setiap file log yang dikirim dalam satu jam terakhir, URI S3 setiap file, dan hash ringkasan sebelumnya (sehingga membentuk rantai hash). Jika penyerang mengubah file log setelah pengiriman, hash dalam ringkasan tidak akan lagi cocok — validasi akan gagal dan melaporkan file mana yang telah diubah tanpa izin.

Integritas file log hanya berguna jika file ringkasan dan file log itu sendiri dilindungi. Praktik terbaik: aktifkan S3 MFA Delete pada bucket CloudTrail agar file tidak dapat dihapus tanpa MFA, terapkan kebijakan bucket tolak-penghapusan untuk mencegah principal menghapus objek, aktifkan S3 Object Lock (mode Compliance) untuk retensi log yang tidak dapat diubah, dan gunakan trail organisasi agar akun anggota tidak dapat menonaktifkan logging. Secara bersama-sama, kontrol ini membuat hampir mustahil bagi orang dalam untuk menghapus bukti audit.

CloudTrail Insights dan GuardDuty saling melengkapi, bukan duplikat. Insights berfokus pada anomali volume panggilan API — lonjakan mendadak dalam panggilan API manajemen tertentu. GuardDuty menganalisis kumpulan sumber data yang lebih luas, termasuk peristiwa CloudTrail, VPC Flow Logs, dan log DNS, untuk mendeteksi pola ancaman seperti kredensial yang disusupi, penambangan kripto, eksfiltrasi data, dan alamat IP berbahaya yang telah diketahui. Untuk pertahanan berlapis, aktifkan keduanya — Insights untuk anomali berbasis volume dan GuardDuty untuk deteksi berbasis intelijen ancaman.

Di konsol CloudTrail, tab Insights mencantumkan semua anomali yang terdeteksi beserta waktu mulai dan berakhirnya, nama API, serta grafik yang membandingkan laju dasar dengan laju yang diamati selama anomali. Dengan mengeklik peristiwa Insights, Anda akan diarahkan langsung ke peristiwa manajemen terkait di Riwayat Peristiwa untuk rentang waktu yang sama. Hal ini membantu Anda menghubungkan "terjadi anomali" dengan "inilah panggilan API tertentu yang menyebabkannya". Kemampuan penelusuran hingga detail inilah yang membuat Insights dapat ditindaklanjuti.

Validasi integritas file log diwajibkan oleh berbagai kerangka kerja kepatuhan: PCI-DSS mengharuskan bukti bahwa log audit tidak diubah; HIPAA mewajibkan kontrol audit yang dapat mendeteksi perubahan tanpa izin untuk data layanan kesehatan; SOC 2 mengharuskan kontrol integritas atas log keamanan. Kombinasi validasi file log CloudTrail + S3 Object Lock + trail organisasi memenuhi persyaratan ini dan sering disebut dalam dokumentasi kepatuhan AWS. Jika pertanyaan ujian menyebutkan "buktikan bahwa log tidak diubah tanpa izin", jawabannya adalah validasi integritas file log.

Uji pemahaman Anda tentang konsep AWS Solutions Architect (SAA-C03) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: CloudTrail Insights menggunakan ML untuk mendeteksi anomali laju panggilan API dan laju kesalahan dengan peristiwa awal/akhir, validasi integritas file log menggunakan file ringkasan SHA-256 dalam rantai hash untuk mendeteksi perubahan tanpa izin atau penghapusan file log, dan S3 Object Lock yang dikombinasikan dengan kebijakan tolak-penghapusan melindungi integritas trail audit. Selanjutnya, kita akan membahas AWS Config Rules dan perbaikan otomatis.