Mengapa Manipulasi Log Merupakan Ancaman

Log keamanan adalah bukti tentang apa yang terjadi di lingkungan Anda. Log mendasari deteksi, investigasi, dan kepatuhan. Jika penyerang dapat mengubah atau menghapusnya, Anda kehilangan kemampuan untuk mengetahui apa yang terjadi dan jejak audit Anda menjadi tidak berguna. Oleh karena itu, melindungi integritas log berarti melindungi kebenaran itu sendiri.

Penyerang canggih menerapkan anti-forensik: secara aktif menutupi jejak mereka. Setelah memperoleh akses, mereka berusaha menonaktifkan pencatatan, menghapus file log, atau menghentikan jejak agar tindakan mereka berikutnya tidak tercatat. Menggagalkan upaya ini merupakan bagian utama dari kesiapan menghadapi insiden, karena penyerang yang tidak terdeteksi jauh lebih berbahaya.

Salah satu tindakan yang umum dilakukan adalah menghentikan atau menghapus jejak CloudTrail dengan StopLogging atau DeleteTrail. Setelah pencatatan dihentikan, tindakan berikutnya tidak meninggalkan catatan audit. Mendeteksi dan mencegah pemanggilan ini, atau memastikan bahwa pemanggilan tersebut juga dicatat di tempat lain, sangat penting untuk menjaga keandalan jejak.

Meskipun pencatatan tetap aktif, penyerang mungkin berusaha menghapus file log di bucket S3 tempat file tersebut disimpan. Jika bucket tidak dilindungi, penghapusan objek akan menghilangkan riwayat. Karena itu, mengamankan bucket penyimpanan log sama pentingnya dengan mengaktifkan pencatatan sejak awal.

Selain menghapus, penyerang mungkin mencoba mengubah isi log untuk menyembunyikan tindakan tertentu atau menjebak pihak lain. Log yang diubah bisa dibilang lebih buruk daripada log yang hilang, karena secara aktif menyesatkan penyelidik. Oleh sebab itu, mendeteksi manipulasi, bukan hanya mencegah penghapusan, merupakan tujuan tersendiri yang penting.

Perlindungan log bertumpu pada tiga gagasan: integritas (membuktikan bahwa log tidak diubah), ketersediaan (memastikan log tidak dapat dihapus), dan kerahasiaan (mencegah pembacaan tanpa izin). AWS menyediakan fitur khusus untuk masing-masing aspek tersebut. Strategi yang lengkap menangani ketiganya, bukan hanya berfokus pada satu aspek.

Salah satu prinsip utama adalah pemisahan tugas: orang dan akun yang mengoperasikan beban kerja tidak boleh mengendalikan log tentang beban kerja tersebut. Jika penyerang menyusupi akun beban kerja, mereka tidak boleh serta-merta memperoleh kemampuan untuk menghapus buktinya. Prinsip ini mendorong penggunaan akun log khusus.

Upaya manipulasi itu sendiri merupakan sinyal bernilai tinggi. Filter metrik dan alarm pada peristiwa CloudTrail seperti StopLogging, DeleteTrail, atau UpdateTrail akan memberi tahu Anda segera setelah seseorang menyentuh konfigurasi pencatatan. Sering kali, upaya untuk bersembunyi merupakan tanda paling jelas bahwa serangan sedang berlangsung.

Kerangka kerja seperti PCI DSS dan HIPAA secara tegas mewajibkan perlindungan log audit dari perubahan serta memastikan masa retensinya. Log yang menunjukkan bukti manipulasi dan disimpan sesuai retensi bukan hanya praktik yang baik, melainkan juga kewajiban kepatuhan. Auditor akan mencari kontrol yang membuktikan bahwa log Anda dapat dipercaya dan lengkap.

Pertahanan yang akan Anda pelajari—validasi file log, bucket yang dikunci ketat dan tidak dapat diubah, serta akun arsip terpusat—masing-masing menangkal teknik manipulasi tertentu. Memahami ancamannya terlebih dahulu memperjelas alasan setiap kontrol dibuat dan cara kontrol-kontrol tersebut bergabung menjadi pertahanan berlapis yang tidak mudah dikalahkan penyerang.

Integritas log sering menjadi tema ujian karena berada di persimpangan deteksi, forensik, dan tata kelola. Perkirakan skenario yang bertujuan memastikan log tetap tersedia setelah terjadi penyusupan. Jawaban yang tepat berfokus pada ketidakberubahan, validasi, dan isolasi, bukan pada kepercayaan terhadap satu akun untuk mengawasi dirinya sendiri.

Uji pemahaman Anda tentang ancaman ini.

Log adalah bukti, dan penyerang menggunakan anti-forensik untuk menonaktifkan jejak, menghapus file, atau mengubah catatan. Lindungi integritas, ketersediaan, dan kerahasiaan; terapkan pemisahan tugas agar akun beban kerja tidak dapat menghapus lognya sendiri; dan buat alarm untuk peristiwa seperti StopLogging. Kerangka kerja kepatuhan mewajibkan log yang menunjukkan bukti manipulasi dan disimpan sesuai retensi, dan bagian selanjutnya dari kursus ini menunjukkan cara mencapainya.