Verificare e registrare le sessioni amministrative

Concedere l'accesso amministrativo è solo metà del lavoro; è necessario anche registrare ciò che fanno gli amministratori. Session Manager offre registri dettagliati, così ogni comando e sessione è associato a un responsabile. L'esame SCS-C02 sottolinea questa verificabilità come vantaggio fondamentale rispetto a SSH, dove è difficile centralizzare la registrazione a livello di comando.

La registrazione di Session Manager ha due livelli: la registrazione a livello API di chi ha avviato e arrestato le sessioni, acquisita da CloudTrail, e la registrazione del contenuto della sessione, che include i tasti effettivamente premuti e l'output, inviata a CloudWatch Logs o S3. Insieme, rispondono sia alla domanda "chi si è connesso" sia a "che cosa ha fatto".

CloudTrail registra le chiamate API StartSession e TerminateSession, mostrando quale identità IAM si è connessa a quale istanza e quando. Poiché si tratta di eventi di gestione, vengono visualizzati automaticamente nel trail, fornendo un registro affidabile e a prova di manomissione degli accessi amministrativi per le attività di analisi.

Per acquisire i comandi e l'output all'interno di una sessione, abiliti la registrazione delle sessioni nelle preferenze di Session Manager, indirizzandola a un bucket S3 o a un gruppo di log CloudWatch Logs. In questo modo ogni pressione di tasto dell'operatore e ogni risultato restituito vengono memorizzati: è la cosa più simile a una registrazione video della sessione.

I log delle sessioni sono prove e devono quindi essere resistenti alle manomissioni. Li memorizzi in un bucket S3 dedicato e con accesso strettamente limitato, idealmente in un account di logging separato, applicando crittografia e policy restrittive. In questo modo garantisce che un amministratore, anche se malintenzionato, non possa eliminare il registro della propria sessione.

Può richiedere la crittografia KMS sia per i dati della sessione in tempo reale sia per i log memorizzati. Applicare la crittografia significa proteggere il contenuto della sessione a riposo e in transito, soddisfacendo i requisiti di conformità e garantendo che comandi o output sensibili non vengano mai esposti in testo non crittografato.

Oltre alle sessioni interattive, SSM Run Command esegue comandi contemporaneamente su molte istanze ed è anch'esso completamente sottoposto ad audit. Ogni esecuzione viene registrata con l'identità di chi l'ha avviata, le destinazioni interessate e l'output, così anche le azioni amministrative sull'intero parco di istanze garantiscono lo stesso livello di responsabilità di una singola sessione.

Può collegare gli eventi delle sessioni a EventBridge e SNS per ricevere alert in tempo reale quando una sessione viene avviata, soprattutto sulle istanze sensibili. Una notifica nel momento in cui qualcuno si connette a un server di database di produzione consente al team di sicurezza di monitorare gli accessi privilegiati mentre avvengono, non a posteriori.

Un audit completo delle sessioni supporta la risposta agli incidenti, la conformità e la deterrenza. Sapere che ogni azione viene registrata scoraggia gli abusi e, quando si verifica un incidente, consente agli investigatori di ricostruire esattamente ciò che ha fatto un operatore. Questa responsabilità end-to-end è un motivo decisivo per cui l'esame privilegia Session Manager rispetto a SSH basato su chiavi.

Può rendere le sessioni ancora più restrittive utilizzando documenti SSM che limitano una sessione ad azioni specifiche e disabilitando le shell interattive per determinati ruoli. Insieme alla registrazione, ciò significa che anche un operatore autorizzato è vincolato alle attività approvate, riducendo ciò che potrebbe fare un account compromesso, mentre ogni azione continua a essere registrata.

L'audit di Session Manager combina CloudTrail per gli eventi API StartSession/TerminateSession con la registrazione del contenuto delle sessioni in S3 o CloudWatch Logs, con crittografia KMS opzionale. Protegga i log in un account separato con accesso strettamente limitato, sottoponga ad audit Run Command nello stesso modo e utilizzi EventBridge/SNS per gli alert in tempo reale sugli accessi privilegiati.

L'audit di Session Manager ha due livelli: CloudTrail registra gli eventi API StartSession/TerminateSession, mentre la registrazione del contenuto delle sessioni invia pressioni di tasto e output a S3 o CloudWatch Logs, con crittografia KMS opzionale. Protegga i log in un account separato con accesso strettamente limitato, sottoponga ad audit anche Run Command e configuri gli alert in tempo reale tramite EventBridge/SNS.