Mettere in sicurezza i bucket di archiviazione dei log

CloudTrail, Config e Flow Logs archiviano infine i dati nei bucket S3. Il bucket è il gioiello della corona della trail di audit e merita quindi le protezioni più solide. Se il bucket è sicuro, un attaccante che compromette un workload non può comunque raggiungere le prove delle proprie azioni.

Il primo controllo è S3 Block Public Access, che garantisce che il bucket dei log non sia mai esposto a Internet. Un bucket di log leggibile pubblicamente divulga dettagli operativi sensibili a chiunque. Abilitare Block Public Access a livello di account e di bucket elimina definitivamente questo rischio.

Una bucket policy restrittiva dovrebbe consentire la scrittura solo al servizio di logging e la lettura solo a specifici ruoli di sicurezza, negandola a tutti gli altri. È inoltre possibile negare s3:DeleteObject a tutti i principal, impedendo la rimozione dei log tramite le normali chiamate API: una solida protezione di base contro le manomissioni opportunistiche.

S3 Object Lock impone l’archiviazione write-once-read-many (WORM), rendendo gli oggetti realmente immutabili per un periodo stabilito. Anche l’amministratore di un account non può eliminare o sovrascrivere un oggetto bloccato prima della scadenza della conservazione. È la difesa più forte contro un attaccante o un dipendente interno che tenti di eliminare i log.

Object Lock dispone di due modalità. In Governance mode, gli utenti con autorizzazioni speciali possono ignorare il blocco. In Compliance mode, nessuno, nemmeno l’utente root, può eliminare gli oggetti o ridurre il periodo di conservazione prima della scadenza. Per i log di audit soggetti a normative, Compliance mode offre la garanzia più forte.

Object Lock richiede il controllo delle versioni, che conserva ogni versione di un oggetto. Anche il solo controllo delle versioni è utile: se un attaccante sovrascrive un oggetto, la versione precedente rimane disponibile. Abbinato a un diniego di DeleteObjectVersion, il controllo delle versioni rende molto più difficile distruggere la cronologia rispetto all’eliminazione del solo oggetto corrente.

MFA Delete richiede l’autenticazione a più fattori per eliminare definitivamente le versioni degli oggetti o modificare lo stato del controllo delle versioni. Aggiunge un passaggio umano, protetto da hardware, prima delle azioni distruttive sul bucket dei log; così, anche con una credenziale compromessa, non è possibile eliminare silenziosamente le versioni senza il dispositivo MFA.

Crittografi i dati dei log inattivi con KMS, preferibilmente utilizzando una chiave gestita dal cliente, la cui policy limiti i soggetti autorizzati alla decrittografia. Questo protegge la riservatezza, poiché i log contengono spesso dettagli sensibili come nomi utente e indirizzi IP. KMS produce inoltre un record di audit per ogni operazione di decrittografia, aumentando la visibilità su chi legge i log.

Abiliti S3 server access logging oppure utilizzi gli eventi dati di CloudTrail sul bucket dei log, così da sapere chi vi ha effettuato l’accesso. Configuri un allarme per le letture impreviste o per qualsiasi tentativo di eliminazione. Monitorare direttamente il bucket dei log garantisce che un attacco alle prove venga, ironicamente, anch’esso registrato.

Nessuna singola impostazione è sufficiente. Block Public Access, una bucket policy con diniego delle eliminazioni, Object Lock in Compliance mode, il controllo delle versioni, MFA Delete e la crittografia KMS rendono insieme il bucket resistente a eliminazione, modifica ed esposizione. L’obiettivo è la difesa in profondità: ogni livello copre le lacune degli altri.

Un bucket di log adeguatamente protetto è immutabile, privato, crittografato e monitorato. In combinazione con la convalida dei file di log di CloudTrail per rilevare le manomissioni, garantisce che le prove sopravvivano e rimangano dimostrabilmente integre. Questo rafforzamento a livello di bucket è esattamente ciò che gli scenari d’esame sulla protezione dei log richiedono.

Verifichi le Sue conoscenze sulla messa in sicurezza dei bucket.

Metta in sicurezza i bucket dei log con controlli stratificati: Block Public Access, una bucket policy che neghi l'eliminazione, S3 Object Lock (la modalità Compliance è irrevocabile, mentre Governance può essere modificata), versioning, MFA Delete e KMS encryption per la riservatezza. Monitori gli accessi con S3 access logging o con gli eventi dati di CloudTrail. Insieme, questi controlli rendono i log immutabili, privati e monitorati.