Perché la manomissione dei log è una minaccia

I log di sicurezza sono le prove di ciò che è accaduto nel vostro ambiente. Sono alla base del rilevamento, dell'analisi e della conformità. Se un aggressore può modificarli o eliminarli, si perde la possibilità di sapere cosa è successo e l'audit trail diventa inutile. Proteggere l'integrità dei log significa quindi proteggere la verità stessa.

Gli attaccanti più sofisticati praticano l’antiforensics: cercano attivamente di cancellare le proprie tracce. Dopo aver ottenuto l’accesso, tentano di disabilitare la registrazione, eliminare i file di log o interrompere le tracce, così che le azioni successive non vengano registrate. Contrastare questi tentativi è una parte fondamentale della preparazione agli incidenti, perché un attaccante non rilevato è molto più pericoloso.

Una tecnica comune consiste nell’interrompere o eliminare una trail di CloudTrail con StopLogging o DeleteTrail. Quando la registrazione si interrompe, le azioni successive non lasciano alcuna traccia di audit. Rilevare e impedire queste chiamate, oppure fare in modo che vengano registrate altrove, è essenziale per mantenere affidabile la trail.

Anche con la registrazione attiva, un attaccante può tentare di eliminare i file di log dal bucket S3 in cui sono archiviati. Se il bucket non è protetto, la rimozione degli oggetti cancella la cronologia. Per questo motivo, proteggere il bucket di archiviazione dei log è importante quanto abilitare la registrazione.

Oltre a eliminarli, un attaccante potrebbe tentare di alterare il contenuto dei log per nascondere azioni specifiche o accusare qualcun altro. I log modificati sono probabilmente peggiori di quelli mancanti, perché sviano attivamente gli investigatori. Rilevare le manomissioni, non solo impedirne l’eliminazione, è quindi un obiettivo distinto e importante.

La protezione dei log si basa su tre concetti: integrità (dimostrare che i log non sono stati alterati), disponibilità (assicurarsi che non possano essere eliminati) e riservatezza (impedire la lettura non autorizzata). AWS offre funzionalità specifiche per ciascun aspetto. Una strategia completa li affronta tutti e tre, invece di concentrarsi su uno solo.

Un principio fondamentale è la separazione dei compiti: le persone e gli account che gestiscono i workload non dovrebbero controllare i log relativi a quei workload. Se un attaccante compromette un account utilizzato da un workload, non dovrebbe ottenere anche la possibilità di cancellare le prove. Da questo principio deriva la progettazione di account dedicati ai log.

I tentativi di manomissione sono segnali di grande valore. Un filtro metrico e un allarme sugli eventi CloudTrail come StopLogging, DeleteTrail o UpdateTrail avvisano immediatamente quando qualcuno interviene sulla configurazione della registrazione. Spesso il tentativo di nascondere le proprie azioni è il segnale più chiaro che è in corso un attacco.

Framework come PCI DSS e HIPAA richiedono esplicitamente di proteggere i log di audit dalle modifiche e di garantirne la conservazione. I log conservati e a prova di manomissione non sono solo una buona pratica, ma un requisito di conformità. Gli auditor cercheranno i controlli che dimostrano che i log sono affidabili e completi.

Le difese che studierà, ovvero la convalida dei file di log, i bucket protetti e immutabili e gli account di archiviazione centralizzati, contrastano ciascuna una specifica tecnica di manomissione. Comprendere prima la minaccia chiarisce perché esiste ogni controllo e come questi controlli si combinano in una difesa a più livelli, difficile da eludere per un attaccante.

L’integrità dei log è un tema ricorrente negli esami perché si trova all’intersezione tra rilevamento, analisi forense e governance. Si aspetti scenari in cui l’obiettivo è fare in modo che i log sopravvivano a una compromissione. Le risposte corrette si basano su immutabilità, convalida e isolamento, mai sull’affidamento a un unico account incaricato di controllare se stesso.

Verifichi la propria comprensione della minaccia.

I log sono prove e gli attaccanti usano l’antiforensics per disabilitare le tracce, eliminare i file o alterare i record. Protegga integrità, disponibilità e riservatezza, applichi la separazione dei compiti affinché gli account dei workload non possano cancellare i propri log e configuri un allarme per eventi come StopLogging. I framework di conformità richiedono log conservati e a prova di manomissione; il resto del corso mostra come ottenerli.