CloudTrail Insights e integrità dei file di log

CloudTrail Insights è una funzionalità opzionale che utilizza il machine learning per rilevare automaticamente attività API insolite nel Suo account AWS. Stabilisce una baseline dei normali tassi di chiamata API e dei volumi degli eventi di gestione di scrittura per ogni API, quindi invia avvisi quando l'attività si discosta significativamente da tale baseline. Gli eventi Insights vengono consegnati nello stesso bucket S3 dei log dei trail e possono anche attivare regole EventBridge per una risposta automatizzata.

CloudTrail Insights viene abilitato per ogni trail. È possibile scegliere di rilevare anomalie nel tasso di chiamate API (un numero insolito di eventi di gestione di scrittura al secondo) oppure anomalie nel tasso di errore delle API (un numero insolito di errori di accesso negato o di limitazione della frequenza). Insights richiede un trail attivo con gli eventi di gestione abilitati. AWS addebita gli eventi Insights in aggiunta ai normali costi degli eventi dei trail. Insights impiega 24-36 ore per stabilire una baseline iniziale prima di poter iniziare a rilevare anomalie.

Un evento Insights comprende un evento di inizio e un evento di fine. L'evento di inizio viene generato quando inizia l'anomalia — ad esempio, in caso di un picco insolito di chiamate TerminateInstances — mentre l'evento di fine viene generato quando il tasso di chiamate API torna alla normalità. Ogni evento Insights include l'API interessata, il tasso della baseline normale, il tasso massimo osservato e la durata. Ciò consente di capire se l'anomalia era il risultato di un attacco prolungato o di un breve picco.

Anomalie comuni segnalate da CloudTrail Insights: una compromissione delle credenziali in cui un attaccante utilizza chiavi rubate per enumerare rapidamente tutti i bucket S3, uno script di distribuzione configurato erroneamente che esegue un ciclo e chiama migliaia di volte l'API EC2, una minaccia interna che elimina le risorse più rapidamente del normale oppure un attacco alla catena di approvvigionamento in cui una funzione Lambda inizia improvvisamente a effettuare chiamate STS insolite. Insights offre una finestra di rilevamento più rapida rispetto all'analisi manuale dei log di CloudTrail.

Gli eventi CloudTrail Insights vengono consegnati automaticamente ad Amazon EventBridge, consentendo una risposta automatizzata. È possibile creare una regola EventBridge che attivi una funzione Lambda quando viene rilevato un evento Insights — ad esempio per inviare un messaggio Slack, creare un ticket Jira o persino revocare automaticamente le chiavi di accesso dell'utente IAM se l'anomalia corrisponde a un modello di attacco noto. In questo modo si crea una pipeline di automazione della sicurezza in tempo reale basata sui risultati di Insights.

La convalida dell'integrità dei file di log garantisce che i file di log di CloudTrail non siano stati modificati, eliminati o falsificati dopo la consegna in S3. Quando è abilitata (tramite --enable-log-file-validation), CloudTrail crea ogni ora un file digest che contiene gli hash SHA-256 di tutti i file di log consegnati durante quell'ora, oltre all'hash del digest precedente. Il file digest viene firmato con la chiave privata di CloudTrail. È possibile convalidare i log utilizzando il comando validate-logs dell'AWS CLI.

Ogni ora CloudTrail consegna in S3 un file digest in un percorso separato da quello dei file di log (s3://bucket/CloudTrail-Digest/...). Il digest contiene l'hash SHA-256 di ogni file di log consegnato nell'ora precedente, l'URI S3 di ciascun file e un hash del digest precedente (creando una catena di hash). Se un attaccante modifica un file di log dopo la consegna, l'hash nel digest non corrisponderà più: la convalida avrà esito negativo e segnalerà quali file sono stati manomessi.

L'integrità dei file di log è utile solo se anche i file digest e gli stessi file di log sono protetti. Buone pratiche: abilitare S3 MFA Delete nel bucket CloudTrail, in modo che i file non possano essere eliminati senza MFA; applicare una policy del bucket che neghi l'eliminazione per impedire a qualsiasi principal di eliminare oggetti; abilitare S3 Object Lock (modalità Compliance) per una conservazione dei log immutabile; e utilizzare un trail dell'organizzazione, così gli account membri non possono disabilitare la registrazione. Insieme, questi controlli rendono quasi impossibile per un utente interno cancellare le prove di audit.

CloudTrail Insights e Amazon GuardDuty sono complementari, non duplicati. Insights si concentra sulle anomalie nel volume delle chiamate API — picchi improvvisi in specifiche chiamate API di gestione. GuardDuty analizza un insieme più ampio di origini dati, inclusi gli eventi CloudTrail, i VPC Flow Logs e i log DNS, per rilevare modelli di minaccia come credenziali compromesse, cryptomining, esfiltrazione di dati e indirizzi IP dannosi noti. Per una difesa in profondità, abiliti entrambi: Insights per le anomalie basate sul volume e GuardDuty per i rilevamenti basati sulle informazioni sulle minacce.

Nella console CloudTrail, la scheda Insights elenca tutte le anomalie rilevate con i relativi orari di inizio e fine, il nome dell'API e un grafico che confronta il tasso della baseline con il tasso osservato durante l'anomalia. Facendo clic su un evento Insights si accede direttamente agli eventi di gestione correlati nella cronologia degli eventi per lo stesso intervallo di tempo, consentendo di correlare «si è verificata un'anomalia» con «queste sono le chiamate API specifiche che l'hanno causata». Questa capacità di analisi dettagliata rende Insights concretamente utile.

La convalida dell'integrità dei file di log è richiesta da diversi framework di conformità: PCI-DSS richiede la dimostrazione che i log di audit non siano stati alterati; HIPAA impone controlli di audit a prova di manomissione per i dati sanitari; SOC 2 richiede controlli di integrità sui log di sicurezza. La combinazione di convalida dei file di log di CloudTrail, S3 Object Lock e trail dell'organizzazione soddisfa questi requisiti ed è comunemente citata nella documentazione sulla conformità AWS. Quando le domande d'esame menzionano la necessità di «dimostrare che i log non sono stati manomessi», la risposta è la convalida dell'integrità dei file di log.

Verifichi la Sua comprensione dei concetti di AWS Solutions Architect (SAA-C03) trattati in questa lezione.

In questa lezione ha appreso che CloudTrail Insights utilizza il machine learning per rilevare anomalie nel tasso di chiamate API e nel tasso di errore, con eventi di inizio e fine; la convalida dell'integrità dei file di log utilizza file digest SHA-256 in una catena di hash per rilevare qualsiasi manomissione o eliminazione dei file di log; e S3 Object Lock, combinato con le policy che negano l'eliminazione, protegge l'integrità del trail di audit. Prossimamente esamineremo le regole AWS Config e la correzione automatizzata.