CloudTrail 로그 파일 검증

CloudTrail 로그 파일 검증을 사용하면 CloudTrail이 S3에 전달한 로그 파일이 이후 수정, 삭제 또는 위조되지 않았음을 입증할 수 있습니다. 이 기능은 "로그가 온전하기를 바란다"는 상태를 "로그가 온전함을 암호학적으로 입증할 수 있다"는 상태로 바꾸어 줍니다. 모든 트레일에서 한 번의 클릭으로 활성화해야 할 모범 사례입니다.

활성화하면 CloudTrail은 매시간 해당 시간 동안 전달된 로그 파일을 참조하고 각 파일의 해시를 포함하는 다이제스트 파일을 생성합니다. 다이제스트 파일 자체에도 서명이 적용됩니다. 이들이 함께 연결된 구조를 이루므로 각 로그 파일이 변경되지 않았는지, 누락된 파일은 없는지 모두 확인할 수 있습니다.

각 로그 파일은 SHA-256으로 해시되고, 다이제스트 파일은 SHA-256 with RSA를 사용해 서명됩니다. 로그 파일이 조금만 변경되어도 해시가 바뀌고 다이제스트에는 암호학적 서명이 적용되므로 공격자가 로그를 변조하면 수학적 검증이 깨집니다. 이것이 로그를 변조가 드러나는 상태로 만드는 원리입니다.

각 다이제스트 파일은 이전 다이제스트 파일도 참조하여 시간이 지날수록 연결된 순서를 형성합니다. 이 연결 구조를 통해 로그 파일의 변경뿐 아니라 누락되거나 삭제된 다이제스트도 탐지할 수 있습니다. 중간이 비면 체인이 끊기기 때문입니다. 시간의 흐름에 따른 완전성을 입증하는 것은 바로 이 연속적인 체인입니다.

validate-logs CLI 명령으로 무결성을 검증할 수 있습니다. 이 명령은 지정한 시간 범위에 대해 다이제스트 서명과 참조된 로그 파일의 해시를 확인합니다. 수정되거나 삭제된 파일 또는 누락된 다이제스트가 있으면 보고합니다. 따라서 필요할 때 조사관이 신뢰할 수 있는 무결성 검사를 수행할 수 있습니다.

중요한 점은 검증이 탐지적 제어이지 예방적 제어가 아니라는 것입니다. 검증은 누군가 로그 파일을 삭제하는 것을 막지는 않지만, 삭제했음을 입증할 수 있게 합니다. 삭제를 방지하려면 검증을 Object Lock과 같은 버킷 보호 기능과 함께 사용해야 합니다. 검증은 사실을 알려 주고, 다른 제어 항목이 이를 강제합니다.

다이제스트 파일은 로그와 동일한 S3 버킷에 저장되므로 똑같이 세심하게 보호해야 합니다. 공격자가 다이제스트를 마음대로 다시 생성하거나 삭제할 수 있다면 증거의 신뢰성이 훼손됩니다. 엄격하게 제한되고 가능하면 변경할 수 없는 버킷에 다이제스트를 저장하면 처음부터 끝까지 무결성 보장이 유지됩니다.

검증은 로그 보호에서 무결성을 담당하는 요소입니다. 가용성을 위한 변경 불가 저장소 및 기밀성을 위한 암호화와 함께 작동합니다. 시험에서 전달된 후 로그가 변조되지 않았음을 입증하는 방법을 묻는다면 정확한 답은 CloudTrail 로그 파일 검증입니다.

트레일을 생성하거나 업데이트할 때 설정 하나로 검증을 켤 수 있습니다. 검증 기능 자체에는 다이제스트 파일의 일반적인 S3 저장 비용 외에 추가 요금이 없습니다. 효과는 크고 비용은 거의 들지 않으므로 예외 없이 모든 트레일에서 활성화해야 합니다.

사고가 발생했을 때만이 아니라 정기적으로 검증을 실행하여 변조를 신속하게 알아차릴 수 있도록 하십시오. 일부 팀은 일정에 따라 validate-logs를 자동 실행하고 실패가 발생하면 경보를 보냅니다. 정기적인 검증을 통해 이 기능은 사후 포렌식 절차가 아니라 감사 트레일을 적극적으로 감시하는 무결성 모니터가 됩니다.

감사 중에 로그 파일 검증은 감사 트레일이 완전하고 변경되지 않았음을 보여 주는 암호학적 증거를 제공하여 PCI DSS 및 SOC 2와 같은 프레임워크의 요구 사항을 충족합니다. validate-logs를 실행하여 이상 없는 결과를 보여 줄 수 있다면, 모니터링 데이터가 사건 기록으로 신뢰할 수 있음을 입증하는 구체적인 증거가 됩니다.

검증에 대해 얼마나 알고 있는지 확인해 보십시오.

CloudTrail 로그 파일 검증은 로그가 전달된 후 변조되지 않았음을 입증합니다. 매시간 생성되는 다이제스트 파일에는 로그의 SHA-256 해시가 저장되고 서명이 적용되며, 누락된 파일을 탐지할 수 있도록 이전 다이제스트와 연결됩니다. validate-logs로 검증하십시오. 이 기능은 탐지적 제어이므로 삭제를 방지하려면 변경 불가 저장소와 함께 사용해야 합니다. 모든 트레일에서 활성화하고 정기적으로 검증하십시오.