Mengunci Baldi Storan Log

CloudTrail, Config dan Flow Logs akhirnya menyimpan data dalam baldi S3. Baldi itu ialah permata mahkota jejak audit anda dan wajar menerima perlindungan paling kukuh. Jika baldi tersebut selamat, penyerang yang menjejaskan beban kerja masih tidak dapat mencapai bukti tentang tindakan mereka.

Kawalan pertama ialah S3 Block Public Access, yang memastikan baldi log tidak pernah terdedah kepada internet. Baldi log yang boleh dibaca secara awam membocorkan butiran operasi sensitif kepada sesiapa sahaja. Menghidupkan Block Public Access pada peringkat akaun dan baldi menutup risiko ini dengan tegas.

Dasar baldi yang ketat sepatutnya hanya membenarkan perkhidmatan pengelogan menulis dan hanya peranan keselamatan tertentu membaca, sambil menolak semua pihak lain. Anda juga boleh menolak s3:DeleteObject untuk semua prinsipal supaya log tidak dapat dibuang melalui panggilan API biasa, sebagai garis dasar yang kukuh terhadap pengusikan secara sambil lewa.

S3 Object Lock menguatkuasakan storan write-once-read-many (WORM), menjadikan objek benar-benar tidak boleh diubah untuk tempoh tertentu. Malah pentadbir akaun tidak dapat memadam atau menulis ganti objek yang dikunci sebelum tempoh pengekalan tamat. Ini ialah pertahanan terkuat terhadap penyerang atau orang dalam yang cuba memadam log.

Object Lock mempunyai dua mod. Dalam mod tadbir urus, pengguna dengan kebenaran khas boleh mengatasi kunci tersebut. Dalam mod pematuhan, tiada sesiapa, termasuk pengguna root, boleh memadam atau memendekkan tempoh pengekalan sehingga tempoh itu tamat. Untuk log audit yang dikawal selia, mod pematuhan memberikan jaminan paling kukuh.

Object Lock memerlukan pengversian, yang mengekalkan setiap versi objek. Pengversian sahaja juga membantu: jika penyerang menulis ganti objek, versi sebelumnya masih kekal. Apabila digabungkan dengan penolakan terhadap DeleteObjectVersion, pengversian menjadikan pemusnahan sejarah jauh lebih sukar berbanding memadam satu objek semasa.

MFA Delete memerlukan pengesahan berbilang faktor untuk memadam versi objek secara kekal atau mengubah keadaan pengversian. Ia menambah penghalang berasaskan manusia dan perkakasan sebelum tindakan pemusnah pada baldi log, supaya kelayakan yang terjejas sekalipun tidak dapat memadam versi secara senyap tanpa peranti MFA.

Sulitkan data log ketika tidak digunakan dengan KMS, sebaik-baiknya menggunakan kunci terurus pelanggan yang polisinya mengehadkan pihak yang boleh menyahsulit. Ini melindungi kerahsiaan kerana log sering mengandungi butiran sensitif seperti nama pengguna dan alamat IP. KMS turut menghasilkan rekod audit bagi setiap penyahsulitan, sekali gus memberikan keterlihatan tentang pihak yang membaca log.

Hidupkan pengelogan akses pelayan S3 atau gunakan peristiwa data CloudTrail pada baldi log supaya anda dapat melihat pihak yang mengaksesnya. Tetapkan penggera untuk bacaan yang tidak dijangka atau sebarang percubaan memadam. Memantau baldi log itu sendiri memastikan serangan terhadap bukti anda, secara ironinya, turut direkodkan.

Tiada satu tetapan pun yang mencukupi. Block Public Access, dasar baldi yang menolak pemadaman, Object Lock dalam mod pematuhan, pengversian, MFA Delete dan penyulitan KMS bersama-sama menjadikan baldi tahan terhadap pemadaman, pengubahsuaian dan pendedahan. Matlamatnya ialah pertahanan berlapis: setiap lapisan menampung kelemahan lapisan yang lain.

Baldi log yang dikunci dengan betul tidak boleh diubah, bersifat peribadi, disulitkan dan dipantau. Apabila digabungkan dengan pengesahan fail log CloudTrail untuk mengesan pengusikan, ia memastikan bukti anda bukan sahaja kekal, tetapi juga boleh dibuktikan masih utuh. Pengerasan pada peringkat baldi inilah yang dikehendaki oleh senario peperiksaan tentang perlindungan log.

Perkukuh baldi log dengan kawalan berlapis: Sekat Akses Awam, polisi baldi penolakan pemadaman, Kunci Objek S3 (mod Pematuhan tidak boleh dilanggar, manakala Tadbir Urus boleh ditindih), pemberian versi, pemadaman MFA dan penyulitan KMS untuk kerahsiaan. Pantau akses dengan pengelogan akses S3 atau peristiwa data CloudTrail. Secara bersama, semua kawalan ini menjadikan log tidak boleh diubah, peribadi dan dipantau.