Sebab Pengusikan Log Merupakan Ancaman

Log keselamatan ialah bukti tentang perkara yang berlaku dalam persekitaran anda. Log ini menjadi asas kepada pengesanan, penyiasatan dan pematuhan. Jika penyerang boleh mengubah atau memadamkannya, anda kehilangan keupayaan untuk mengetahui perkara yang berlaku dan jejak audit anda menjadi tidak berguna. Oleh itu, melindungi integriti log bermakna melindungi kebenaran itu sendiri.

Penyerang canggih mengamalkan anti-forensik: mereka berusaha menutup jejak secara aktif. Selepas mendapat akses, mereka cuba melumpuhkan pengelogan, memadam fail log atau menghentikan jejak supaya tindakan mereka yang seterusnya tidak direkodkan. Mengatasi usaha ini ialah bahagian penting dalam kesiapsiagaan insiden kerana penyerang yang tidak dikesan jauh lebih berbahaya.

Satu tindakan yang biasa dilakukan ialah menghentikan atau memadam jejak CloudTrail menggunakan StopLogging atau DeleteTrail. Apabila pengelogan dihentikan, tindakan seterusnya tidak meninggalkan rekod audit. Mengesan dan mencegah panggilan ini, atau memastikan panggilan tersebut sendiri direkodkan di tempat lain, amat penting untuk mengekalkan kebolehpercayaan jejak.

Walaupun pengelogan dihidupkan, penyerang mungkin cuba memadam fail log dalam baldi S3 tempat fail tersebut disimpan. Jika baldi itu tidak dilindungi, pemadaman objek akan menghapuskan sejarah. Oleh itu, melindungi baldi storan log sama pentingnya dengan menghidupkan pengelogan pada mulanya.

Selain memadam, penyerang mungkin cuba mengubah kandungan log untuk menyembunyikan tindakan tertentu atau memerangkap orang lain. Log yang diubah suai boleh dikatakan lebih buruk daripada log yang hilang kerana log tersebut secara aktif mengelirukan penyiasat. Oleh itu, mengesan pengusikan, bukan sekadar mencegah pemadaman, ialah matlamat tersendiri yang penting.

Perlindungan log berasaskan tiga idea: integriti (membuktikan log tidak diubah), ketersediaan (memastikan log tidak boleh dipadam) dan kerahsiaan (mencegah pembacaan tanpa kebenaran). AWS menawarkan ciri khusus untuk setiap satunya. Strategi yang lengkap menangani ketiga-tiganya, bukan hanya satu.

Satu prinsip utama ialah pengasingan tugas: orang dan akaun yang mengendalikan beban kerja tidak sepatutnya mengawal log tentang beban kerja tersebut. Jika penyerang menjejaskan akaun beban kerja, mereka tidak sepatutnya mendapat kuasa untuk memadam bukti. Inilah asas kepada reka bentuk akaun log khusus.

Percubaan mengusik itu sendiri ialah isyarat bernilai tinggi. Penapis metrik dan penggera pada peristiwa CloudTrail seperti StopLogging, DeleteTrail atau UpdateTrail akan memberi amaran sebaik sahaja seseorang menyentuh konfigurasi pengelogan anda. Selalunya, percubaan untuk bersembunyi ialah tanda paling jelas bahawa serangan sedang berlaku.

Rangka kerja seperti PCI DSS dan HIPAA secara jelas menghendaki log audit dilindungi daripada pengubahsuaian dan disimpan mengikut tempoh yang ditetapkan. Log yang menunjukkan pengusikan dan disimpan dengan baik bukan sekadar amalan yang baik, tetapi juga mandat pematuhan. Juruaudit akan mencari kawalan yang membuktikan log anda boleh dipercayai dan lengkap.

Pertahanan yang akan anda pelajari—pengesahan fail log, baldi yang dikunci ketat dan tidak boleh diubah, serta akaun arkib berpusat—masing-masing menangkis teknik pengusikan tertentu. Memahami ancaman terlebih dahulu menjelaskan sebab setiap kawalan itu wujud dan cara semuanya bergabung menjadi pertahanan berlapis yang sukar ditewaskan oleh penyerang.

Integriti log ialah tema peperiksaan yang sering muncul kerana ia berada di persimpangan pengesanan, forensik dan tadbir urus. Jangkakan senario yang matlamatnya ialah memastikan log kekal tersedia selepas berlakunya pencerobohan. Jawapan yang betul berpusat pada ketidakbolehubahan, pengesahan dan pengasingan, bukannya mempercayai satu akaun untuk mengawasi dirinya sendiri.

Log ialah bukti, dan penyerang menggunakan anti-forensik untuk melumpuhkan jejak, memadam fail atau mengubah rekod. Lindungi integriti, ketersediaan dan kerahsiaan, kuatkuasakan pengasingan tugas supaya akaun beban kerja tidak dapat memadam log mereka sendiri, dan tetapkan penggera untuk peristiwa seperti StopLogging. Rangka kerja pematuhan mewajibkan log yang menunjukkan pengusikan dan disimpan mengikut tempoh, dan bahagian seterusnya kursus ini menunjukkan cara mencapainya.