CloudTrail Insights og integritet for loggfiler

CloudTrail Insights er en valgfri funksjon som bruker maskinlæring til automatisk å oppdage uvanlig API-aktivitet i AWS-kontoen Deres. Funksjonen etablerer en normal referanse for antall API-kall og mengden av skrivende administrasjonshendelser for hvert API, og varsler Dem når aktiviteten avviker betydelig fra denne referansen. Insights-hendelser leveres til samme S3-bøtte som trail-loggene og kan også utløse EventBridge-regler for automatisert respons.

CloudTrail Insights aktiveres per trail. De kan velge å oppdage avvik i API-kallfrekvens (uvanlig antall skrivende administrasjonshendelser per sekund) eller avvik i API-feilfrekvens (uvanlig antall feil for tilgang nektet eller struping). Insights krever en aktiv trail med aktiverte administrasjonshendelser. AWS tar betalt for Insights-hendelser i tillegg til vanlige kostnader for trail-hendelser. Insights bruker 24–36 timer på å etablere en innledende referanse før funksjonen kan begynne å oppdage avvik.

En Insights-hendelse har en start-hendelse og en slutt-hendelse. Start-hendelsen utløses når avviket begynner — for eksempel ved en uvanlig økning i kall til TerminateInstances — og slutt-hendelsen utløses når API-kallfrekvensen går tilbake til normalen. Hver Insights-hendelse inneholder det berørte API-et, den normale referansefrekvensen, den observerte toppfrekvensen og varigheten. Dette hjelper Dem med å forstå om et avvik var et langvarig angrep eller en kortvarig økning.

Vanlige avvik som CloudTrail Insights varsler om, er et kompromittert legitimasjonssett der en angriper bruker stjålne nøkler til å kartlegge alle S3-bøtter i høyt tempo, et feilkonfigurert distribusjonsskript som kjører i en løkke og kaller EC2-API-et tusenvis av ganger, en innsidetrussel der ressurser slettes raskere enn normalt, eller et forsyningskjedeangrep der en Lambda-funksjon plutselig foretar uvanlige STS-kall. Insights gir et raskere deteksjonsvindu enn manuell gjennomgang av CloudTrail-logger.

CloudTrail Insights-hendelser leveres automatisk til Amazon EventBridge, noe som muliggjør automatisert respons. De kan opprette en EventBridge-regel som utløser en Lambda-funksjon når en Insights-hendelse oppdages — for eksempel for å sende en Slack-melding, opprette en Jira-sak eller til og med automatisk tilbakekalle IAM-brukerens tilgangsnøkler hvis avviket samsvarer med et kjent angrepsmønster. Dette oppretter en sanntidsbasert sikkerhetsautomatiseringskjede rundt Insights-funn.

Validering av loggfilintegritet sikrer at CloudTrail-loggfiler ikke har blitt endret, slettet eller forfalsket etter levering til S3. Når funksjonen er aktivert (via --enable-log-file-validation), oppretter CloudTrail en digest-fil hver time. Den inneholder SHA-256-hashene for alle loggfiler som ble levert i løpet av den timen, samt hashen til den forrige digest-filen. Selve digest-filen signeres med CloudTrails private nøkkel. De kan validere logger ved hjelp av AWS CLI-kommandoen validate-logs.

Hver time leverer CloudTrail en digest-fil til S3 på en separat sti, adskilt fra loggfilene (s3://bucket/CloudTrail-Digest/...). Digest-filen inneholder SHA-256-hashen for hver loggfil som ble levert den siste timen, S3-URI-en til hver fil og en hash av den forrige digest-filen (noe som danner en hash-kjede). Hvis en angriper endrer en loggfil etter levering, vil hashen i digest-filen ikke lenger samsvare — valideringen mislykkes og rapporterer hvilke filer som er manipulert.

Loggfilintegritet er bare nyttig hvis selve digest-filene og loggfilene er beskyttet. Anbefalte fremgangsmåter er å aktivere S3 MFA Delete på CloudTrail-bøtten slik at filer ikke kan slettes uten MFA, bruke en bøttepolicy som nekter sletting for å hindre alle prinsipper i å slette objekter, aktivere S3 Object Lock (Compliance-modus) for uforanderlig loggoppbevaring, og bruke en organisasjonstrail slik at medlemskontoer ikke kan deaktivere logging. Til sammen gjør disse kontrollene det nesten umulig for en innsider å slette revisjonsbevis.

CloudTrail Insights og Amazon GuardDuty utfyller hverandre; de er ikke duplikater. Insights fokuserer på avvik i API-kallvolum — plutselige økninger i bestemte administrasjons-API-kall. GuardDuty analyserer et bredere sett med datakilder, blant annet CloudTrail-hendelser, VPC Flow Logs og DNS-logger, for å oppdage trusselmønstre som kompromitterte legitimasjonssett, kryptoutvinning, dataeksfiltrering og kjente ondsinnede IP-adresser. For dybdeforsvar bør De aktivere begge — Insights for volumbaserte avvik og GuardDuty for deteksjon basert på trusselinnsikt.

I CloudTrail-konsollen viser Insights-fanen alle oppdagede avvik, med start- og sluttidspunkt, API-navnet og en graf som sammenligner referansefrekvensen med den observerte frekvensen under avviket. Når De klikker på en Insights-hendelse, åpnes en direkte kobling til de relaterte administrasjonshendelsene i Event History for det samme tidsrommet. Dette hjelper Dem med å knytte «det oppstod et avvik» til «her er de spesifikke API-kallene som forårsaket det». Denne muligheten for detaljert videreføring gjør Insights handlingsrettet.

Validering av loggfilintegritet kreves av flere rammeverk for samsvar: PCI-DSS krever bevis på at revisjonslogger ikke er endret; HIPAA krever manipuleringssikre revisjonskontroller for helsedata; SOC 2 krever integritetskontroller for sikkerhetslogger. Kombinasjonen av validering av CloudTrail-loggfiler, S3 Object Lock og organisasjonstrails oppfyller disse kravene og omtales ofte i AWS-dokumentasjon om samsvar. Når eksamensoppgaver nevner «bevis at loggene ikke er manipulert», er validering av loggfilintegritet svaret.

I denne leksjonen har De lært at CloudTrail Insights bruker maskinlæring til å oppdage uvanlige avvik i API-kallfrekvens og feilfrekvens ved hjelp av start- og slutt-hendelser, at validering av loggfilintegritet bruker SHA-256-digest-filer i en hash-kjede for å oppdage manipulering eller sletting av loggfiler, og at S3 Object Lock kombinert med policyer som nekter sletting beskytter integriteten til revisjonssporet. Neste del handler om AWS Config-regler og automatisert utbedring.