Hvorfor manipulering av logger er en trussel

Sikkerhetslogger er bevisene på hva som har skjedd i miljøet ditt. De danner grunnlaget for deteksjon, undersøkelser og samsvar. Hvis en angriper kan endre eller slette dem, mister du muligheten til å vite hva som skjedde, og revisjonssporet blir verdiløst. Å beskytte loggintegriteten betyr derfor å beskytte selve sannheten.

Sofistikerte angripere benytter anti-forensics: de forsøker aktivt å skjule sporene sine. Etter at de har fått tilgang, prøver de å deaktivere logging, slette loggfiler eller stanse sporingen slik at senere handlinger ikke blir registrert. Å motvirke disse forsøkene er en sentral del av beredskapen for sikkerhetshendelser, fordi en angriper som ikke blir oppdaget, er langt farligere.

Et vanlig trekk er å stoppe eller slette et CloudTrail-spor med StopLogging eller DeleteTrail. Når loggingen stopper, etterlater påfølgende handlinger ingen revisjonspost. Det er avgjørende å oppdage og forhindre disse kallene, eller sørge for at de selv logges et annet sted, for å holde sporet pålitelig.

Selv når loggingen er aktivert, kan en angriper forsøke å slette loggfilene i S3-bøtten der de lagres. Hvis bøtten ikke er beskyttet, utsletter fjerning av objekter historikken. Derfor er det like viktig å sikre bøtten for logglagring som å aktivere logging i utgangspunktet.

I tillegg til sletting kan en angriper forsøke å endre logginnholdet for å skjule bestemte handlinger eller legge skylden på noen andre. Endrede logger er ofte verre enn manglende logger, fordi de aktivt villeder etterforskere. Å oppdage manipulering, ikke bare forhindre sletting, er derfor et eget og viktig mål.

Beskyttelse av logger bygger på tre ideer: integritet (å bevise at logger ikke er endret), tilgjengelighet (å sikre at de ikke kan slettes) og konfidensialitet (å hindre uautorisert lesing). AWS tilbyr spesifikke funksjoner for hver av dem. En komplett strategi tar for seg alle tre i stedet for å fokusere på bare én.

Et viktig prinsipp er arbeidsdeling: personene og kontoene som drifter arbeidsbelastninger, bør ikke kontrollere loggene for disse arbeidsbelastningene. Hvis en angriper kompromitterer en arbeidsbelastningskonto, skal angriperen dermed ikke få mulighet til å slette bevisene. Dette er bakgrunnen for utformingen av dedikerte loggkontoer.

Forsøk på manipulering er i seg selv signaler med høy verdi. Et metrikksfilter og et alarmoppsett for CloudTrail-hendelser som StopLogging, DeleteTrail eller UpdateTrail varsler Dem i samme øyeblikk som noen endrer loggingskonfigurasjonen. Forsøket på å skjule sporene er ofte det tydeligste tegnet på at et angrep pågår.

Rammeverk som PCI DSS og HIPAA krever uttrykkelig at revisjonslogger beskyttes mot endringer, og at de oppbevares. Manipuleringssikre logger som beholdes, er ikke bare god praksis, men et krav for etterlevelse. Revisorer vil se etter kontrollene som beviser at loggene er pålitelige og komplette.

Forsvarsmekanismene De skal lære om – validering av loggfiler, nedlåste og uforanderlige bøtter samt sentraliserte arkivkontoer – motvirker hver sin konkrete manipulasjonsteknikk. Når De først forstår trusselen, blir det tydelig hvorfor hver kontroll finnes, og hvordan de sammen danner et lagdelt forsvar som en angriper ikke enkelt kan beseire.

Loggintegritet er et tilbakevendende eksamenstema fordi det ligger i skjæringspunktet mellom deteksjon, etterforskning og styring. Forvent scenarier der målet er å sikre at logger overlever en kompromittering. De riktige svarene dreier seg om uforanderlighet, validering og isolasjon – aldri om å stole på at én enkelt konto skal kontrollere seg selv.

Logger er bevis, og angripere bruker anti-forensics til å deaktivere spor, slette filer eller endre poster. Beskytt integritet, tilgjengelighet og konfidensialitet, håndhev arbeidsdeling slik at arbeidsbelastningskontoer ikke kan slette sine egne logger, og sett opp alarmer for hendelser som StopLogging. Rammeverk for etterlevelse krever manipuleringssikre logger som oppbevares, og resten av dette kurset viser hvordan dette oppnås.