Logopslag-buckets beveiligen

CloudTrail, Config en Flow Logs slaan gegevens uiteindelijk op in S3-buckets. Die bucket is het kroonjuweel van je auditspoor en verdient daarom de sterkste beveiliging. Als de bucket veilig is, kan een aanvaller die een workload overneemt nog steeds niet bij het bewijsmateriaal van zijn eigen acties.

De eerste maatregel is S3 Block Public Access, die ervoor zorgt dat de logbucket nooit aan het internet wordt blootgesteld. Een openbaar leesbare logbucket lekt gevoelige operationele details naar iedereen. Door Block Public Access op account- en bucketniveau in te schakelen, sluit je dit risico doeltreffend uit.

Een strikt bucketbeleid moet alleen de loggingservice toestaan om te schrijven en alleen specifieke beveiligingsrollen toestaan om te lezen, terwijl alle anderen worden geweigerd. Je kunt s3:DeleteObject ook voor alle principals weigeren, zodat logbestanden niet via normale API-aanroepen kunnen worden verwijderd. Dit vormt een sterke basisbescherming tegen eenvoudige manipulatie.

S3 Object Lock dwingt write-once-read-many (WORM)-opslag af, waardoor objecten gedurende een bepaalde periode echt onveranderlijk zijn. Zelfs een accountbeheerder kan een vergrendeld object niet verwijderen of overschrijven voordat de bewaartermijn is verstreken. Dit is de sterkste verdediging tegen een aanvaller of insider die logbestanden wil verwijderen.

Object Lock heeft twee modi. In de Governance mode kunnen gebruikers met speciale rechten de vergrendeling omzeilen. In de Compliance mode kan niemand, zelfs de rootgebruiker niet, de gegevens verwijderen of de bewaartermijn verkorten voordat deze is verstreken. Voor gereguleerde auditlogbestanden biedt Compliance mode de sterkste garantie.

Object Lock vereist versioning, waarbij elke versie van een object wordt bewaard. Alleen versioning helpt ook: als een aanvaller een object overschrijft, blijft de vorige versie bestaan. In combinatie met een weigering voor DeleteObjectVersion maakt versioning het veel moeilijker om de geschiedenis te vernietigen dan door alleen het huidige object te verwijderen.

MFA Delete vereist meervoudige verificatie om objectversies permanent te verwijderen of de status van versioning te wijzigen. Hiermee voeg je een door een persoon en hardware beveiligde drempel toe vóór destructieve acties op de logbucket. Zelfs met gestolen inloggegevens kan een aanvaller versies dus niet stilletjes wissen zonder het MFA-apparaat.

Versleutel loggegevens in rust met KMS, bij voorkeur met een door jou beheerde sleutel waarvan het beleid beperkt wie gegevens mag ontsleutelen. Dit beschermt de vertrouwelijkheid, omdat logbestanden vaak gevoelige details zoals gebruikersnamen en IP-adressen bevatten. KMS maakt ook een auditregistratie van elke ontsleuteling, waardoor je beter kunt zien wie de logbestanden leest.

Schakel S3 server access logging in of gebruik CloudTrail-data-gebeurtenissen voor de logbucket, zodat je kunt zien wie toegang heeft gehad. Stel een alarm in voor onverwachte leesacties of elke verwijderingspoging. Door de logbucket zelf te monitoren, zorg je ervoor dat een aanval op je bewijsmateriaal ironisch genoeg ook wordt vastgelegd.

Geen enkele instelling is voldoende. Block Public Access, een bucketbeleid dat verwijdering weigert, Object Lock in Compliance mode, versioning, MFA Delete en KMS-versleuteling maken de bucket samen bestand tegen verwijdering, wijziging en openbaarmaking. Het doel is defense in depth: elke laag dekt tekortkomingen van een andere laag af.

Een goed beveiligde logbucket is onveranderlijk, afgeschermd, versleuteld en gemonitord. In combinatie met CloudTrail log file validation voor het detecteren van manipulatie zorgt dit ervoor dat je bewijsmateriaal zowel behouden blijft als aantoonbaar intact is. Deze beveiliging op bucketniveau is precies wat scenario's op het examen over logbescherming verwachten.

Hard buckets met gelaagde maatregelen: Block Public Access, een bucketbeleid dat verwijderen weigert, S3 Object Lock (Compliance-modus kan niet worden omzeild, Governance-modus wel), versiebeheer, MFA Delete en KMS-versleuteling voor vertrouwelijkheid. Bewaak toegang met S3-toegangsregistratie of gegevensgebeurtenissen van CloudTrail. Samen maken deze maatregelen logboeken onveranderlijk, privé en bewaakt.