CloudTrail Insights en integriteit van logbestanden

CloudTrail Insights is een optionele functie die machine learning gebruikt om automatisch ongebruikelijke API-activiteit in je AWS-account te detecteren. De functie stelt een basislijn vast van normale aantallen API-aanroepen en volumes van schrijvende beheergebeurtenissen voor elke API en waarschuwt je wanneer de activiteit aanzienlijk van die basislijn afwijkt. Insights-gebeurtenissen worden in dezelfde S3-bucket als je trail-logboeken afgeleverd en kunnen ook EventBridge-regels activeren voor geautomatiseerde reacties.

CloudTrail Insights wordt per trail ingeschakeld. Je kunt kiezen voor het detecteren van anomalieën in het aantal API-aanroepen (een ongebruikelijk aantal schrijvende beheergebeurtenissen per seconde) of anomalieën in het API-foutpercentage (een ongebruikelijk aantal fouten door geweigerde toegang of throttling). Voor Insights is een actieve trail met ingeschakelde beheergebeurtenissen vereist. AWS brengt voor Insights-gebeurtenissen kosten in rekening boven op de normale kosten voor trail-gebeurtenissen. Insights heeft 24–36 uur nodig om een eerste basislijn vast te stellen voordat anomalieën kunnen worden gedetecteerd.

Een Insights-gebeurtenis heeft een startgebeurtenis en een eindgebeurtenis. De startgebeurtenis wordt geactiveerd wanneer de anomalie begint — bijvoorbeeld bij een ongebruikelijke piek in TerminateInstances-aanroepen — en de eindgebeurtenis wordt geactiveerd wanneer het aantal API-aanroepen weer normaal wordt. Elke Insights-gebeurtenis bevat de betreffende API, de normale basislijnsnelheid, de waargenomen pieksnelheid en de duur. Zo kun je bepalen of een anomalie het gevolg was van een aanhoudende aanval of van een korte uitbarsting.

Veelvoorkomende anomalieën die CloudTrail Insights markeert zijn: een compromittering van inloggegevens waarbij een aanvaller gestolen sleutels gebruikt om alle S3-buckets met hoge snelheid op te vragen, een verkeerd geconfigureerd implementatiescript dat in een lus duizenden keren de EC2-API aanroept, een dreiging van binnenuit waarbij resources sneller dan normaal worden verwijderd, of een aanval op de toeleveringsketen waarbij een Lambda-functie plotseling ongebruikelijke STS-aanroepen doet. Insights biedt een sneller detectievenster dan het handmatig controleren van CloudTrail-logboeken.

CloudTrail Insights-gebeurtenissen worden automatisch afgeleverd bij Amazon EventBridge, waardoor geautomatiseerde reacties mogelijk worden. Je kunt een EventBridge-regel maken die een Lambda-functie activeert wanneer een Insights-gebeurtenis wordt gedetecteerd — bijvoorbeeld om een Slack-bericht te versturen, een Jira-ticket aan te maken of zelfs automatisch de toegangssleutels van de IAM-gebruiker in te trekken als de anomalie overeenkomt met een bekend aanvalspatroon. Zo ontstaat er rond de bevindingen van Insights een realtime-beveiligingsautomatiseringspijplijn.

Integriteitsvalidatie van logbestanden zorgt ervoor dat CloudTrail-logbestanden na aflevering aan S3 niet zijn gewijzigd, verwijderd of vervalst. Wanneer deze functie is ingeschakeld (via --enable-log-file-validation), maakt CloudTrail elk uur een samenvattingsbestand met de SHA-256-hashes van alle logbestanden die in dat uur zijn afgeleverd, plus de hash van het vorige samenvattingsbestand. Het samenvattingsbestand zelf wordt ondertekend met de privésleutel van CloudTrail. Je kunt logboeken valideren met de AWS CLI-opdracht validate-logs.

Elk uur levert CloudTrail een samenvattingsbestand af in S3 op een pad dat losstaat van de logbestanden (s3://bucket/CloudTrail-Digest/...). Het samenvattingsbestand bevat de SHA-256-hash van elk logbestand dat het afgelopen uur is afgeleverd, de S3-URI van elk bestand en een hash van het vorige samenvattingsbestand, waardoor een hashketen ontstaat. Als een aanvaller een logbestand na aflevering wijzigt, komt de hash in het samenvattingsbestand niet meer overeen — de validatie mislukt en meldt welke bestanden zijn gemanipuleerd.

De integriteit van logbestanden is alleen nuttig als de samenvattingsbestanden en de logbestanden zelf worden beschermd. Aanbevolen procedures: schakel S3 MFA Delete in voor de CloudTrail-bucket, zodat bestanden niet zonder MFA kunnen worden verwijderd; pas een bucketbeleid voor verwijderen weigeren toe om te voorkomen dat principals objecten verwijderen; schakel S3 Object Lock in (modus Compliance) voor onveranderlijke bewaring van logboeken; en gebruik een organisatietrail, zodat ledenaccounts het loggen niet kunnen uitschakelen. Samen maken deze maatregelen het vrijwel onmogelijk voor iemand van binnen de organisatie om auditbewijsmateriaal te wissen.

CloudTrail Insights en Amazon GuardDuty vullen elkaar aan; ze zijn geen duplicaten. Insights richt zich op anomalieën in het volume van API-aanroepen — plotselinge pieken in specifieke beheer-API-aanroepen. GuardDuty analyseert een breder scala aan gegevensbronnen, waaronder CloudTrail-gebeurtenissen, VPC Flow Logs en DNS-logboeken, om dreigingspatronen te detecteren, zoals gecompromitteerde inloggegevens, cryptomining, gegevensexfiltratie en bekende schadelijke IP-adressen. Schakel voor defense-in-depth beide in: Insights voor anomalieën op basis van volume en GuardDuty voor detecties op basis van dreigingsinformatie.

Op het tabblad Insights in de CloudTrail-console staan alle gedetecteerde anomalieën met hun begin- en eindtijd, de API-naam en een grafiek waarin de basislijnsnelheid wordt vergeleken met de waargenomen snelheid tijdens de anomalie. Als je op een Insights-gebeurtenis klikt, ga je rechtstreeks naar de gerelateerde beheergebeurtenissen in Gebeurtenisgeschiedenis voor hetzelfde tijdvenster. Zo kun je 'er was een anomalie' in verband brengen met 'dit zijn de specifieke API-aanroepen die deze veroorzaakten'. Dankzij deze mogelijkheid om in te zoomen worden Insights-bevindingen bruikbaar.

Integriteitsvalidatie van logbestanden is vereist door meerdere nalevingskaders: PCI-DSS vereist bewijs dat auditlogboeken niet zijn gewijzigd; HIPAA schrijft manipulatiebestendige auditcontroles voor gezondheidsgegevens voor; SOC 2 vereist integriteitscontroles voor beveiligingslogboeken. De combinatie van CloudTrail-validatie van logbestanden, S3 Object Lock en organisatietrails voldoet aan deze vereisten en wordt vaak genoemd in documentatie over AWS-naleving. Wanneer examenvragen vermelden dat je moet 'bewijzen dat er niet met logboeken is geknoeid', is integriteitsvalidatie van logbestanden het antwoord.

In deze les heb je geleerd dat CloudTrail Insights machine learning gebruikt om anomalieën in het aantal API-aanroepen en het foutpercentage te detecteren met start- en eindgebeurtenissen, dat integriteitsvalidatie van logbestanden SHA-256-samenvattingsbestanden in een hashketen gebruikt om manipulatie of verwijdering van logbestanden te detecteren, en dat S3 Object Lock in combinatie met beleid dat verwijderen weigert de integriteit van de audittrail beschermt. Hierna bekijken we AWS Config-regels en geautomatiseerde herstelacties.