Audytowanie i rejestrowanie sesji administratorów

Nadanie dostępu administracyjnego to dopiero połowa zadania — należy także rejestrować działania administratorów. Session Manager zapewnia rozbudowane logowanie, dzięki czemu każda komenda i każda sesja są rozliczalne. Egzamin SCS-C02 podkreśla tę możliwość audytu jako kluczową przewagę nad SSH, w którym scentralizowane rejestrowanie poleceń jest trudne.

Logowanie w Session Manager ma dwie warstwy: logowanie na poziomie API, rejestrujące, kto rozpoczął i zakończył sesje, przechwytywane przez CloudTrail, oraz logowanie treści sesji, obejmujące rzeczywiście naciskane klawisze i wyświetlane dane, przesyłane do CloudWatch Logs lub S3. Razem odpowiadają na pytania zarówno „kto się połączył”, jak i „co zrobił”.

CloudTrail rejestruje wywołania API StartSession i TerminateSession, pokazując, która tożsamość IAM połączyła się z daną instancją i kiedy. Ponieważ są to zdarzenia zarządzania, pojawiają się automatycznie w dzienniku, zapewniając wiarygodny i odporny na manipulacje zapis dostępu administracyjnego na potrzeby analiz.

Aby przechwytywać polecenia i dane wyjściowe wewnątrz sesji, należy włączyć rejestrowanie sesji w preferencjach Session Manager i kierować je do zasobnika S3 lub grupy dzienników CloudWatch Logs. Od tej pory każde naciśnięcie klawisza przez operatora i każdy zwrócony wynik są zapisywane — to rozwiązanie najbardziej zbliżone do nagrania wideo sesji.

Dzienniki sesji są dowodami, dlatego muszą być odporne na manipulacje. Należy przechowywać je w przeznaczonym do tego, ściśle zabezpieczonym zasobniku S3, najlepiej na oddzielnym koncie rejestrowania, z włączonym szyfrowaniem i restrykcyjnymi zasadami. Dzięki temu administrator, nawet działający złośliwie, nie może usunąć zapisu własnej sesji.

Można wymagać szyfrowania KMS zarówno danych sesji przesyłanych na żywo, jak i zapisanych dzienników. Wymuszenie szyfrowania oznacza, że zawartość sesji jest chroniona podczas przechowywania i przesyłania, co pomaga spełnić wymagania zgodności i gwarantuje, że poufne polecenia ani dane wyjściowe nie zostaną ujawnione w postaci jawnego tekstu.

Oprócz sesji interaktywnych usługa SSM Run Command wykonuje polecenia jednocześnie na wielu instancjach i również podlega pełnemu audytowi. Każde wywołanie jest rejestrowane wraz z informacją o tym, kto je uruchomił, na jakich celach oraz jaki był wynik, dzięki czemu nawet działania administracyjne obejmujące całą flotę są równie rozliczalne jak pojedyncza sesja.

Można połączyć zdarzenia sesji z usługami EventBridge i SNS, aby otrzymywać alerty w czasie rzeczywistym po rozpoczęciu sesji, szczególnie w przypadku wrażliwych instancji. Powiadomienie w chwili, gdy ktoś łączy się z produkcyjnym serwerem bazy danych, pozwala zespołowi ds. bezpieczeństwa obserwować uprzywilejowany dostęp w czasie jego trwania, a nie dopiero po fakcie.

Kompleksowy audyt sesji wspiera reagowanie na incydenty, zgodność i odstraszanie. Świadomość, że każda czynność jest rejestrowana, zniechęca do nadużyć, a gdy dojdzie do incydentu, osoby prowadzące dochodzenie mogą dokładnie odtworzyć działania operatora. Ta pełna rozliczalność jest kluczowym powodem, dla którego na egzaminie Session Manager jest preferowany względem SSH opartego na kluczach.

Sesje można dodatkowo zaostrzyć, używając dokumentów SSM, które ograniczają sesję do określonych działań, oraz wyłączając interaktywne powłoki dla wybranych ról. W połączeniu z rejestrowaniem oznacza to, że nawet uprawniony operator może wykonywać tylko zatwierdzone czynności, co ogranicza możliwości przejętego konta, a każda czynność nadal jest rejestrowana.

Audytowanie za pomocą Session Manager łączy CloudTrail dla zdarzeń API StartSession/TerminateSession z rejestrowaniem zawartości sesji w usługach S3 lub CloudWatch Logs, opcjonalnie z użyciem szyfrowania KMS. Dzienniki należy chronić w ściśle zabezpieczonym, oddzielnym koncie, w ten sam sposób audytować Run Command oraz używać EventBridge/SNS do wysyłania alertów w czasie rzeczywistym dotyczących uprzywilejowanego dostępu.

Sprawdź audytowanie sesji.

Audytowanie za pomocą Session Manager ma dwie warstwy: CloudTrail rejestruje zdarzenia API StartSession/TerminateSession, a rejestrowanie zawartości sesji przesyła naciśnięcia klawiszy i dane wyjściowe do usług S3 lub CloudWatch Logs, opcjonalnie z użyciem szyfrowania KMS. Dzienniki należy chronić w oddzielnym, ściśle zabezpieczonym koncie, audytować również Run Command oraz wysyłać alerty w czasie rzeczywistym za pomocą EventBridge/SNS.