Zabezpieczanie bucketów z magazynem logów

CloudTrail, Config i Flow Logs ostatecznie przechowują dane w zasobnikach S3. Zasobnik jest najcenniejszym elementem śladu audytowego, dlatego zasługuje na najsilniejszą ochronę. Jeśli jest bezpieczny, napastnik, który przejmie obciążenie robocze, nadal nie będzie mógł dotrzeć do dowodów swoich działań.

Pierwszym mechanizmem kontrolnym jest S3 Block Public Access, który gwarantuje, że zasobnik z dziennikami nigdy nie zostanie udostępniony w internecie. Publicznie dostępny do odczytu zasobnik ujawnia wrażliwe informacje operacyjne każdemu. Włączenie Block Public Access na poziomie konta i zasobnika zdecydowanie eliminuje to ryzyko.

Ścisła zasada zasobnika powinna zezwalać na zapis wyłącznie usłudze rejestrowania, a na odczyt — tylko określonym rolom bezpieczeństwa, odmawiając dostępu wszystkim pozostałym. Można również odmówić wszystkim podmiotom głównym uprawnienia s3:DeleteObject, aby dzienników nie można było usuwać za pomocą standardowych wywołań API. Jest to silna ochrona bazowa przed przypadkowymi manipulacjami.

S3 Object Lock wymusza przechowywanie w modelu write-once-read-many (WORM), dzięki czemu obiekty stają się rzeczywiście niezmienne przez określony czas. Nawet administrator konta nie może usunąć ani nadpisać zablokowanego obiektu przed wygaśnięciem okresu przechowywania. Jest to najsilniejsza ochrona przed usunięciem dzienników przez napastnika lub osobę mającą dostęp wewnętrzny.

Object Lock ma dwa tryby. W trybie Governance użytkownicy z odpowiednim specjalnym uprawnieniem mogą obejść blokadę. W trybie Compliance nikt, nawet użytkownik root, nie może usunąć obiektu ani skrócić okresu przechowywania przed jego wygaśnięciem. W przypadku regulowanych dzienników audytowych tryb Compliance zapewnia najsilniejszą gwarancję.

Object Lock wymaga wersjonowania, które zachowuje każdą wersję obiektu. Samo wersjonowanie również pomaga: jeśli napastnik nadpisze obiekt, poprzednia wersja pozostaje. W połączeniu z odmową uprawnienia DeleteObjectVersion wersjonowanie znacznie utrudnia zniszczenie historii w porównaniu z usunięciem pojedynczego bieżącego obiektu.

MFA Delete wymaga uwierzytelniania wieloskładnikowego do trwałego usuwania wersji obiektów lub zmiany stanu wersjonowania. Dodaje bramkę wymagającą udziału człowieka i urządzenia sprzętowego przed destrukcyjnymi działaniami w zasobniku dzienników, dzięki czemu nawet przejęte dane uwierzytelniające nie pozwolą po cichu usunąć wersji bez urządzenia MFA.

Należy szyfrować dane dzienników w spoczynku za pomocą KMS, najlepiej przy użyciu klucza zarządzanego przez klienta, którego zasada ogranicza osoby mogące odszyfrowywać dane. Chroni to poufność, ponieważ dzienniki często zawierają wrażliwe informacje, takie jak nazwy użytkowników i adresy IP. KMS tworzy również zapis audytowy każdego odszyfrowania, zapewniając widoczność osób odczytujących dzienniki.

Należy włączyć rejestrowanie dostępu serwera S3 lub użyć zdarzeń danych CloudTrail dla zasobnika z dziennikami, aby sprawdzać, kto uzyskiwał do niego dostęp. Należy ustawić alarmy dla nieoczekiwanych odczytów i każdej próby usunięcia. Monitorowanie samego zasobnika z dziennikami gwarantuje, że atak na dowody zostanie — paradoksalnie — również zapisany.

Pojedyncze ustawienie nie wystarczy. Block Public Access, odmawiająca usuwania zasada zasobnika, Object Lock w trybie Compliance, wersjonowanie, MFA Delete oraz szyfrowanie KMS razem sprawiają, że zasobnik jest odporny na usuwanie, modyfikację i ujawnienie danych. Celem jest obrona w głąb: każda warstwa uzupełnia luki pozostałych.

Prawidłowo zabezpieczony zasobnik z dziennikami jest niezmienny, prywatny, zaszyfrowany i monitorowany. W połączeniu z walidacją plików dziennika CloudTrail, która wykrywa manipulacje, gwarantuje, że dowody przetrwają i pozostaną możliwe do potwierdzenia jako nienaruszone. Takie wzmocnienie zabezpieczeń na poziomie zasobnika jest dokładnie tym, czego wymagają scenariusze egzaminacyjne dotyczące ochrony dzienników.

Sprawdź swoją wiedzę na temat zabezpieczania bucketów.

Zabezpieczaj buckety z logami za pomocą wielowarstwowych mechanizmów kontroli: Block Public Access, bucket policy blokującej usuwanie, S3 Object Lock (tryb Compliance jest nieodwracalny, a tryb Governance można nadpisać), versioning, MFA Delete oraz KMS encryption zapewniającego poufność. Monitoruj dostęp za pomocą S3 access logging lub zdarzeń danych CloudTrail. Razem sprawiają one, że logi są niezmienne, prywatne i monitorowane.