Dlaczego manipulowanie logami stanowi zagrożenie

Logi bezpieczeństwa są dowodami tego, co wydarzyło się w Państwa środowisku. Stanowią podstawę wykrywania, dochodzeń i zgodności z przepisami. Jeśli atakujący może je zmieniać lub usuwać, tracą Państwo możliwość ustalenia, co się wydarzyło, a ślad audytowy staje się bezwartościowy. Ochrona integralności logów oznacza zatem ochronę samej prawdy.

Wyrafinowani napastnicy stosują antyforensics: aktywnie zacierają ślady swojej działalności. Po uzyskaniu dostępu próbują wyłączyć rejestrowanie, usunąć pliki dzienników lub zatrzymać śledzenie, aby ich późniejsze działania nie zostały zapisane. Udaremnianie tych prób jest kluczowym elementem gotowości na incydenty, ponieważ niewykryty napastnik jest znacznie groźniejszy.

Jednym z typowych działań jest zatrzymanie lub usunięcie ścieżki CloudTrail za pomocą StopLogging lub DeleteTrail. Po zatrzymaniu rejestrowania kolejne działania nie pozostawiają śladu audytowego. Wykrywanie tych wywołań i zapobieganie im albo zapewnienie, że są one rejestrowane w innym miejscu, jest niezbędne, aby zachować wiarygodność śladu.

Nawet przy włączonym rejestrowaniu napastnik może próbować usunąć pliki dzienników z zasobnika S3, w którym są przechowywane. Jeśli zasobnik nie jest chroniony, usunięcie obiektów kasuje historię. Dlatego zabezpieczenie zasobnika przechowującego dzienniki jest równie ważne jak samo włączenie rejestrowania.

Oprócz usuwania napastnik może próbować zmienić zawartość dzienników, aby ukryć konkretne działania lub obciążyć nimi kogoś innego. Zmodyfikowane dzienniki są często gorsze niż brakujące, ponieważ aktywnie wprowadzają śledczych w błąd. Dlatego wykrywanie manipulacji, a nie tylko zapobieganie usuwaniu, jest odrębnym i ważnym celem.

Ochrona dzienników opiera się na trzech założeniach: integralności (udowodnieniu, że dzienniki nie zostały zmienione), dostępności (zapewnieniu, że nie można ich usunąć) oraz poufności (uniemożliwieniu nieuprawnionego odczytu). AWS oferuje konkretne funkcje dla każdego z tych obszarów. Kompletna strategia obejmuje wszystkie trzy, zamiast koncentrować się tylko na jednym.

Kluczową zasadą jest rozdzielenie obowiązków: osoby i konta obsługujące obciążenia robocze nie powinny kontrolować dzienników dotyczących tych obciążeń. Jeśli napastnik przejmie konto obciążenia roboczego, nie powinien dzięki temu uzyskać możliwości usunięcia dowodów. To uzasadnia projektowanie dedykowanych kont dzienników.

Same próby manipulacji są cennymi sygnałami. Filtr metryk i alarm dotyczący zdarzeń CloudTrail, takich jak StopLogging, DeleteTrail lub UpdateTrail, powiadamia Państwa natychmiast, gdy ktoś ingeruje w konfigurację rejestrowania. Często próba ukrycia działań jest najwyraźniejszym sygnałem, że trwa atak.

Standardy takie jak PCI DSS i HIPAA wyraźnie wymagają ochrony dzienników audytowych przed modyfikacją oraz zapewnienia ich przechowywania przez wymagany czas. Dzienniki odporne na manipulacje i przechowywane zgodnie z wymaganiami nie są tylko dobrą praktyką, lecz także obowiązkiem wynikającym ze zgodności. Audytorzy będą szukać mechanizmów kontrolnych potwierdzających, że dzienniki są wiarygodne i kompletne.

Mechanizmy obronne, które będą Państwo poznawać — walidacja plików dzienników, zabezpieczone i niezmienne zasobniki oraz scentralizowane konta archiwalne — przeciwdziałają konkretnym technikom manipulacji. Zrozumienie zagrożenia pozwala dostrzec, dlaczego istnieje każdy z tych mechanizmów i jak łączą się one w warstwową ochronę, którą napastnikowi trudno pokonać.

Integralność dzienników jest częstym tematem egzaminacyjnym, ponieważ łączy wykrywanie, informatykę śledczą i zarządzanie. Należy spodziewać się scenariuszy, w których celem jest zapewnienie przetrwania dzienników po przejęciu systemu. Prawidłowe odpowiedzi koncentrują się na niezmienności, walidacji i izolacji, a nigdy na zaufaniu do jednego konta, które samo miałoby siebie kontrolować.

Dzienniki są dowodami, a napastnicy stosują antyforensics, aby wyłączać ślady, usuwać pliki lub zmieniać rekordy. Należy chronić integralność, dostępność i poufność, egzekwować rozdzielenie obowiązków, aby konta obciążeń roboczych nie mogły usuwać własnych dzienników, oraz ustawiać alarmy dla zdarzeń takich jak StopLogging. Standardy zgodności wymagają dzienników odpornych na manipulacje i przechowywanych przez określony czas; dalsza część tego kursu pokazuje, jak to osiągnąć.