CloudTrail Insights i integralność plików dziennika

CloudTrail Insights to opcjonalna funkcja wykorzystująca uczenie maszynowe do automatycznego wykrywania nietypowej aktywności API na koncie AWS. Ustala ona punkt odniesienia dla normalnej liczby wywołań API i liczby zapisujących zdarzeń zarządzania dla każdego API, a następnie wysyła alert, gdy aktywność znacznie odbiega od tego punktu odniesienia. Zdarzenia Insights są dostarczane do tego samego zasobnika S3 co dzienniki ścieżki i mogą także uruchamiać reguły EventBridge w celu automatycznej reakcji.

CloudTrail Insights włącza się dla każdej ścieżki osobno. Można wybrać wykrywanie anomalii częstotliwości wywołań API (nietypowej liczby zapisujących zdarzeń zarządzania na sekundę) lub anomalii częstotliwości błędów API (nietypowej liczby błędów odmowy dostępu lub ograniczenia przepustowości). Insights wymaga aktywnej ścieżki z włączonymi zdarzeniami zarządzania. AWS pobiera opłaty za zdarzenia Insights niezależnie od standardowych opłat za zdarzenia ścieżki. Insights potrzebuje od 24 do 36 godzin na ustalenie początkowego punktu odniesienia, zanim zacznie wykrywać anomalie.

Zdarzenie Insights składa się ze zdarzenia początkowego i zdarzenia końcowego. Zdarzenie początkowe jest generowane, gdy zaczyna się anomalia — na przykład przy nietypowym wzroście liczby wywołań TerminateInstances — a zdarzenie końcowe jest generowane, gdy częstotliwość wywołań API wraca do normy. Każde zdarzenie Insights zawiera informacje o użytym API, normalnej częstotliwości bazowej, zaobserwowanej częstotliwości szczytowej i czasie trwania. Pomaga to ustalić, czy anomalia była długotrwałym atakiem, czy krótkim wzrostem aktywności.

Typowe anomalie oznaczane przez CloudTrail Insights to: przejęcie danych uwierzytelniających, gdy atakujący używa skradzionych kluczy do szybkiego wyliczenia wszystkich zasobników S3, nieprawidłowo skonfigurowany skrypt wdrożeniowy, który wykonuje pętlę i tysiące razy wywołuje API EC2, zagrożenie wewnętrzne polegające na usuwaniu zasobów szybciej niż zwykle, lub atak na łańcuch dostaw, w ramach którego funkcja Lambda nagle wykonuje nietypowe wywołania STS. Insights zapewnia krótszy czas wykrycia niż ręczne przeglądanie dzienników CloudTrail.

Zdarzenia CloudTrail Insights są automatycznie dostarczane do Amazon EventBridge, co umożliwia automatyczną reakcję. Można utworzyć regułę EventBridge uruchamiającą funkcję Lambda po wykryciu zdarzenia Insights — na przykład w celu wysłania wiadomości Slack, utworzenia zgłoszenia w Jira, a nawet automatycznego unieważnienia kluczy dostępu użytkownika IAM, jeśli anomalia odpowiada znanemu wzorcowi ataku. Tworzy to działający w czasie rzeczywistym potok automatyzacji zabezpieczeń oparty na ustaleniach Insights.

Weryfikacja integralności plików dziennika gwarantuje, że pliki dziennika CloudTrail nie zostały zmodyfikowane, usunięte ani sfałszowane po dostarczeniu do S3. Po włączeniu tej funkcji (za pomocą --enable-log-file-validation) CloudTrail co godzinę tworzy plik skrótów zawierający skróty SHA-256 wszystkich plików dziennika dostarczonych w tej godzinie oraz skrót poprzedniego pliku skrótów. Sam plik skrótów jest podpisywany kluczem prywatnym CloudTrail. Dzienniki można weryfikować za pomocą polecenia validate-logs interfejsu AWS CLI.

Co godzinę CloudTrail dostarcza do S3 plik skrótów w ścieżce oddzielnej od plików dziennika (s3://bucket/CloudTrail-Digest/...). Plik skrótów zawiera skrót SHA-256 każdego pliku dziennika dostarczonego w ciągu ostatniej godziny, identyfikator URI S3 każdego pliku oraz skrót poprzedniego pliku skrótów (tworząc łańcuch skrótów). Jeśli atakujący zmodyfikuje plik dziennika po jego dostarczeniu, skrót w pliku skrótów przestanie się zgadzać — weryfikacja zakończy się niepowodzeniem i wskaże pliki, przy których wykryto manipulację.

Integralność plików dziennika jest użyteczna tylko wtedy, gdy chronione są także same pliki skrótów i pliki dziennika. Najlepsze praktyki obejmują: włączenie S3 MFA Delete w zasobniku CloudTrail, aby plików nie można było usuwać bez MFA, zastosowanie zasad zasobnika zabraniających usuwania, aby uniemożliwić dowolnemu podmiotowi usuwanie obiektów, włączenie S3 Object Lock (tryb Compliance) w celu zapewnienia niezmiennego przechowywania dzienników oraz użycie ścieżki organizacji, aby konta członkowskie nie mogły wyłączyć rejestrowania. Te mechanizmy wspólnie sprawiają, że osobie mającej dostęp wewnętrzny niezwykle trudno jest usunąć dowody audytowe.

CloudTrail Insights i Amazon GuardDuty uzupełniają się, a nie dublują. Insights koncentruje się na anomaliach liczby wywołań API — nagłych wzrostach liczby określonych wywołań zarządzających API. GuardDuty analizuje szerszy zestaw źródeł danych, w tym zdarzenia CloudTrail, VPC Flow Logs i dzienniki DNS, aby wykrywać wzorce zagrożeń, takie jak przejęte dane uwierzytelniające, wydobywanie kryptowalut, eksfiltracja danych i znane złośliwe adresy IP. W ramach obrony warstwowej należy włączyć obie usługi — Insights do wykrywania anomalii opartych na liczbie wywołań, a GuardDuty do wykrywania zagrożeń na podstawie informacji o zagrożeniach.

W konsoli CloudTrail karta Insights zawiera listę wszystkich wykrytych anomalii wraz z godzinami rozpoczęcia i zakończenia, nazwą API oraz wykresem porównującym częstotliwość bazową z zaobserwowaną częstotliwością podczas anomalii. Kliknięcie zdarzenia Insights prowadzi bezpośrednio do powiązanych zdarzeń zarządzania w Event History dla tego samego przedziału czasu, co pomaga powiązać „wystąpiła anomalia” z „oto konkretne wywołania API, które ją spowodowały”. Ta możliwość szczegółowej analizy sprawia, że Insights można skutecznie wykorzystywać w praktyce.

Weryfikacja integralności plików dziennika jest wymagana przez wiele standardów zgodności: PCI-DSS wymaga dowodu, że dzienniki audytowe nie zostały zmienione; HIPAA nakazuje stosowanie odpornych na manipulacje mechanizmów kontroli audytowej dla danych medycznych; SOC 2 wymaga mechanizmów kontroli integralności dzienników zabezpieczeń. Połączenie weryfikacji plików dziennika CloudTrail, S3 Object Lock i ścieżek organizacji spełnia te wymagania i jest często przywoływane w dokumentacji zgodności AWS. Gdy pytanie egzaminacyjne wspomina o „udowodnieniu, że dzienniki nie zostały zmanipulowane”, odpowiedzią jest weryfikacja integralności plików dziennika.

Sprawdź swoją znajomość zagadnień AWS Solutions Architect (SAA-C03) z tej lekcji.

W tej lekcji poznali Państwo: CloudTrail Insights wykorzystuje uczenie maszynowe do wykrywania nietypowych anomalii częstotliwości wywołań API i błędów, używając zdarzeń początkowych i końcowych, weryfikacja integralności plików dziennika wykorzystuje pliki skrótów SHA-256 połączone w łańcuch skrótów do wykrywania manipulacji plikami dziennika lub ich usunięcia, a S3 Object Lock w połączeniu z zasadami zabraniającymi usuwania chroni integralność śladu audytowego. Następnie omówimy reguły AWS Config i automatyczne korygowanie niezgodności.