Weryfikacja plików logów CloudTrail

Walidacja plików dziennika CloudTrail pozwala udowodnić, że pliki dzienników dostarczone do S3 nie zostały zmodyfikowane, usunięte ani sfałszowane po zapisaniu ich przez CloudTrail. Ta funkcja zmienia podejście z „mamy nadzieję, że dzienniki są nienaruszone” na „możemy kryptograficznie wykazać, że takie są”. Włączenie jej to najlepsza praktyka wymagająca jednego kliknięcia dla każdej ścieżki.

Po włączeniu tej funkcji CloudTrail co godzinę tworzy plik podsumowania, który odwołuje się do plików dzienników dostarczonych w tym okresie i zawiera skrót każdego z nich. Pliki podsumowań są dodatkowo podpisywane. Razem tworzą łańcuch pozwalający sprawdzić zarówno, czy każdy plik dziennika pozostał niezmieniony, jak i czy żadnego pliku nie brakuje.

Każdy plik dziennika jest haszowany za pomocą SHA-256, a plik podsumowania jest podpisywany przy użyciu SHA-256 with RSA. Ponieważ każda zmiana pliku dziennika zmienia jego skrót, a podsumowanie jest podpisane kryptograficznie, napastnik nie może zmienić dziennika bez naruszenia spójności obliczeń. Dzięki temu dzienniki są odporne na niezauważalne manipulacje.

Każdy plik podsumowania odwołuje się również do poprzedniego pliku podsumowania, tworząc sekwencję połączoną w łańcuch z godziny na godzinę. Dzięki temu można wykryć nie tylko zmodyfikowany plik dziennika, lecz także brakujące lub usunięte podsumowanie, ponieważ luka przerywa łańcuch. To ciągły łańcuch potwierdza kompletność danych w czasie.

Integralność weryfikuje się za pomocą polecenia CLI validate-logs, które sprawdza podpisy podsumowań oraz skróty wskazanych plików dzienników dla określonego zakresu czasu. Polecenie zgłasza każdy plik, który został zmodyfikowany lub usunięty, a także brakujące podsumowania. Zapewnia to śledczym wiarygodną kontrolę integralności na żądanie.

Ważne zastrzeżenie: walidacja ma charakter wykrywający, a nie prewencyjny. Nie powstrzymuje ona przed usunięciem pliku dziennika; pozwala natomiast udowodnić, że do tego doszło. Aby zapobiegać usuwaniu, należy połączyć walidację z ochroną zasobnika, taką jak Object Lock. Walidacja pokazuje prawdę, a inne mechanizmy ją egzekwują.

Pliki podsumowań znajdują się w tym samym zasobniku S3 co dzienniki i muszą być równie starannie chronione. Gdyby napastnik mógł swobodnie ponownie generować lub usuwać podsumowania, dowód zostałby podważony. Przechowywanie podsumowań w zabezpieczonym, a najlepiej niezmiennym zasobniku zachowuje gwarancję integralności od początku do końca.

Walidacja stanowi filar integralności ochrony dzienników. Współdziała z niezmiennym przechowywaniem, które zapewnia dostępność, oraz z szyfrowaniem, które zapewnia poufność. Na egzaminie, gdy scenariusz pyta, jak udowodnić, że dzienniki nie zostały zmienione po dostarczeniu, właściwą odpowiedzią jest walidacja plików dziennika CloudTrail.

Walidację włącza się podczas tworzenia lub aktualizowania ścieżki za pomocą jednego ustawienia. Sama funkcja walidacji nie wiąże się z dodatkową opłatą poza standardowym kosztem przechowywania plików podsumowań w S3. Ze względu na duże korzyści i znikomy koszt powinna być włączona na każdej ścieżce bez wyjątku.

Walidację należy uruchamiać regularnie, a nie tylko podczas incydentów, aby szybko zauważać manipulacje. Niektóre zespoły automatyzują wykonywanie validate-logs według harmonogramu i ustawiają alarmy dla każdego niepowodzenia. Regularna walidacja zmienia tę funkcję z narzędzia używanego dopiero po incydencie w aktywny monitor integralności śladu audytowego.

Podczas audytu walidacja plików dziennika dostarcza kryptograficznego dowodu, że ślad audytowy jest kompletny i niezmieniony, spełniając wymagania standardów takich jak PCI DSS i SOC 2. Możliwość uruchomienia validate-logs i przedstawienia pomyślnego wyniku jest konkretnym dowodem, że można ufać danym monitorowania jako zapisowi zdarzeń.

Sprawdź swoją wiedzę na temat walidacji.

Walidacja plików dziennika CloudTrail potwierdza, że dzienniki nie zostały zmienione po dostarczeniu. Tworzone co godzinę pliki podsumowań zawierają skróty SHA-256 dzienników, są podpisywane i łączą się z poprzednim podsumowaniem, dzięki czemu można wykryć brakujące pliki. Weryfikację wykonuje się za pomocą validate-logs. Jest to mechanizm wykrywający, dlatego należy połączyć go z niezmiennym przechowywaniem, aby zapobiegać usuwaniu. Funkcję należy włączyć na każdej ścieżce i regularnie uruchamiać walidację.