Auditando e Registrando Sessões Administrativas

Conceder acesso administrativo é apenas metade do trabalho; você também precisa registrar o que os administradores fazem. O Session Manager oferece registros detalhados, para que cada comando e sessão possam ser atribuídos a um responsável. A prova SCS-C02 enfatiza essa capacidade de auditoria como uma vantagem central em relação ao SSH, no qual é difícil centralizar o registro em nível de comando.

O registro do Session Manager tem duas camadas: o registro em nível de API de quem iniciou e encerrou as sessões, capturado pelo CloudTrail, e o registro do conteúdo da sessão, que contém as teclas pressionadas e a saída real, enviado ao CloudWatch Logs ou ao S3. Juntos, eles respondem tanto a "quem se conectou" quanto a "o que fez".

CloudTrail registra as chamadas de API StartSession e TerminateSession, mostrando qual identidade do IAM se conectou a qual instância e quando. Como esses são eventos de gerenciamento, eles aparecem automaticamente no seu trail, fornecendo um registro confiável e que evidencia qualquer adulteração do acesso administrativo para investigações.

Para capturar os comandos e resultados dentro de uma sessão, habilite o registro de sessões nas preferências do Session Manager, direcionando-o para um bucket do S3 ou um grupo do CloudWatch Logs. Assim, cada tecla pressionada por um operador e cada resultado retornado são armazenados, sendo o recurso mais próximo de uma gravação em vídeo da sessão.

Os registros de sessão são evidências, portanto devem ser resistentes a adulterações. Armazene-os em um bucket do S3 dedicado e com acesso rigorosamente restrito, de preferência em uma conta separada para registros, usando criptografia e políticas restritivas. Isso garante que um administrador, mesmo que mal-intencionado, não possa excluir o registro da própria sessão.

Você pode exigir criptografia KMS tanto para os dados da sessão em tempo real quanto para os registros armazenados. Aplicar a criptografia significa que o conteúdo da sessão fica protegido em repouso e em trânsito, atendendo aos requisitos de conformidade e garantindo que comandos ou resultados confidenciais nunca sejam expostos em texto simples.

Além das sessões interativas, o SSM Executar comando executa comandos simultaneamente em muitas instâncias e também é totalmente auditado. Cada execução é registrada com informações sobre quem a realizou, em quais destinos e qual foi o resultado. Assim, até as ações administrativas em toda a frota têm a mesma responsabilização que uma única sessão.

Você pode conectar eventos de sessão ao EventBridge e ao SNS para receber alertas em tempo real quando uma sessão começar, especialmente em instâncias confidenciais. Uma notificação no momento em que alguém se conecta a um servidor de banco de dados de produção permite que sua equipe de segurança acompanhe o acesso privilegiado enquanto ele acontece, e não depois.

A auditoria completa das sessões dá suporte à resposta a incidentes, à conformidade e à dissuasão. Saber que todas as ações são registradas desencoraja o uso indevido e, quando ocorre um incidente, os investigadores podem reproduzir exatamente o que um operador fez. Essa responsabilização de ponta a ponta é uma razão decisiva para o exame favorecer o Session Manager em vez do SSH baseado em chaves.

Você pode restringir ainda mais as sessões usando documentos do SSM que limitem uma sessão a ações específicas e desativando shells interativos para determinadas funções. Combinado ao registro, isso significa que até um operador autorizado fica limitado às atividades aprovadas, reduzindo o que uma conta comprometida poderia fazer enquanto todas as ações permanecem registradas.

A auditoria do Session Manager combina o CloudTrail para eventos de API StartSession/TerminateSession com o registro do conteúdo da sessão no S3 ou no CloudWatch Logs, opcionalmente com criptografia KMS. Proteja os registros em uma conta separada e com acesso rigorosamente restrito, audite o Executar comando da mesma forma e use EventBridge/SNS para alertas em tempo real sobre acesso privilegiado.

A auditoria do Session Manager tem duas camadas: o CloudTrail registra eventos de API StartSession/TerminateSession, enquanto o registro do conteúdo da sessão envia as teclas pressionadas e os resultados para o S3 ou o CloudWatch Logs, opcionalmente com criptografia KMS. Proteja os registros em uma conta separada e com acesso rigorosamente restrito, audite também o Executar comando e envie alertas em tempo real pelo EventBridge/SNS.