Validação de Arquivos de Registro do CloudTrail

A validação de arquivos de registro do CloudTrail permite provar que os arquivos de registro entregues ao S3 não foram modificados, excluídos ou forjados depois que o CloudTrail os gravou. É o recurso que transforma “esperamos que os registros estejam intactos” em “podemos demonstrar criptograficamente que estão”. Ativá-lo é uma boa prática de um clique em qualquer trilha.

Quando ativado, o CloudTrail cria um arquivo de resumo a cada hora, que referencia os arquivos de registro entregues nesse período e contém um hash de cada um deles. Os próprios arquivos de resumo são assinados. Juntos, eles formam uma cadeia que permite verificar tanto que cada arquivo de registro permanece inalterado quanto que nenhum está ausente.

Cada arquivo de registro recebe um hash com SHA-256, e o arquivo de resumo é assinado usando SHA-256 with RSA. Como qualquer alteração em um arquivo de registro modifica seu hash, e o resumo é assinado criptograficamente, um atacante não pode alterar um registro sem quebrar a verificação matemática. É isso que torna os registros capazes de evidenciar adulterações.

Cada arquivo de resumo também referencia o arquivo de resumo anterior, formando uma sequência encadeada hora após hora. Isso permite detectar não apenas um arquivo de registro modificado, mas também um resumo ausente ou excluído, pois uma lacuna rompe a cadeia. A cadeia contínua é o que comprova a completude ao longo do tempo.

Você verifica a integridade usando o comando da CLI validate-logs, que verifica as assinaturas dos resumos e os hashes dos arquivos de registro referenciados em um intervalo de tempo. Ele informa qualquer arquivo que tenha sido modificado ou excluído, ou cujo resumo esteja ausente. Isso fornece aos investigadores uma verificação de integridade confiável sob demanda.

Uma nuance importante: a validação é detectiva, não preventiva. Ela não impede alguém de excluir um arquivo de registro; permite que você prove que isso aconteceu. Para impedir exclusões, combine a validação com proteções do bucket, como o Object Lock. A validação informa a verdade; outros controles a impõem.

Os arquivos de resumo ficam no mesmo bucket do S3 que os registros e precisam ser protegidos com o mesmo cuidado. Se um atacante pudesse recriar ou excluir resumos livremente, a comprovação seria comprometida. Armazenar os resumos em um bucket bloqueado e, idealmente, imutável preserva a garantia de integridade de ponta a ponta.

A validação é o pilar da integridade na proteção dos registros. Ela funciona em conjunto com o armazenamento imutável para garantir a disponibilidade e com a criptografia para garantir a confidencialidade. Na prova, quando um cenário perguntar como provar que os registros não foram adulterados após a entrega, a resposta precisa é a validação de arquivos de registro do CloudTrail.

Você ativa a validação ao criar ou atualizar uma trilha, usando uma única configuração. Não há cobrança adicional pelo recurso de validação em si, além do armazenamento normal dos arquivos de resumo no S3. Dado o grande benefício e o custo insignificante, ele deve ser ativado em todas as trilhas, sem exceção.

Execute a validação regularmente, não apenas durante incidentes, para perceber adulterações rapidamente. Algumas equipes automatizam o validate-logs em uma programação e geram um alerta quando ocorre alguma falha. A validação regular transforma o recurso de uma atividade forense posterior em um monitor ativo da integridade da sua trilha de auditoria.

Durante uma auditoria, a validação de arquivos de registro fornece a comprovação criptográfica de que sua trilha de auditoria está completa e inalterada, atendendo aos requisitos de estruturas como PCI DSS e SOC 2. Poder executar o validate-logs e apresentar um resultado sem falhas é uma evidência concreta de que seus dados de monitoramento podem ser confiados como registro dos eventos.

Teste seus conhecimentos sobre validação.

A validação de arquivos de registro do CloudTrail comprova que os registros não foram adulterados após a entrega. Os arquivos de resumo horários contêm hashes SHA-256 dos registros, são assinados e formam uma cadeia com o resumo anterior, permitindo detectar arquivos ausentes. Verifique usando validate-logs. O recurso é detectivo; portanto, combine-o com armazenamento imutável para impedir exclusões. Ative-o em todas as trilhas e faça validações regularmente.