Protegendo Buckets de Armazenamento de Registros

O CloudTrail, o Config e os Flow Logs acabam armazenando dados em buckets do S3. Esse bucket é a joia da coroa da sua trilha de auditoria e merece as proteções mais fortes. Se o bucket estiver seguro, um atacante que comprometa uma carga de trabalho ainda não conseguirá alcançar as evidências do que fez.

O primeiro controle é o S3 Block Public Access, que garante que o bucket de registros nunca seja exposto à internet. Um bucket de registros legível publicamente revela detalhes operacionais confidenciais a qualquer pessoa. Ativar o Block Public Access no nível da conta e do bucket elimina esse risco de forma decisiva.

Uma política de bucket rigorosa deve permitir que apenas o serviço de registro grave e que apenas funções de segurança específicas leiam, negando acesso a todos os demais. Você também pode negar s3:DeleteObject a todos os principais, para que os registros não possam ser removidos por chamadas normais da API — uma forte proteção básica contra adulterações casuais.

O S3 Object Lock impõe o armazenamento write-once-read-many (WORM), tornando os objetos realmente imutáveis por um período definido. Mesmo um administrador da conta não pode excluir nem substituir um objeto bloqueado antes do fim da retenção. Essa é a defesa mais forte contra um atacante ou um usuário interno que tente excluir registros.

O Object Lock tem dois modos. No Governance mode, usuários com uma permissão especial podem substituir o bloqueio. No Compliance mode, ninguém, nem mesmo o usuário-raiz, pode excluir objetos ou reduzir o período de retenção até que ele expire. Para registros de auditoria regulamentados, o Compliance mode oferece a garantia mais forte.

O Object Lock exige versionamento, que mantém todas as versões de um objeto. O versionamento, por si só, também ajuda: se um atacante substituir um objeto, a versão anterior permanece. Com uma negação de DeleteObjectVersion, o versionamento torna a destruição do histórico muito mais difícil do que excluir apenas o objeto atual.

A MFA Delete exige autenticação multifator para excluir permanentemente versões de objetos ou alterar o estado do versionamento. Ela adiciona uma barreira humana, apoiada por hardware, diante de ações destrutivas no bucket de registros, de modo que nem mesmo uma credencial comprometida possa eliminar versões silenciosamente sem o dispositivo de MFA.

Criptografe os dados de registro em repouso com o KMS, de preferência usando uma chave gerenciada pelo cliente cuja política limite quem pode descriptografar. Isso protege a confidencialidade, pois os registros geralmente contêm detalhes confidenciais, como nomes de usuário e endereços IP. O KMS também produz um registro de auditoria de cada descriptografia, aumentando a visibilidade sobre quem lê os registros.

Ative o registro de acesso do servidor do S3 ou use eventos de dados do CloudTrail no bucket de registros para saber quem o acessou. Gere um alarme para leituras inesperadas ou qualquer tentativa de exclusão. Monitorar o próprio bucket de registros garante que um ataque às suas evidências, ironicamente, também seja registrado.

Nenhuma configuração isolada é suficiente. O Block Public Access, uma política de bucket que negue exclusões, o Object Lock no Compliance mode, o versionamento, o MFA Delete e a criptografia do KMS juntos tornam o bucket resistente a exclusão, modificação e exposição. O objetivo é a defesa em profundidade: cada camada cobre as lacunas das outras.

Um bucket de registros devidamente protegido é imutável, privado, criptografado e monitorado. Combinado com a validação de arquivos de registro do CloudTrail para detectar adulterações, ele garante que suas evidências sobrevivam e permaneçam comprovadamente intactas. Esse fortalecimento no nível do bucket é exatamente o que os cenários de prova sobre proteção de registros esperam.

Teste seus conhecimentos sobre o fortalecimento de buckets.

Fortaleça os buckets de registros com controles em camadas: Bloqueio de acesso público, uma política de bucket que impeça exclusões, S3 Object Lock (o modo Compliance é inquebrável, enquanto o modo Governance pode ser substituído), versionamento, MFA Delete e criptografia KMS para garantir a confidencialidade. Monitore o acesso com o registro de acesso do S3 ou com eventos de dados do CloudTrail. Juntos, esses controles tornam os registros imutáveis, privados e monitorados.