Аудит и ведение журналов сеансов администраторов

Предоставить административный доступ — лишь половина задачи; необходимо также записывать действия администраторов. Session Manager обеспечивает подробное ведение журналов, поэтому каждая команда и каждый сеанс поддаются учёту. На экзамене SCS-C02 такая возможность аудита подчёркивается как ключевое преимущество перед SSH, где сложно централизовать журналирование на уровне команд.

Ведение журналов Session Manager включает два уровня: журналы на уровне API о том, кто начал и завершил сеансы, которые собирает CloudTrail, и журналы содержимого сеанса с фактическими нажатиями клавиш и выводом, отправляемые в журналы CloudWatch или S3. Вместе они отвечают на оба вопроса: «кто подключился» и «что он сделал».

CloudTrail записывает вызовы API StartSession и TerminateSession, показывая, какая идентификация IAM подключалась к какому экземпляру и когда. Поскольку это события управления, они автоматически появляются в вашем журнале аудита, обеспечивая надежную и защищенную от незаметного изменения запись административного доступа для расследований.

Чтобы записывать команды и вывод внутри сеанса, включите ведение журнала сеансов в настройках Session Manager и направьте записи в бакет S3 или группу журналов CloudWatch Logs. Теперь каждый символ, введенный оператором, и каждый возвращенный результат сохраняются — это наиболее близкий аналог видеозаписи сеанса.

Журналы сеансов являются доказательствами, поэтому они должны быть защищены от изменения. Храните их в отдельном закрытом бакете S3, желательно в отдельной учетной записи для журналов, используя шифрование и ограничительные политики. Это гарантирует, что администратор, даже злоумышленник, не сможет удалить запись собственного сеанса.

Можно потребовать шифрование с помощью KMS как для данных активного сеанса, так и для сохраненных журналов. Принудительное шифрование защищает содержимое сеанса при хранении и передаче, помогает выполнять требования нормативов и гарантирует, что конфиденциальные команды или результаты никогда не будут раскрыты в открытом виде.

Помимо интерактивных сеансов, SSM Run Command одновременно выполняет команды на множестве экземпляров, и все эти действия также полностью проверяются. Каждый вызов записывается с указанием того, кто его выполнил, на каких целевых объектах и с каким результатом, поэтому даже административные действия для всего парка обеспечивают такую же подотчетность, как один сеанс.

Можно связать события сеансов с EventBridge и SNS, чтобы получать оповещения в реальном времени при начале сеанса, особенно для важных экземпляров. Уведомление в момент подключения к серверу производственной базы данных позволяет команде безопасности наблюдать за привилегированным доступом по мере его осуществления, а не постфактум.

Полный аудит сеансов поддерживает реагирование на инциденты, соответствие требованиям и сдерживание злоупотреблений. Знание о том, что каждое действие записывается, препятствует неправомерному использованию, а при возникновении инцидента специалисты могут точно воспроизвести действия оператора. Такая сквозная подотчетность — решающая причина, по которой на экзамене Session Manager предпочтительнее SSH с ключами.

Можно дополнительно ужесточить сеансы с помощью документов SSM, ограничивающих сеанс определенными действиями, а также отключить интерактивные оболочки для некоторых ролей. В сочетании с ведением журнала это означает, что даже авторизованный оператор ограничен разрешенными действиями, что уменьшает возможности взломанной учетной записи, при этом каждое действие остается записанным.

Аудит Session Manager объединяет CloudTrail для событий API StartSession/TerminateSession с записью содержимого сеанса в S3 или CloudWatch Logs, при необходимости с шифрованием KMS. Защищайте журналы в закрытой отдельной учетной записи, таким же образом проверяйте Run Command и используйте EventBridge/SNS для оповещений в реальном времени о привилегированном доступе.

Проверьте аудит сеансов.

Аудит Session Manager состоит из двух уровней: CloudTrail записывает события API StartSession/TerminateSession, а запись содержимого сеанса отправляет нажатия клавиш и вывод в S3 или CloudWatch Logs, при необходимости с шифрованием KMS. Защищайте журналы в отдельной закрытой учетной записи, также проверяйте Run Command и отправляйте оповещения в реальном времени через EventBridge/SNS.