Защита бакетов для хранения журналов

CloudTrail, Config и журналы потоков в конечном счёте хранят данные в корзинах S3. Эта корзина — главный объект защиты вашей аудиторской трассы, поэтому ей необходимы самые строгие меры безопасности. Если корзина защищена, злоумышленник, скомпрометировавший рабочую нагрузку, всё равно не сможет добраться до свидетельств своих действий.

Первая мера контроля — блокировка публичного доступа S3, гарантирующая, что корзина журналов никогда не будет доступна из интернета. Открытая для чтения корзина журналов раскрывает конфиденциальные сведения о работе системы любому желающему. Включение блокировки публичного доступа на уровне учётной записи и корзины решительно устраняет этот риск.

Строгая политика корзины должна разрешать запись только службе журналирования, а чтение — только определённым ролям безопасности, запрещая доступ всем остальным. Также можно запретить s3:DeleteObject для всех субъектов, чтобы журналы нельзя было удалить обычными вызовами API. Это надёжная базовая защита от случайной подделки.

Блокировка объектов S3 обеспечивает хранение по принципу write-once-read-many (WORM), делая объекты действительно неизменяемыми на установленный срок. Даже администратор учётной записи не сможет удалить или перезаписать заблокированный объект до окончания срока хранения. Это сильнейшая защита от удаления журналов злоумышленником или внутренним нарушителем.

У блокировки объектов есть два режима. В режиме управления пользователи со специальным разрешением могут снять блокировку. В режиме соответствия никто, даже корневой пользователь, не может удалить объект или сократить срок хранения до его окончания. Для регулируемых аудиторских журналов режим соответствия обеспечивает наиболее сильную гарантию.

Для блокировки объектов требуется версионирование, сохраняющее каждую версию объекта. Само по себе версионирование также помогает: если злоумышленник перезапишет объект, предыдущая версия сохранится. В сочетании с запретом DeleteObjectVersion версионирование значительно усложняет уничтожение истории по сравнению с удалением одного текущего объекта.

Удаление с MFA требует многофакторной аутентификации для окончательного удаления версий объектов или изменения состояния версионирования. Это добавляет физический барьер с аппаратной защитой перед разрушительными действиями в корзине журналов, поэтому даже скомпрометированные учётные данные не позволят незаметно удалить версии без устройства MFA.

Шифруйте данные журналов в состоянии покоя с помощью KMS, в идеале используя управляемый клиентом ключ, политика которого ограничивает круг лиц, имеющих право на расшифровку. Это защищает конфиденциальность, поскольку журналы часто содержат такие чувствительные сведения, как имена пользователей и IP-адреса. KMS также создаёт аудиторскую запись каждого расшифрования, повышая прозрачность доступа к журналам.

Включите журналирование доступа к серверу S3 или используйте события данных CloudTrail для корзины журналов, чтобы видеть, кто обращался к ней. Настройте оповещения о неожиданных чтениях и любых попытках удаления. Мониторинг самой корзины журналов гарантирует, что атака на ваши свидетельства, как ни парадоксально, тоже будет записана.

Одной настройки недостаточно. Блокировка публичного доступа, запрещающая удаление политика корзины, блокировка объектов в режиме соответствия, версионирование, удаление с MFA и шифрование с помощью KMS вместе делают корзину устойчивой к удалению, изменению и раскрытию данных. Цель — эшелонированная защита: каждый уровень устраняет пробелы другого.

Правильно защищённая корзина журналов неизменяема, закрыта, зашифрована и находится под наблюдением. В сочетании с проверкой файлов журналов CloudTrail для обнаружения подделки она гарантирует, что свидетельства сохранятся и останутся доказуемо неизменными. Именно такую усиленную защиту на уровне корзины ожидают увидеть в сценариях экзамена о защите журналов.

Проверьте свои знания об усилении защиты корзин.

Усильте защиту корзин с журналами с помощью многоуровневых средств: блокировки публичного доступа, политики корзины с запретом удаления, блокировки объектов S3 (режим Compliance невозможно обойти, а режим Governance можно переопределить), версионирования, удаления с помощью MFA и шифрования KMS для обеспечения конфиденциальности. Контролируйте доступ с помощью журналирования доступа S3 или событий данных CloudTrail. Вместе эти меры делают журналы неизменяемыми, закрытыми и контролируемыми.