Проверка файлов журналов CloudTrail

Проверка файлов журналов CloudTrail позволяет доказать, что файлы журналов, доставленные в S3, не изменялись, не удалялись и не подделывались после их записи CloudTrail. Эта функция превращает утверждение «мы надеемся, что журналы не повреждены» в «мы можем криптографически это доказать». Включение этой функции одним нажатием — рекомендуемая практика для любой трассы.

При включении CloudTrail каждый час создаёт файл сводки, содержащий ссылки на файлы журналов, доставленные за этот период, и хеш каждого из них. Сами файлы сводок также подписываются. Вместе они образуют цепочку, позволяющую проверить, что каждый файл журнала не изменён и что ни один файл не пропущен.

Для каждого файла журнала вычисляется хеш SHA-256, а файл сводки подписывается с использованием SHA-256 with RSA. Поскольку любое изменение файла журнала меняет его хеш, а сводка подписана криптографически, злоумышленник не может изменить журнал, не нарушив математическую проверку. Именно поэтому журналы позволяют обнаружить подделку.

Каждый файл сводки также ссылается на предыдущий файл сводки, образуя связанную последовательность час за часом. Благодаря этому можно обнаружить не только изменённый файл журнала, но и отсутствующую или удалённую сводку, поскольку разрыв нарушает цепочку. Непрерывная цепочка доказывает полноту данных во времени.

Целостность проверяется с помощью команды CLI validate-logs, которая проверяет подписи сводок и хеши файлов журналов, на которые они ссылаются, за указанный период. Она сообщает о каждом изменённом или удалённом файле, а также о файле, для которого отсутствует сводка. Это даёт расследующим достоверную проверку целостности по запросу.

Важный нюанс: проверка имеет обнаруживающий, а не профилактический характер. Она не мешает удалить файл журнала, но позволяет доказать, что это произошло. Для предотвращения удаления проверку сочетают с защитой корзины, например с блокировкой объектов. Проверка сообщает правду, а другие средства контроля обеспечивают её соблюдение.

Файлы сводок хранятся в той же корзине S3, что и журналы, и требуют такой же тщательной защиты. Если бы злоумышленник мог свободно создавать заново или удалять сводки, доказательства были бы скомпрометированы. Хранение сводок в закрытой, а в идеале неизменяемой корзине сохраняет гарантию целостности от начала до конца.

Проверка — это составляющая целостности защиты журналов. Она работает вместе с неизменяемым хранилищем, обеспечивающим доступность, и шифрованием, обеспечивающим конфиденциальность. На экзамене, если в сценарии спрашивается, как доказать отсутствие подделки журналов после доставки, точный ответ — проверка файлов журналов CloudTrail.

Проверка включается при создании или обновлении трассы одним параметром. Сама функция проверки не требует дополнительной платы сверх обычной стоимости хранения файлов сводок в S3. Благодаря значительной пользе и несущественной стоимости её следует включать в каждой трассе без исключений.

Выполняйте проверку регулярно, а не только во время инцидентов, чтобы быстро замечать подделку. Некоторые команды автоматизируют запуск validate-logs по расписанию и настраивают оповещения о любых сбоях. Регулярная проверка превращает эту функцию из второстепенного средства криминалистики в активный монитор целостности аудиторской трассы.

Во время аудита проверка файлов журналов предоставляет криптографическое доказательство полноты и неизменности аудиторской трассы, удовлетворяя требованиям таких стандартов, как PCI DSS и SOC 2. Возможность выполнить validate-logs и показать успешный результат — конкретное доказательство того, что данным мониторинга можно доверять как записи событий.

Проверьте свои знания о проверке.

Проверка файлов журналов CloudTrail доказывает, что журналы не подделывались после доставки. Ежечасные файлы сводок содержат хеши SHA-256 журналов, подписываются и образуют цепочку с предыдущей сводкой, благодаря чему можно обнаружить пропущенные файлы. Выполняйте проверку с помощью validate-logs. Эта функция обнаруживает нарушения, поэтому для предотвращения удаления сочетайте её с неизменяемым хранилищем. Включайте её в каждой трассе и регулярно выполняйте проверку.