CloudTrail Insights och loggfilsintegritet

CloudTrail Insights är en valfri funktion som använder maskininlärning för att automatiskt upptäcka ovanlig API-aktivitet i Ert AWS-konto. Den fastställer en baslinje för normala API-anropsfrekvenser och volymer av skrivande administrationshändelser för varje API och aviserar Er när aktiviteten avviker betydligt från baslinjen. Insights-händelser levereras till samma S3-bucket som Era trail-loggar och kan även utlösa EventBridge-regler för automatiserade åtgärder.

CloudTrail Insights aktiveras per spår. Ni kan välja att upptäcka avvikelser i API-anropsfrekvens (ett ovanligt antal skrivande administrationshändelser per sekund) eller avvikelser i API-felfrekvens (ett ovanligt antal fel på grund av nekad åtkomst eller begränsning). Insights kräver ett aktivt spår där administrationshändelser är aktiverade. AWS tar ut avgifter för Insights-händelser utöver de vanliga avgifterna för spårhändelser. Insights behöver 24–36 timmar för att fastställa en första baslinje innan funktionen kan börja upptäcka avvikelser.

En Insights-händelse har en starthändelse och en sluthändelse. Starthändelsen utlöses när avvikelsen börjar — till exempel vid en ovanlig ökning av anrop till TerminateInstances — och sluthändelsen utlöses när API-anropsfrekvensen återgår till det normala. Varje Insights-händelse innehåller det berörda API:et, den normala baslinjefrekvensen, den uppmätta toppfrekvensen och varaktigheten. Det hjälper Er att avgöra om en avvikelse var en ihållande attack eller en kortvarig ökning.

Vanliga avvikelser som CloudTrail Insights flaggar är bland annat ett intrång i autentiseringsuppgifter där en angripare använder stulna nycklar för att snabbt räkna upp alla S3-buckets, ett felkonfigurerat distributionsskript som körs i en loop och anropar EC2-API:et tusentals gånger, ett insiderhot där resurser tas bort snabbare än normalt eller en försörjningskedjeattack där en Lambda-funktion plötsligt gör ovanliga STS-anrop. Insights ger ett snabbare upptäcktsfönster än manuell granskning av CloudTrail-loggar.

CloudTrail Insights-händelser levereras automatiskt till Amazon EventBridge, vilket möjliggör automatiserade åtgärder. Ni kan skapa en EventBridge-regel som utlöser en Lambda-funktion när en Insights-händelse upptäcks — till exempel för att skicka ett Slack-meddelande, skapa ett Jira-ärende eller till och med automatiskt återkalla IAM-användarens åtkomstnycklar om avvikelsen stämmer överens med ett känt attackmönster. På så sätt skapas en säkerhetsautomatiseringspipeline i realtid kring Insights-resultat.

Validering av loggfilsintegritet säkerställer att CloudTrail-loggfiler inte har ändrats, tagits bort eller förfalskats efter leveransen till S3. När funktionen är aktiverad (via --enable-log-file-validation) skapar CloudTrail varje timme en digest-fil som innehåller SHA-256-hasharna för alla loggfiler som levererats under den timmen samt hashen för föregående digest. Själva digest-filen signeras med CloudTrails privata nyckel. Ni kan validera loggar med AWS CLI:s validate-logs-kommando.

Varje timme levererar CloudTrail en digest-fil till S3 på en sökväg som skiljer sig från loggfilerna (s3://bucket/CloudTrail-Digest/...). Digest-filen innehåller SHA-256-hashen för varje loggfil som levererats under den senaste timmen, S3-URI:n till varje fil och en hash för föregående digest (vilket skapar en hashkedja). Om en angripare ändrar en loggfil efter leveransen stämmer hashen i digest-filen inte längre överens — valideringen misslyckas och visar vilka filer som har manipulerats.

Loggfilsintegritet är bara användbar om digest-filerna och själva loggfilerna skyddas. Bästa praxis är att aktivera S3 MFA Delete för CloudTrail-bucketen så att filer inte kan tas bort utan MFA, tillämpa en bucket-policy som nekar borttagning för att förhindra att någon principal tar bort objekt, aktivera S3 Object Lock (Compliance-läge) för oföränderlig logglagring och använda ett organisationsspår så att medlemskonton inte kan inaktivera loggning. Tillsammans gör dessa kontroller det nästan omöjligt för en insider att radera granskningsbevis.

CloudTrail Insights och Amazon GuardDuty kompletterar varandra och är inte dubbletter. Insights fokuserar på avvikelser i API-anropsvolym — plötsliga ökningar av specifika administrations-API-anrop. GuardDuty analyserar en bredare uppsättning datakällor, däribland CloudTrail-händelser, VPC Flow Logs och DNS-loggar, för att upptäcka hotmönster som komprometterade autentiseringsuppgifter, kryptoutvinning, dataexfiltrering och kända skadliga IP-adresser. För försvar i flera lager bör Ni aktivera båda — Insights för volymbaserade avvikelser och GuardDuty för upptäckt baserad på hotinformation.

I CloudTrail-konsolen visar fliken Insights alla upptäckta avvikelser med start- och sluttider, API-namnet och ett diagram som jämför baslinjefrekvensen med den uppmätta frekvensen under avvikelsen. När Ni klickar på en Insights-händelse länkas Ni direkt till de relaterade administrationshändelserna i Event History för samma tidsintervall. Det hjälper Er att koppla samman ”det fanns en avvikelse” med ”här är de specifika API-anrop som orsakade den”. Denna möjlighet att gå ner på detaljnivå gör Insights användbart i praktiken.

Validering av loggfilsintegritet krävs av flera ramverk för efterlevnad: PCI-DSS kräver bevis på att granskningsloggar inte har ändrats, HIPAA kräver manipuleringssäkra granskningskontroller för hälsodata och SOC 2 kräver integritetskontroller för säkerhetsloggar. Kombinationen av CloudTrail-loggverifiering, S3 Object Lock och organisationsspår uppfyller dessa krav och nämns ofta i AWS-dokumentation om efterlevnad. När provfrågor nämner att Ni ska ”bevisa att loggarna inte har manipulerats” är validering av loggfilsintegritet svaret.

I den här lektionen lärde Ni Er att: CloudTrail Insights använder ML för att upptäcka avvikelser i API-anrops- och felfrekvenser med start- och sluthändelser, validering av loggfilsintegritet använder SHA-256-digest-filer i en hashkedja för att upptäcka manipulering eller borttagning av loggfiler, och S3 Object Lock i kombination med policyer som nekar borttagning skyddar granskningsspårets integritet. Härnäst går vi igenom AWS Config-regler och automatiserad åtgärd.