เหตุใดการแก้ไขบันทึกจึงเป็นภัยคุกคาม

บันทึกด้านความปลอดภัยคือ หลักฐานของสิ่งที่เกิดขึ้นในสภาพแวดล้อมของคุณ บันทึกเหล่านี้เป็นพื้นฐานของการตรวจจับ การสืบสวน และการปฏิบัติตามข้อกำหนด หากผู้โจมตีสามารถแก้ไขหรือลบได้ คุณจะสูญเสียความสามารถในการรู้ว่าเกิดอะไรขึ้น และบันทึกการตรวจสอบของคุณจะไร้ค่า ดังนั้นการปกป้องความถูกต้องของบันทึกก็คือการปกป้องความจริงนั่นเอง

ผู้โจมตีที่มีความเชี่ยวชาญจะใช้การปกปิดร่องรอยทางนิติวิทยาศาสตร์ ซึ่งหมายถึงการพยายามลบร่องรอยของตนเองอย่างจริงจัง หลังจากเข้าถึงระบบได้แล้ว พวกเขาอาจพยายามปิดการบันทึก ลบไฟล์บันทึก หรือหยุดเส้นทางบันทึก เพื่อไม่ให้การกระทำในภายหลังถูกบันทึกไว้ การเอาชนะความพยายามเหล่านี้เป็นส่วนสำคัญของการเตรียมพร้อมรับมือเหตุการณ์ เพราะผู้โจมตีที่ไม่ถูกตรวจพบย่อมเป็นภัยที่อันตรายกว่ามาก

วิธีหนึ่งที่พบได้บ่อยคือหยุดหรือลบเส้นทางบันทึกของ CloudTrail ด้วย StopLogging หรือ DeleteTrail เมื่อหยุดการบันทึกแล้ว การกระทำที่เกิดขึ้นหลังจากนั้นจะไม่ทิ้งบันทึกการตรวจสอบไว้ การตรวจจับและป้องกันการเรียกใช้เหล่านี้ หรือทำให้แน่ใจว่าการเรียกใช้เหล่านี้ถูกบันทึกไว้ในที่อื่น เป็นสิ่งจำเป็นต่อการรักษาความน่าเชื่อถือของเส้นทางบันทึก

แม้จะเปิดการบันทึกอยู่ ผู้โจมตีก็อาจพยายามลบไฟล์บันทึกในบัคเก็ต S3 ที่ใช้จัดเก็บ หากบัคเก็ตไม่ได้รับการป้องกัน การนำออบเจ็กต์ออกจะลบประวัติทั้งหมด นี่จึงเป็นเหตุผลว่าทำไมการรักษาความปลอดภัยของบัคเก็ตจัดเก็บบันทึกจึงสำคัญไม่แพ้การเปิดใช้การบันทึกตั้งแต่แรก

นอกเหนือจากการลบแล้ว ผู้โจมตีอาจพยายามแก้ไขเนื้อหาในบันทึกเพื่อซ่อนการกระทำบางอย่างหรือใส่ความผู้อื่น บันทึกที่ถูกแก้ไขอาจเลวร้ายกว่าบันทึกที่หายไป เพราะทำให้นักสืบสวนเข้าใจผิดโดยตรง ดังนั้นการตรวจจับการดัดแปลง ไม่ใช่เพียงการป้องกันการลบ จึงเป็นเป้าหมายที่แยกต่างหากและสำคัญ

การปกป้องบันทึกอาศัยแนวคิดสามประการ ได้แก่ ความถูกต้องครบถ้วน (พิสูจน์ได้ว่าบันทึกไม่ถูกแก้ไข) ความพร้อมใช้งาน (ทำให้แน่ใจว่าไม่สามารถลบได้) และ การรักษาความลับ (ป้องกันการอ่านโดยไม่ได้รับอนุญาต) AWS มีความสามารถเฉพาะสำหรับแต่ละด้าน กลยุทธ์ที่สมบูรณ์ต้องจัดการทั้งสามด้าน แทนที่จะมุ่งเน้นเพียงด้านใดด้านหนึ่ง

หลักการสำคัญคือการแยกหน้าที่ความรับผิดชอบ ผู้คนและบัญชีที่ดูแลเวิร์กโหลดไม่ควรเป็นผู้ควบคุมบันทึกเกี่ยวกับเวิร์กโหลดเหล่านั้น หากผู้โจมตีเจาะบัญชีเวิร์กโหลดได้ ก็ไม่ควรได้รับอำนาจในการลบร่องรอยหลักฐานไปด้วย หลักการนี้เป็นที่มาของการออกแบบบัญชีบันทึกโดยเฉพาะ

ความพยายามดัดแปลงเองก็เป็นสัญญาณที่มีค่ามาก การตั้งค่าตัวกรองเมตริกและการแจ้งเตือนสำหรับเหตุการณ์ CloudTrail เช่น StopLogging DeleteTrail หรือ UpdateTrail จะเตือนคุณทันทีเมื่อมีผู้แตะต้องการกำหนดค่าการบันทึก บ่อยครั้ง ความพยายามปกปิดร่องรอยคือสัญญาณที่ชัดเจนที่สุดว่าการโจมตีกำลังเกิดขึ้น

กรอบมาตรฐานอย่าง PCI DSS และ HIPAA กำหนดไว้อย่างชัดเจนให้ปกป้องบันทึกการตรวจสอบจากการแก้ไข และทำให้แน่ใจว่าบันทึกเหล่านั้นถูกเก็บรักษาไว้ บันทึกที่ตรวจพบการดัดแปลงได้และได้รับการเก็บรักษาไม่ใช่เพียงแนวปฏิบัติที่ดี แต่เป็นข้อบังคับด้านการปฏิบัติตาม ผู้ตรวจสอบจะมองหาการควบคุมที่พิสูจน์ว่าบันทึกของคุณน่าเชื่อถือและครบถ้วน

แนวทางป้องกันที่คุณจะศึกษา ได้แก่ การตรวจสอบความถูกต้องของไฟล์บันทึก บัคเก็ตที่ล็อกอย่างรัดกุมและไม่เปลี่ยนแปลงไม่ได้ และบัญชีจัดเก็บถาวรแบบรวมศูนย์ แต่ละแนวทางรับมือเทคนิคการดัดแปลงที่เฉพาะเจาะจง การเข้าใจภัยคุกคามก่อนจะทำให้เห็นชัดว่าเหตุใดจึงมีการควบคุมแต่ละอย่าง และการควบคุมเหล่านั้นทำงานร่วมกันเป็นการป้องกันหลายชั้นที่ผู้โจมตีเอาชนะได้ยากอย่างไร

ความถูกต้องครบถ้วนของบันทึกเป็นหัวข้อที่พบซ้ำในการสอบ เพราะอยู่ตรงจุดตัดระหว่างการตรวจจับ การพิสูจน์หลักฐานทางดิจิทัล และการกำกับดูแล คาดว่าจะพบสถานการณ์ที่เป้าหมายคือทำให้แน่ใจว่าบันทึกยังคงอยู่หลังการถูกเจาะระบบ คำตอบที่ถูกต้องจะเน้นความไม่เปลี่ยนแปลง การตรวจสอบความถูกต้อง และการแยกออกจากกัน ไม่ใช่การไว้วางใจให้บัญชีเดียวตรวจสอบตนเอง

ทดสอบความเข้าใจเกี่ยวกับภัยคุกคาม

บันทึกคือหลักฐาน และผู้โจมตีใช้การปกปิดร่องรอยทางนิติวิทยาศาสตร์เพื่อปิดเส้นทางบันทึก ลบไฟล์ หรือแก้ไขระเบียน จงปกป้องความถูกต้องครบถ้วน ความพร้อมใช้งาน และการรักษาความลับ บังคับใช้การแยกหน้าที่ความรับผิดชอบเพื่อไม่ให้บัญชีเวิร์กโหลดลบบันทึกของตนเองได้ และตั้งการแจ้งเตือนสำหรับเหตุการณ์อย่าง StopLogging กรอบมาตรฐานด้านการปฏิบัติตามกำหนดให้มีบันทึกที่ตรวจพบการดัดแปลงได้และได้รับการเก็บรักษาไว้ ซึ่งเนื้อหาที่เหลือของหลักสูตรนี้จะแสดงวิธีทำให้บรรลุเป้าหมายดังกล่าว