การตรวจสอบความถูกต้องของไฟล์บันทึก CloudTrail

การตรวจสอบความถูกต้องของไฟล์บันทึก CloudTrailช่วยให้คุณพิสูจน์ได้ว่าไฟล์บันทึกที่ส่งไปยัง S3 ไม่ได้ถูกแก้ไข ลบ หรือปลอมแปลงหลังจาก CloudTrail เขียนไฟล์เหล่านั้น ความสามารถนี้เปลี่ยนจาก "หวังว่าบันทึกจะยังสมบูรณ์" เป็น "เราสามารถพิสูจน์ด้วยการเข้ารหัสได้ว่าบันทึกยังสมบูรณ์" การเปิดใช้ความสามารถนี้เป็นแนวปฏิบัติที่ดีแบบคลิกเดียวสำหรับทุกเส้นทางบันทึก

เมื่อเปิดใช้ CloudTrail จะสร้างไฟล์สรุปค่าแฮชทุกชั่วโมง โดยอ้างอิงไฟล์บันทึกที่ส่งในช่วงเวลานั้นและมีค่าแฮชของแต่ละไฟล์ ไฟล์สรุปค่าแฮชเองก็มีลายเซ็นกำกับเช่นกัน เมื่อนำมารวมกัน ไฟล์เหล่านี้จะสร้างห่วงโซ่ที่ช่วยให้คุณตรวจสอบได้ทั้งว่าไฟล์บันทึกแต่ละไฟล์ไม่ถูกเปลี่ยนแปลง และไม่มีไฟล์ใดสูญหาย

ไฟล์บันทึกแต่ละไฟล์จะถูกทำแฮชด้วย SHA-256 และไฟล์สรุปค่าแฮชจะลงลายเซ็นโดยใช้ SHA-256 with RSA เนื่องจากการเปลี่ยนแปลงใด ๆ ในไฟล์บันทึกจะทำให้ค่าแฮชเปลี่ยน และไฟล์สรุปค่าแฮชมีลายเซ็นเข้ารหัส ผู้โจมตีจึงไม่สามารถแก้ไขบันทึกโดยไม่ทำให้การตรวจสอบทางคณิตศาสตร์ล้มเหลว นี่คือสิ่งที่ทำให้บันทึกตรวจพบการดัดแปลงได้

ไฟล์สรุปค่าแฮชแต่ละไฟล์ยังอ้างอิงไฟล์สรุปค่าแฮชก่อนหน้า ทำให้เกิดลำดับที่เชื่อมต่อกันไปทีละชั่วโมง การเชื่อมโยงนี้ทำให้คุณตรวจจับได้ไม่เพียงไฟล์บันทึกที่ถูกแก้ไข แต่ยังรวมถึงไฟล์สรุปค่าแฮชที่หายไปหรือถูกลบด้วย เพราะช่องว่างเพียงจุดเดียวจะทำให้ห่วงโซ่ขาด ห่วงโซ่ที่ต่อเนื่องนี่เองที่พิสูจน์ความครบถ้วนตลอดช่วงเวลาได้

คุณตรวจสอบความถูกต้องครบถ้วนได้โดยใช้คำสั่ง CLI validate-logs ซึ่งตรวจสอบลายเซ็นของไฟล์สรุปค่าแฮชและค่าแฮชของไฟล์บันทึกที่อ้างอิงสำหรับช่วงเวลาที่กำหนด คำสั่งจะแจ้งไฟล์ที่ถูกแก้ไข ถูกลบ หรือไม่มีไฟล์สรุปค่าแฮช วิธีนี้ช่วยให้นักสืบสวนตรวจสอบความถูกต้องครบถ้วนของบันทึกได้อย่างเป็นทางการเมื่อต้องการ

ประเด็นสำคัญคือ การตรวจสอบความถูกต้องเป็นการควบคุมแบบตรวจจับ ไม่ใช่การป้องกัน การตรวจสอบนี้ไม่ได้หยุดผู้ใดจากการลบไฟล์บันทึก แต่ช่วยให้คุณพิสูจน์ได้ว่ามีการลบเกิดขึ้น หากต้องการป้องกันการลบ คุณต้องใช้การตรวจสอบความถูกต้องร่วมกับการป้องกันบัคเก็ต เช่น การล็อกออบเจ็กต์ การตรวจสอบความถูกต้องบอกความจริง ส่วนการควบคุมอื่นทำหน้าที่บังคับใช้ความจริงนั้น

ไฟล์สรุปค่าแฮชอยู่ในบัคเก็ต S3 เดียวกับบันทึก และต้องได้รับการปกป้องอย่างรอบคอบเช่นเดียวกัน หากผู้โจมตีสามารถสร้างใหม่หรือลบไฟล์สรุปค่าแฮชได้อย่างอิสระ หลักฐานการพิสูจน์ก็จะถูกทำลาย การจัดเก็บไฟล์สรุปค่าแฮชไว้ในบัคเก็ตที่ล็อกอย่างรัดกุมและควรเป็นบัคเก็ตที่ไม่เปลี่ยนแปลงได้ จะรักษาหลักประกันด้านความถูกต้องครบถ้วนตั้งแต่ต้นจนจบ

การตรวจสอบความถูกต้องคือเสาหลักด้านความถูกต้องครบถ้วนของการปกป้องบันทึก โดยทำงานร่วมกับพื้นที่จัดเก็บที่ไม่เปลี่ยนแปลงได้เพื่อความพร้อมใช้งาน และการเข้ารหัสเพื่อการรักษาความลับ ในการสอบ หากสถานการณ์ถามว่าจะพิสูจน์ได้อย่างไรว่าบันทึกไม่ถูกดัดแปลงหลังการส่ง คำตอบที่ตรงจุดคือการตรวจสอบความถูกต้องของไฟล์บันทึก CloudTrail

คุณเปิดใช้การตรวจสอบความถูกต้องได้เมื่อสร้างหรือปรับปรุงเส้นทางบันทึก โดยตั้งค่าเพียงรายการเดียว ไม่มีค่าใช้จ่ายเพิ่มเติมสำหรับความสามารถนี้ นอกเหนือจากค่าจัดเก็บไฟล์สรุปค่าแฮชใน S3 ตามปกติ เมื่อพิจารณาถึงประโยชน์ที่สูงและต้นทุนที่แทบไม่มี ก็ควรเปิดใช้กับทุกเส้นทางบันทึกโดยไม่มีข้อยกเว้น

เรียกใช้การตรวจสอบเป็นประจำ ไม่ใช่เฉพาะเมื่อเกิดเหตุการณ์ เพื่อให้คุณสังเกตเห็นการดัดแปลงได้อย่างรวดเร็ว บางทีมทำให้ validate-logs ทำงานตามกำหนดเวลาโดยอัตโนมัติ และแจ้งเตือนเมื่อการตรวจสอบล้มเหลว การตรวจสอบเป็นประจำเปลี่ยนความสามารถนี้จากสิ่งที่นึกขึ้นได้ภายหลังในงานพิสูจน์หลักฐาน ให้กลายเป็นตัวเฝ้าระวังความถูกต้องครบถ้วนของเส้นทางตรวจสอบอย่างต่อเนื่อง

ระหว่างการตรวจประเมิน การตรวจสอบความถูกต้องของไฟล์บันทึกจะมอบหลักฐานเข้ารหัสว่าการตรวจสอบมีความครบถ้วนและไม่ถูกแก้ไข ซึ่งตอบสนองข้อกำหนดของกรอบมาตรฐานอย่าง PCI DSS และ SOC 2 การสามารถเรียกใช้ validate-logs และแสดงผลลัพธ์ที่สะอาดได้ คือหลักฐานที่เป็นรูปธรรมว่าข้อมูลการตรวจติดตามของคุณเชื่อถือได้ในฐานะบันทึกเหตุการณ์

ทดสอบความรู้เกี่ยวกับการตรวจสอบความถูกต้อง

การตรวจสอบความถูกต้องของไฟล์บันทึก CloudTrailพิสูจน์ว่าบันทึกไม่ถูกดัดแปลงหลังการส่ง ไฟล์สรุปค่าแฮชรายชั่วโมงเก็บค่าแฮช SHA-256 ของบันทึก มีลายเซ็น และเชื่อมต่อกับไฟล์สรุปค่าแฮชก่อนหน้า จึงตรวจจับไฟล์ที่หายไปได้ ตรวจสอบด้วย validate-logs ความสามารถนี้เป็นการควบคุมแบบตรวจจับ ดังนั้นจึงควรใช้ร่วมกับพื้นที่จัดเก็บที่ไม่เปลี่ยนแปลงได้เพื่อป้องกันการลบ เปิดใช้กับทุกเส้นทางบันทึกและตรวจสอบเป็นประจำ