การล็อกบักเก็ตจัดเก็บบันทึกให้ปลอดภัย

CloudTrail, Config และบันทึกโฟลว์จะจัดเก็บข้อมูลไว้ในบัคเก็ต S3ในท้ายที่สุด บัคเก็ตนั้นคือทรัพย์สินล้ำค่าที่สุดของเส้นทางตรวจสอบ จึงสมควรได้รับการป้องกันที่เข้มงวดที่สุด หากบัคเก็ตปลอดภัย ผู้โจมตีที่เจาะเวิร์กโหลดได้ก็ยังไม่สามารถเข้าถึงหลักฐานการกระทำของตนเอง

การควบคุมแรกคือการบล็อกการเข้าถึงแบบสาธารณะของ S3 เพื่อให้แน่ใจว่าบัคเก็ตบันทึกจะไม่ถูกเปิดเผยต่ออินเทอร์เน็ต บัคเก็ตบันทึกที่ทุกคนอ่านได้จะเปิดเผยรายละเอียดการปฏิบัติงานที่ละเอียดอ่อนแก่บุคคลใด ๆ การเปิดใช้การบล็อกการเข้าถึงแบบสาธารณะทั้งในระดับบัญชีและบัคเก็ตจะปิดความเสี่ยงนี้ได้อย่างเด็ดขาด

นโยบายบัคเก็ตที่รัดกุมควรอนุญาตให้เฉพาะบริการบันทึกเขียนข้อมูล และอนุญาตให้อ่านได้เฉพาะบทบาทด้านความปลอดภัยที่ระบุไว้ พร้อมปฏิเสธบุคคลอื่นทั้งหมด นอกจากนี้ คุณยังสามารถปฏิเสธ s3:DeleteObject สำหรับ Principal ทั้งหมดได้ เพื่อไม่ให้ลบบันทึกผ่านการเรียกใช้ API ตามปกติ ซึ่งเป็นมาตรการพื้นฐานที่แข็งแกร่งต่อการดัดแปลงโดยง่าย

การล็อกออบเจ็กต์ S3บังคับใช้พื้นที่จัดเก็บแบบเขียนครั้งเดียวอ่านหลายครั้ง (WORM) ทำให้ออบเจ็กต์ไม่สามารถเปลี่ยนแปลงได้อย่างแท้จริงตามระยะเวลาที่กำหนด แม้แต่ผู้ดูแลบัญชีก็ไม่สามารถลบหรือเขียนทับออบเจ็กต์ที่ล็อกไว้ก่อนสิ้นสุดระยะเวลาเก็บรักษา นี่คือแนวป้องกันที่แข็งแกร่งที่สุดต่อผู้โจมตีหรือบุคคลภายในที่พยายามลบบันทึก

การล็อกออบเจ็กต์มีสองโหมด ในโหมดการกำกับดูแล ผู้ใช้ที่มีสิทธิ์พิเศษสามารถแทนที่การล็อกได้ ในโหมดการปฏิบัติตาม ไม่มีใคร แม้แต่ผู้ใช้ราก ก็สามารถลบหรือลดระยะเวลาเก็บรักษาได้จนกว่าจะหมดอายุ สำหรับบันทึกการตรวจสอบที่อยู่ภายใต้ข้อกำกับ โหมดการปฏิบัติตามให้หลักประกันที่แข็งแกร่งที่สุด

การล็อกออบเจ็กต์ต้องใช้การจัดการรุ่น ซึ่งเก็บออบเจ็กต์ไว้ทุกรุ่น การจัดการรุ่นเพียงอย่างเดียวก็ช่วยได้เช่นกัน หากผู้โจมตีเขียนทับออบเจ็กต์ รุ่นก่อนหน้าจะยังคงอยู่ เมื่อใช้ร่วมกับการปฏิเสธ DeleteObjectVersion การจัดการรุ่นจะทำให้การทำลายประวัติทำได้ยากกว่าการลบออบเจ็กต์ปัจจุบันเพียงรายการเดียวมาก

การลบด้วย MFAกำหนดให้ต้องยืนยันตัวตนหลายปัจจัยเมื่อต้องการลบรุ่นของออบเจ็กต์อย่างถาวรหรือเปลี่ยนสถานะการจัดการรุ่น มาตรการนี้เพิ่มด่านตรวจที่ต้องอาศัยบุคคลและอุปกรณ์ฮาร์ดแวร์ก่อนการกระทำที่ทำลายข้อมูลในบัคเก็ตบันทึก ดังนั้นแม้ข้อมูลประจำตัวจะถูกเจาะ ก็ยังไม่สามารถล้างรุ่นต่าง ๆ อย่างเงียบ ๆ ได้หากไม่มีอุปกรณ์ MFA

เข้ารหัสข้อมูลบันทึกขณะจัดเก็บด้วย KMS โดยควรใช้คีย์ที่ลูกค้าจัดการเองและมีนโยบายจำกัดผู้ที่สามารถถอดรหัสได้ วิธีนี้ปกป้องการรักษาความลับ เนื่องจากบันทึกมักมีรายละเอียดที่ละเอียดอ่อน เช่น ชื่อผู้ใช้และที่อยู่ IP นอกจากนี้ KMS ยังสร้างบันทึกการตรวจสอบทุกครั้งที่มีการถอดรหัส ทำให้เห็นได้ชัดเจนยิ่งขึ้นว่าใครเป็นผู้อ่านบันทึก

เปิดใช้การบันทึกการเข้าถึงเซิร์ฟเวอร์ของ S3 หรือใช้เหตุการณ์ข้อมูลของ CloudTrail กับบัคเก็ตบันทึก เพื่อให้คุณเห็นว่าใครเข้าถึงบัคเก็ต ตั้งการแจ้งเตือนเมื่อมีการอ่านที่ไม่คาดคิดหรือความพยายามลบใด ๆ การตรวจติดตามบัคเก็ตบันทึกเองทำให้การโจมตีหลักฐานของคุณถูกบันทึกไว้ด้วย ซึ่งนับเป็นเรื่องย้อนแย้งอย่างหนึ่ง

การตั้งค่าเพียงรายการเดียวไม่เพียงพอ การบล็อกการเข้าถึงแบบสาธารณะ นโยบายบัคเก็ตที่ปฏิเสธการลบ การล็อกออบเจ็กต์ในโหมดการปฏิบัติตาม การจัดการรุ่น การลบด้วย MFA และการเข้ารหัสด้วย KMSเมื่อทำงานร่วมกันจะทำให้บัคเก็ตทนต่อการลบ การแก้ไข และการเปิดเผย เป้าหมายคือการป้องกันเชิงลึก โดยแต่ละชั้นจะอุดช่องโหว่ของอีกชั้นหนึ่ง

บัคเก็ตบันทึกที่ล็อกอย่างเหมาะสมจะไม่เปลี่ยนแปลง เป็นส่วนตัว เข้ารหัส และมีการตรวจติดตาม เมื่อใช้ร่วมกับการตรวจสอบความถูกต้องของไฟล์บันทึก CloudTrail เพื่อตรวจจับการดัดแปลง ก็จะทำให้หลักฐานของคุณทั้งคงอยู่และพิสูจน์ได้ว่ายังคงสมบูรณ์ การเสริมความแข็งแกร่งในระดับบัคเก็ตนี้คือสิ่งที่สถานการณ์ในการสอบเกี่ยวกับการปกป้องบันทึกคาดหวังอย่างแท้จริง

ทดสอบความรู้เกี่ยวกับการเสริมความปลอดภัยให้บักเก็ตของคุณ

เสริมความปลอดภัยให้บักเก็ตจัดเก็บบันทึกด้วยการควบคุมหลายชั้น ได้แก่ Block Public Access นโยบายบักเก็ตที่ ปฏิเสธการลบ S3 Object Lock (โหมด Compliance ไม่สามารถฝ่าฝืนได้ ส่วน Governance สามารถถูกแทนที่ได้) การกำหนดเวอร์ชัน MFA Delete และ การเข้ารหัส KMS เพื่อรักษาความลับ ตรวจสอบการเข้าถึงด้วย การบันทึกการเข้าถึง S3 หรือเหตุการณ์ข้อมูลของ CloudTrail เมื่อใช้ร่วมกัน สิ่งเหล่านี้ทำให้บันทึกไม่สามารถเปลี่ยนแปลงได้ เป็นส่วนตัว และได้รับการตรวจสอบ