Yönetici Oturumlarını Denetleme ve Günlüğe Kaydetme

Yönetici erişimi vermek işin yalnızca yarısıdır; ayrıca yöneticilerin ne yaptığını kaydetmeniz gerekir. Session Manager zengin kayıt olanağı sağlayarak her komutun ve oturumun hesabının sorulabilmesini mümkün kılar. SCS-C02 sınavı, komut düzeyindeki kayıtları merkezileştirmenin zor olduğu SSH'ye kıyasla bu denetlenebilirliği temel bir avantaj olarak vurgular.

Session Manager kaydı iki katmandan oluşur: kimlerin oturum başlattığını ve durdurduğunu kaydeden, CloudTrail tarafından yakalanan API düzeyi kayıtlar ile gerçek tuş vuruşlarını ve çıktıyı kaydeden, CloudWatch Logs veya S3'e gönderilen oturum içeriği kayıtları. Birlikte hem "kim bağlandı" hem de "ne yaptılar" sorularını yanıtlar.

CloudTrail, StartSession ve TerminateSession API çağrılarını kaydeder; hangi IAM kimliğinin hangi bulut sunucusuna ne zaman bağlandığını gösterir. Bunlar yönetim olayları olduğundan, iz kaydınızda otomatik olarak görünür ve incelemeler için güvenilir, üzerinde oynama yapıldığı anlaşılabilen bir yönetici erişimi kaydı sağlar.

Bir oturum içindeki komutları ve çıktıyı yakalamak için Session Manager tercihlerinde oturum günlüğe kaydını etkinleştirerek kayıtların bir S3 bucket'ına veya bir CloudWatch Logs grubuna yönlendirilmesini sağlayabilirsiniz. Böylece bir operatörün yazdığı her tuş ve döndürülen her sonuç saklanır; bu, oturumun video kaydına en yakın yöntemdir.

Oturum günlükleri kanıt niteliğindedir; bu nedenle değiştirilmeye dayanıklı olmaları gerekir. Bunları, tercihen ayrı bir günlük hesabında, özel ve sıkı şekilde kilitlenmiş bir S3 bucket'ında; şifreleme ve kısıtlayıcı politikalar kullanarak saklayın. Böylece kötü niyetli olsa bile bir yöneticinin kendi oturumuna ait kaydı silmesi engellenir.

Hem canlı oturum verileri hem de saklanan günlükler için KMS şifrelemesi zorunlu tutulabilir. Şifrelemeyi zorunlu kılmak, oturum içeriğinin beklemede ve aktarım sırasında korunmasını sağlar; uyumluluk gerekliliklerini karşılar ve hassas komutların veya çıktıların hiçbir zaman düz metin olarak açığa çıkmamasını güvence altına alır.

Etkileşimli oturumların yanı sıra SSM Run Command, aynı anda birçok bulut sunucusunda komut çalıştırır ve bu işlem de tamamen denetlenir. Her çağrı; komutu kimin çalıştırdığı, hangi hedeflerde çalıştırıldığı ve çıktının ne olduğu bilgileriyle günlüğe kaydedilir. Böylece tüm filo genelindeki yönetim işlemleri bile tek bir oturumla aynı hesap verebilirliği taşır.

Bir oturum başladığında, özellikle hassas bulut sunucularında, gerçek zamanlı uyarılar almak için oturum olaylarını EventBridge ve SNS ile bağlayabilirsiniz. Birinin üretim veritabanı sunucusuna bağlandığı anda gönderilen bildirim, güvenlik ekibinizin ayrıcalıklı erişimi olaydan sonra değil, gerçekleştiği sırada izlemesini sağlar.

olay müdahalesini, uyumluluğu ve caydırıcılığı destekler. Her işlemin kaydedildiğini bilmek kötüye kullanımı caydırır; bir olay gerçekleştiğinde ise incelemeyi yapanlar, bir operatörün tam olarak ne yaptığını yeniden oynatabilir. Uçtan uca bu hesap verebilirlik, sınavın anahtar tabanlı SSH yerine Session Manager'ı tercih etmesinin belirleyici nedenlerinden biridir.

Oturumları, bir oturumu belirli işlemlerle sınırlayan SSM belgelerini kullanarak ve belirli roller için etkileşimli kabukları devre dışı bırakarak daha da sıkılaştırabilirsiniz. Günlük kaydıyla birlikte bu yaklaşım, yetkili bir operatörün bile onaylanmış faaliyetlerle sınırlı kalmasını sağlar; böylece ele geçirilmiş bir hesabın yapabilecekleri daralırken her işlem kaydedilmeye devam eder.

Session Manager denetimi, StartSession/TerminateSession API olayları için CloudTrail'i, S3'e veya CloudWatch Logs'a gönderilen oturum içeriği günlüğü ile birleştirir ve isteğe bağlı olarak KMS ile şifrelenebilir. Günlükleri sıkı şekilde kilitlenmiş ayrı bir hesapta koruyun, Run Command'ı da aynı şekilde denetleyin ve ayrıcalıklı erişim için gerçek zamanlı uyarıları EventBridge/SNS ile kullanın.

Oturum denetimini test edin.

Session Manager denetiminin iki katmanı vardır: CloudTrail, StartSession/TerminateSession API olaylarını kaydeder; oturum içeriği günlüğü ise tuş vuruşlarını ve çıktıyı S3'e veya CloudWatch Logs'a gönderir ve isteğe bağlı olarak KMS ile şifrelenebilir. Günlükleri ayrı ve sıkı şekilde kilitlenmiş bir hesapta koruyun, Run Command'ı da denetleyin ve EventBridge/SNS aracılığıyla gerçek zamanlı uyarılar gönderin.