Günlük Depolama Kovalarını Güvenceye Alma

CloudTrail, Config ve Akış Günlükleri verileri nihai olarak S3 kovalarında depolar. Bu kova, denetim izinizin taç mücevheridir ve en güçlü korumaları hak eder. Kova güvenliyse, bir saldırgan bir iş yükünü ele geçirse bile yaptıklarına ilişkin kanıtlara ulaşamaz.

İlk kontrol, günlük kovasının internete hiçbir zaman açığa çıkmamasını sağlayan S3 Block Public Access özelliğidir. Herkesin okuyabildiği bir günlük kovası, hassas operasyonel ayrıntıları herkese sızdırır. Hesap ve kova düzeyinde Block Public Access'i etkinleştirmek bu riski kesin biçimde ortadan kaldırır.

Sıkı bir kova ilkesi, yalnızca günlük hizmetinin yazmasına ve yalnızca belirli güvenlik rollerinin okumasına izin vermeli, diğer herkesi reddetmelidir. Ayrıca tüm sorumlular için s3:DeleteObject eylemini reddederek günlüklerin normal API çağrılarıyla kaldırılmasını önleyebilirsiniz; bu, gelişigüzel kurcalamaya karşı güçlü bir temel oluşturur.

S3 Object Lock, write-once-read-many (WORM) depolamayı uygular ve nesneleri belirli bir süre boyunca gerçekten değiştirilemez hale getirir. Bir hesap yöneticisi bile saklama süresi dolmadan kilitli bir nesneyi silemez veya üzerine yazamaz. Bu, bir saldırganın veya içeriden birinin günlükleri silmesine karşı en güçlü savunmadır.

Object Lock'un iki modu vardır. Governance mode modunda özel izne sahip kullanıcılar kilidi geçersiz kılabilir. Compliance mode modunda ise süresi dolana kadar kök kullanıcı dahil hiç kimse nesneyi silemez veya saklama süresini kısaltamaz. Düzenlemeye tabi denetim günlükleri için Compliance mode en güçlü güvenceyi sağlar.

Object Lock, bir nesnenin her sürümünü koruyan sürümlemeyi gerektirir. Sürümleme tek başına da yardımcı olur: saldırgan bir nesnenin üzerine yazarsa önceki sürüm kalır. Sürümlemeyi DeleteObjectVersion eylemini reddetmeyle birleştirmek, geçmişi yok etmeyi tek bir güncel nesneyi silmekten çok daha zor hale getirir.

MFA Delete, nesne sürümlerini kalıcı olarak silmek veya sürümleme durumunu değiştirmek için çok faktörlü kimlik doğrulaması gerektirir. Günlük kovasındaki yok edici eylemlerin önüne insan denetimli, donanım destekli bir engel koyar; böylece ele geçirilmiş bir kimlik bilgisi bile MFA cihazı olmadan sürümleri sessizce temizleyemez.

Bekleyen günlük verilerini KMS ile şifreleyin; ideal olarak ilkesi kimlerin şifre çözebileceğini sınırlayan müşteri tarafından yönetilen bir anahtar kullanın. Günlükler kullanıcı adları ve IP'ler gibi hassas ayrıntılar içerebildiğinden bu işlem gizliliği korur. KMS ayrıca her şifre çözme işlemi için bir denetim kaydı oluşturarak günlükleri kimlerin okuduğuna ilişkin görünürlüğü artırır.

Kimin eriştiğini görebilmek için S3 sunucu erişim günlüğünü etkinleştirin veya günlük kovasında CloudTrail veri olaylarını kullanın. Beklenmeyen okumalar ya da silme girişimleri için alarm üretin. Günlük kovasının kendisini izlemek, kanıtlarınıza yönelik bir saldırının ironik biçimde kaydedilmesini de sağlar.

Tek bir ayar yeterli değildir. Block Public Access, silmeyi reddeden bir kova ilkesi, Compliance mode'da Object Lock, sürümleme, MFA Delete ve KMS şifrelemesi birlikte kovayı silmeye, değiştirmeye ve açığa çıkarmaya karşı dirençli hale getirir. Amaç derinlemesine savunmadır: her katman diğerlerinin açıklarını kapatır.

Uygun biçimde kilitlenmiş bir günlük kovası değiştirilemez, özeldir, şifrelenmiştir ve izlenir. Kurcalama algılama için CloudTrail günlük dosyası doğrulamasıyla birleştirildiğinde kanıtlarınızın hem varlığını sürdürmesini hem de bütünlüğünün kanıtlanabilir kalmasını sağlar. Kova düzeyindeki bu sıkılaştırma, günlükleri korumaya ilişkin sınav senaryolarının tam olarak beklediği yaklaşımdır.

Kova güvenliği sağlamlaştırma bilginizi test edin.

Günlük kovalarını katmanlı denetimlerle sağlamlaştırın: Genel Erişimi Engelle, silmeyi reddeden bir kova politikası, S3 Nesne Kilidi (Uyumluluk modu aşılamaz, Yönetişim modu geçersiz kılınabilir), sürüm oluşturma, MFA Silme ve gizlilik için KMS şifrelemesi. Erişimi S3 erişim günlükleri veya CloudTrail veri olaylarıyla izleyin. Bunlar birlikte günlükleri değiştirilemez, gizli ve izlenebilir hâle getirir.