Günlüklerle Oynamanın Neden Tehdit Olduğu

Güvenlik günlükleri, ortamınızda neler olduğunun kanıtıdır. Tespit, araştırma ve uyumluluk çalışmalarının temelini oluştururlar. Bir saldırgan bunları değiştirebilir veya silebilirse ne olduğunu bilme yeteneğinizi kaybedersiniz ve denetim iziniz değersiz hâle gelir. Bu nedenle günlük bütünlüğünü korumak, gerçeğin kendisini korumaktır.

Sofistike saldırganlar adli izleri gizleme yöntemlerine başvurur: izlerini etkin biçimde örtbas ederler. Erişim elde ettikten sonra günlüğe kaydetmeyi devre dışı bırakmaya, günlük dosyalarını silmeye veya izleri durdurarak sonraki eylemlerinin kaydedilmemesini sağlamaya çalışırlar. Fark edilmeyen bir saldırgan çok daha tehlikeli olduğundan, bu çabaları etkisiz kılmak olaylara hazırlığın temel bir parçasıdır.

Yaygın yöntemlerden biri, StopLogging veya DeleteTrail kullanarak bir CloudTrail izini durdurmak ya da silmektir. Günlüğe kaydetme durduğunda sonraki eylemler hiçbir denetim kaydı bırakmaz. Bu çağrıları algılamak ve engellemek ya da çağrıların kendilerinin başka bir yerde günlüğe kaydedilmesini sağlamak, izin güvenilirliğini korumak için zorunludur.

Günlüğe kaydetme açık olsa bile saldırgan, günlük dosyalarının depolandığı S3 kovasından günlük dosyalarını silmeye çalışabilir. Kova korunmuyorsa nesnelerin kaldırılması geçmişi yok eder. Bu nedenle günlük depolama kovasını güvenceye almak, baştan günlüğe kaydetmeyi etkinleştirmek kadar önemlidir.

Saldırgan, silmenin ötesinde, belirli eylemleri gizlemek veya suçu başka birine atmak için günlük içeriğini değiştirmeye çalışabilir. Değiştirilmiş günlükler, araştırmacıları aktif olarak yanılttıkları için tartışmasız biçimde eksik günlüklerden daha kötüdür. Bu nedenle yalnızca silmeyi önlemek değil, kurcalamayı algılamak da ayrı ve önemli bir hedeftir.

Günlükleri korumak üç fikre dayanır: bütünlük (günlüklerin değiştirilmediğini kanıtlama), erişilebilirlik (silinebilmelerini engelleme) ve gizlilik (yetkisiz okumayı önleme). AWS her biri için özel özellikler sunar. Eksiksiz bir strateji yalnızca birine odaklanmak yerine üçünü de ele alır.

Temel bir ilke görevlerin ayrılığıdır: iş yüklerini işleten kişiler ve hesaplar, bu iş yüklerine ilişkin günlükleri denetlememelidir. Bir saldırgan bir iş yükü hesabını ele geçirirse bu durum ona kanıtları silme gücü vermemelidir. Özel günlük hesaplarının tasarlanmasının nedeni budur.

Kurcalama girişimleri başlı başına yüksek değerli göstergelerdir. StopLogging, DeleteTrail veya UpdateTrail gibi CloudTrail olaylarına uygulanan bir metrik filtresi ve alarmı, biri günlük yapılandırmanıza dokunduğu anda sizi uyarır. Çoğu zaman gizlenme girişimi, bir saldırının sürdüğünün en açık işaretidir.

PCI DSS ve HIPAA gibi çerçeveler, denetim günlüklerinin değiştirilmekten korunmasını ve saklama sürelerinin güvence altına alınmasını açıkça zorunlu kılar. Kurcalamayı belli eden ve saklanan günlükler yalnızca iyi bir uygulama değil, aynı zamanda bir uyumluluk zorunluluğudur. Denetçiler, günlüklerinizin güvenilir ve eksiksiz olduğunu kanıtlayan kontrolleri arar.

İnceleyeceğiniz savunmaların her biri (günlük dosyası doğrulama, sıkı biçimde kilitlenmiş ve değiştirilemez kovalar ve merkezi arşiv hesapları) belirli bir kurcalama tekniğine karşı koyar. Önce tehdidi anlamak, her kontrolün neden var olduğunu ve saldırganın kolayca aşamayacağı katmanlı bir savunma oluşturmak üzere bunların nasıl birleştiğini açıklığa kavuşturur.

Günlük bütünlüğü, algılama, adli inceleme ve yönetişimin kesişiminde yer aldığı için sınavlarda tekrar tekrar ele alınır. Günlüklerin bir ihlalden sonra da varlığını sürdürmesini sağlamanın amaçlandığı senaryolar bekleyin. Doğru yanıtlar değiştirilemezlik, doğrulama ve yalıtım üzerinde durur; tek bir hesabın kendi kendisini denetlemesine güvenmez.

Tehdide ilişkin anlayışınızı sınayın.

Günlükler kanıttır ve saldırganlar izleri durdurmak, dosyaları silmek veya kayıtları değiştirmek için adli izleri gizleme yöntemlerini kullanır. Bütünlüğü, erişilebilirliği ve gizliliği koruyun; iş yükü hesaplarının kendi günlüklerini silememesi için görevlerin ayrılığını zorunlu kılın ve StopLogging gibi olaylarda alarm üretin. Uyumluluk çerçeveleri, kurcalamayı belli eden ve saklanan günlükleri zorunlu kılar; bu kursun geri kalanı bunların nasıl sağlanacağını gösterir.