锁定日志存储桶

CloudTrail、Config 和 Flow Logs 最终都会将数据存储在 S3 存储桶中。该存储桶是审计跟踪记录中最重要的资产，因此值得采用最强的保护措施。如果存储桶安全，即使攻击者攻陷了某个工作负载，也无法获取其行为证据。

第一项控制措施是 S3 Block Public Access，确保日志存储桶永远不会暴露在互联网中。公开可读的日志存储桶会将敏感的运营细节泄露给任何人。在账户和存储桶级别启用 Block Public Access，可以彻底消除这一风险。

严格的存储桶策略应仅允许日志服务写入，并仅允许指定的安全角色读取，同时拒绝其他所有人。您还可以对所有主体拒绝 s3:DeleteObject，使日志无法通过常规 API 调用删除，从而为防范随意篡改提供强有力的基线保护。

S3 Object Lock 强制采用一次写入，多次读取（WORM）存储，使对象在指定期限内真正不可变。即使是账户管理员，也无法在保留期结束前删除或覆盖已锁定的对象。这是防止攻击者或内部人员删除日志的最强防御措施。

Object Lock 有两种模式。在治理模式下，拥有特殊权限的用户可以覆盖锁定。在合规模式下，任何人都不能在保留期结束前删除对象或缩短保留期限，即使是根用户也不例外。对于受监管的审计日志，合规模式提供最强的保证。

Object Lock 要求启用版本控制，以保留对象的每个版本。仅启用版本控制也有帮助：如果攻击者覆盖某个对象，其先前版本仍会保留。再结合拒绝 DeleteObjectVersion 的策略，版本控制会让销毁历史记录比删除单个当前对象困难得多。

MFA Delete 要求通过多重身份验证，才能永久删除对象版本或更改版本控制状态。它在对日志存储桶执行破坏性操作前增加了一道由人员和硬件共同保障的关卡，因此即使凭证遭到泄露，攻击者也无法在没有 MFA 设备的情况下悄无声息地清除版本。

使用 KMS 对静态存储的日志数据进行加密，最好使用客户管理的密钥，并通过密钥策略限制可以解密的人员。这样可以保护机密性，因为日志通常包含用户名和 IP 地址等敏感细节。KMS 还会记录每次解密的审计记录，从而让您了解谁读取了日志。

启用 S3 服务器访问日志，或对日志存储桶使用 CloudTrail 数据事件，以便查看谁访问了该存储桶。针对异常读取或任何删除尝试设置告警。监控日志存储桶本身，可以确保针对证据的攻击也会被记录下来，这颇具讽刺意味。

单个设置远远不够。Block Public Access、拒绝删除的存储桶策略、合规模式下的 Object Lock、版本控制、MFA Delete 以及 KMS 加密共同作用，使存储桶能够抵御删除、修改和暴露。我们的目标是纵深防御：每一层都弥补其他层的不足。

经过适当严格锁定的日志存储桶应当具备不可变、私有、加密和受监控等特性。再结合用于检测篡改的 CloudTrail 日志文件验证，它可以确保您的证据既能保留下来，又能被证明始终完整无损。这种存储桶级加固正是考试场景在保护日志方面所要求的做法。

测试您对存储桶加固的了解。

使用分层控制来加固日志存储桶：阻止公共访问、拒绝删除的存储桶策略、S3 对象锁定（合规模式不可突破，治理模式可被覆盖）、版本控制、MFA 删除，以及用于保障机密性的KMS 加密。使用S3 访问日志记录或 CloudTrail 数据事件监控访问。它们共同使日志不可变、保持私密并受到监控。