日志篡改为何构成威胁

安全日志是您环境中所发生事情的证据。它们支撑着检测、调查和合规工作。如果攻击者能够修改或删除日志，您就无法确认发生过什么，审计轨迹也会失去价值。因此，保护日志完整性就是保护事实本身。

老练的攻击者会实施反取证：主动掩盖自己的踪迹。获得访问权限后，他们会尝试禁用日志记录、删除日志文件，或停止跟踪记录，使后续行为无法被记录。挫败这些行为是事件准备工作的核心部分，因为未被发现的攻击者会危险得多。

一种常见手段是使用 StopLogging 或 DeleteTrail 来停止或删除 CloudTrail 跟踪记录。日志记录一旦停止，后续操作就不会留下审计记录。检测并阻止这些调用，或确保这些调用本身会在其他位置被记录，对于保持跟踪记录的可信度至关重要。

即使日志记录处于启用状态，攻击者也可能尝试删除存储日志的 S3 存储桶中的日志文件。如果存储桶未受到保护，删除对象就会抹去历史记录。因此，保护日志存储桶与最初启用日志记录同样重要。

除了删除之外，攻击者还可能尝试篡改日志内容，以隐藏特定操作或嫁祸于人。被修改的日志可以说比缺失的日志更糟糕，因为它们会主动误导调查人员。因此，检测篡改，而不仅仅是防止删除，是一个独立且重要的目标。

保护日志建立在三个理念之上：完整性（证明日志未被篡改）、可用性（确保日志无法被删除）和机密性（防止未经授权的读取）。AWS 为每一项都提供了专门的功能。完整的策略应同时覆盖这三点，而不是只关注其中一项。

一个关键原则是职责分离：负责运行工作负载的人员和账户，不应控制记录这些工作负载活动的日志。如果攻击者攻陷了某个工作负载账户，他们不应因此获得删除证据的权限。这一原则促成了专用日志账户的设计。

篡改尝试本身就是高价值信号。针对 CloudTrail 事件（例如 StopLogging、DeleteTrail 或 UpdateTrail）设置指标筛选器和告警，便可在有人触碰日志配置的瞬间收到提醒。很多时候，试图隐藏行为本身就是攻击正在进行的最明确迹象。

PCI DSS 和 HIPAA 等框架明确要求保护审计日志，防止其被修改，并确保日志得到保留。具备篡改可检测性的留存日志不仅是良好实践，更是合规要求。审计人员会查找相关控制措施，以证明您的日志可信且完整。

您将学习的防御措施包括日志文件验证、严格锁定且不可变的存储桶，以及集中式归档账户；它们分别应对特定的篡改手段。先理解威胁，就能清楚地看出每项控制措施存在的原因，以及它们如何组合成攻击者难以轻易突破的分层防御。

日志完整性是考试中反复出现的主题，因为它处于检测、取证和治理的交汇处。请预期会遇到这样的场景：目标是确保日志在系统遭到入侵后仍然保留。正确答案应围绕不可变性、验证和隔离展开，而绝不能依赖单一账户自我监管。

测试您对这一威胁的理解。

日志就是证据，攻击者会利用反取证来禁用跟踪记录、删除文件或篡改记录。请保护完整性、可用性和机密性，实施职责分离，确保工作负载账户无法删除自己的日志，并针对 StopLogging 等事件设置告警。合规框架要求日志具备篡改可检测性并得到留存，本课程后续内容将介绍如何实现这些要求。