01Amaç ve kapsam
Hesabın denetim düzlemi kaydını ve etkilenen kaynakların durumunu, dosyaların AWS tarafından teslim edildikten sonra değiştirilmediğini gösterecek biçimde korumak.
Bir veya daha çok AWS hesabı, kullanılan tüm Bölgeler; erişim anahtarı kötüye kullanımı, S3 klasörünün açığa çıkması, beklenmeyen sunucular. Bir sunucunun bellek ve disk incelemesi anlık görüntüden sonra SOP-04 ve SOP-06'ya göre yapılır.
02Ön koşullar
- Hesap kimliklerini, Bölgeleri ve dönemi belirten yazılı yetki.
- İnceleyici için müdahale ekibinin rollerinden ayrı, kendi API çağrıları CloudTrail'de ayırt edilebilen, yalnızca okuma yetkili bir rol.
03Adımlar
Neyin kaydedildiğini çıkarın
İzleri ve olay veri depolarını, Bölgelerini, yönetim olaylarının yanında veri olaylarını (S3 nesne okumaları) kaydedip kaydetmediklerini ve günlük dosyası doğrulamasının açık olup olmadığını listeleyin. Olay geçmişi tek başına Bölge başına 90 günlük yönetim olayını tutar, S3 nesne okumalarını tutmaz.
KayıtBölge başına kayıt haritası
Kullanılan her Bölge için olay geçmişini dışa aktarın
Bölge başına --start-time ve --end-time UTC olarak aws cloudtrail lookup-events; konsolun varsayılan olarak süzdüğü salt okunur olayları dahil edin. Sızan AccessKeyId'yi öznitelik olarak arayın.
KayıtKomut, Bölge, dönem, sayı, SHA-256
İz dosyalarını kopyalayın ve doğrulayın
Dönemin iz günlüğü ve özet dosyalarını başka bir hesaptaki kanıt klasörüne kopyalayın. İz ve dönem için aws cloudtrail validate-logs çalıştırın: her dosyanın SHA-256 değerini imzalı özet dosyalarına karşı denetler ve değiştirilmiş ya da silinmiş dosyaları bildirir.
KayıtKopyayla birlikte saklanan validate-logs çıktısı
İlkeleri ve yapılandırmayı bulunduğu hâliyle yakalayın
Etkilenen klasörlerin klasör ilkesi, ACL'leri ve Block Public Access ayarları; IAM kimlik bilgisi raporu; ilgili kullanıcılar, roller ve anahtarlar ile oluşturulma ve son kullanım zamanları. Düzeltme bunların hepsini değiştirecektir.
KayıtYakalama zamanıyla JSON dışa aktarımları
Etkinse S3 sunucu erişim günlüklerini toplayın
CloudTrail yönetim olaylarının kaydetmediği nesne okumalarını kaydederler. AWS bunları en iyi çaba esasıyla teslim eder; eksik bir satır, isteğin gerçekleşmediğinin kanıtı değildir.
KayıtGünlük ön eki, dönem, nesne sayısı, arşivin SHA-256 değeri
Değişiklikten önce etkilenen birimlerin anlık görüntüsünü alın
İlgili sunucuların EBS anlık görüntülerini alın, vaka numarasıyla etiketleyin ve kanıt hesabıyla paylaşın. Anlık görüntü kimliklerini kaydedin; imaj çalışan sunucudan değil, anlık görüntüden alınır.
KayıtAnlık görüntü kimliği, kaynak birim, zaman
Boşlukları kaydedin
İzi olmayan Bölgeler, kaydedilmeyen veri olayları, iz oluşmadan önceki dönemler, erişim kaydı olmayan klasörler. Her boşluk raporun söyleyebileceklerini sınırlar.
KayıtBoşluk beyanı
04Üretilen kayıtlar
- Kayıt haritası ve boşluk beyanı
- SHA-256 ve validate-logs çıktısıyla dışa aktarımlar ve kopyalar
- Anlık görüntü kaydı
05Tuzaklar
- Sızan bir anahtarı devre dışı bırakmak acildir, ancak silmek onu kimlik bilgisi raporundan kaldırır; devre dışı bırakın, kaydedin ve sonra silin.
- CloudTrail olay zamanları UTC'dir; S3 erişim günlüğü zamanları satır içinde kendi farkını taşır. Okumadan ortak bir esas varsaymayın.
- Olay geçmişi konsol görünümünde salt okunur olayları varsayılan olarak dışarıda bırakır; varsayılan süzgeçle yapılan bir dışa aktarım eksiktir.