La restricció sovint és la visibilitat, no la sofisticació de l’atacant
Quan s’investiga tard un incident a AWS, el debat sol centrar-se en com d’avançada va ser la intrusió. En molts entorns la restricció real és més simple: no hi ha prou telemetria per reconstruir què va passar.
CloudTrail, VPC Flow Logs i data events són imperfectes. No revelen intenció ni capturen payloads. El seu valor és preservar peces independents d’evidència que, juntes, responen preguntes bàsiques: quina identitat va actuar, quan, des d’on, sobre quin recurs i amb quin resultat.
Com desapareix el rastre
En entorns multi-compte, el volum d’esdeveniments creix ràpid. Algú revisa el cost d’emmagatzematge, indexació o SIEM i formula la pregunta inevitable: cal tant de logging?
Les optimitzacions arriben a trossos:
- els esdeveniments de lectura es descarten com a «soroll»
- els Flow Logs es limiten a producció, o només al trànsit rebutjat
- els data events de S3 es desactiven pel volum
- la retenció es talla a 30 o 90 dies
Cada decisió pot semblar raonable. Juntes poden eliminar el context necessari per entendre un compromís.
La reconeixença encara és activitat
Després d’obtenir credencials vàlides, un atacant no necessàriament comença esborrant dades. Fa preguntes. Enumera. Mapeja.
En termes d’API d’AWS això són operacions legítimes Get*, List* i Describe*. Per a un equip de producte poden semblar soroll. Per a un atacant són un mapa.
Si la telemetria de lectura desapareix del pipeline de seguretat, una acció posterior com un canvi de política encara pot ser visible. El que es perd és el començament de la història: els minuts d’enumeració previs.
També existeix el patró invers: conservar lectures i filtrar escriptures. L’exploració roman visible… i el moment en què canvien rols, trust policies o security groups queda incomplet.
Lectura i escriptura descriuen fases diferents. Escollir-ne només una no és «visibilitat optimitzada»; és ceguesa asimètrica.
Què hauria de preservar una arquitectura de logging útil
Una postura sòlida no és «registrar-ho tot sense criteri». És definir senyals mínims assequibles i útils per a forense i detecció:
- esdeveniments de management de CloudTrail amb retenció alineada al risc
- cobertura de comptes i regions rellevants, no només de l’entorn «principal»
- Flow Logs on el context de xarxa importa
- data events selectius sobre recursos d’alt valor
- un camí clar des de l’emmagatzematge de logs fins a qui investiga
L’objectiu no és un museu d’esdeveniments. És la capacitat de respondre preguntes de seguretat i de negoci amb evidència quan importa.
Com connecta amb el treball de TechRebel
En engagements de seguretat AWS i observabilitat partim d’una premissa simple: la visibilitat és una decisió d’arquitectura, no un extra opcional. Avaluem què es registra, què es reté i què encara es pot reconstruir abans de parlar de controls addicionals.
Per revisar la postura de logging i detecció a la vostra organització AWS, agendeu una reunió o consulteu AWS & Cloud Security.