Muga askotan ikusgarritasuna da, ez erasotzailearen sofistikazioa
AWS gertakari bat berandu ikertzen denean, eztabaida askotan sartzearen aurrerapenari buruzkoa da. Ingurune askotan benetako muga sinpleagoa da: ez dago gertatutakoa berreraikitzeko telemetria nahikorik.
CloudTrail, VPC Flow Logs eta data events inperfektuak dira. Ez dute intentzioa agerian uzten ezta payload-ik atzematen. Haien balioa evidenziaren pieza independenteak gordetzea da, elkarrekin oinarrizko galderak erantzuten dituztenak: zein nortasunek jardun zuen, noiz, nondik, zein baliabidetan eta zein emaitzarekin.
Nola desagertzen den arrastoa
Kontu anitzeko inguruneetan, gertaera-bolumena azkar hazten da. Norbaitek biltegiratze-, indexazio- edo SIEM-kostua berrikusten du eta galdera saihestezina egiten du: behar al dugu hainbeste logging?
Optimizazioak zatika iristen dira:
- irakurketa-gertaerak «zarata» gisa baztertzen dira
- Flow Logs ekoizpenera mugatzen dira, edo baztertutako trafikoara bakarrik
- S3 data events bolumenagatik desgaitzen dira
- atxikipena 30 edo 90 egunera mozten da
Erabaki bakoitzak zentzuzkoa dirudi. Elkarrekin, konpromiso bat ulertzeko behar den testuingurua ken dezakete.
Ezagutza oraindik jarduera da
Kredentzial baliodunak lortu ondoren, erasotzaile batek ez du derrigor datuak ezabatzen hasten. Galderak egiten ditu. Enumeratzen du. Mapatzen du.
AWS API terminotan Get*, List* eta Describe* eragiketa legitimoak dira. Produktu-talde batentzat zarata izan daitezke. Erasotzaile batentzat mapa bat dira.
Irakurketa-telemetria segurtasun-pipeline-tik desagertzen bada, geroagoko ekintza bat (politika-aldaketa, adibidez) ikusgai izan daiteke oraindik. Galdu egiten dena istorioaren hasiera da: aurreko enumerazio-minutuak.
Alderantzizko eredua ere badago: irakurketak gorde eta idazketak iragazi. Esplorazioa ikusgai geratzen da… eta rolak, trust policy-ak edo security group-ak aldatzen diren unea osatugabea bihurtzen da.
Irakurketa- eta idazketa-gertaerek fase desberdinak deskribatzen dituzte. Bakarra hautatzea ez da «ikusgarritasun optimizatua»; itsutasun asimetrikoa da.
Zer gorde beharko luke logging arkitektura erabilgarri batek
Postura sendoa ez da «dena erregistratu irizpiderik gabe». Forentsiarako eta detekziorako merkeak eta erabilgarriak diren gutxieneko seinaleak definitzea da:
- CloudTrail management gertaerak, arriskuarekin lerrokatutako atxikipenarekin
- kontu eta eskualde garrantzitsuen estaldura, ez «nagusia» bakarrik
- Flow Logs sare-testuinguruak axola duen lekuetan
- balio handiko baliabideetan data events selektiboak
- log biltegiratzetik ikertzen dutenetara bide argia
Helburua ez da gertaera-museo bat. Evidenziarekin segurtasun- eta negozio-galderak erantzuteko gaitasuna da, axola duenean.
Nola lotzen den TechRebel-en lanarekin
AWS segurtasun eta behaketa engagement-etan premisa sinple batetik hasten gara: ikusgarritasuna arkitektura-erabakia da, ez gehigarri hautazkoa. Zer erregistratzen den, zer atxikitzen den eta zer berreraiki daitekeen ebaluatzen dugu kontrol gehigarriez hitz egin aurretik.
Zure AWS erakundeko logging eta detekzio-postura berrikusteko, bilera agendatu edo ikusi AWS & Cloud Security.