La sfida odierna legata ai registri di audit
Una delle principali difficoltà che i clienti incontrano con i log di audit è che questi non sono aggregati in un’unica posizione centrale che sia completamente immutabile. Le applicazioni SaaS, in particolare, tendono a conservare i propri log di audit all’interno dell’applicazione stessa, spesso con una cronologia che copre solo 90 giorni.
Ciò comporta la creazione di script complessi o l’esportazione periodica dei log da ciascuna applicazione per archiviarli in una posizione centralizzata, al fine di soddisfare gli obiettivi aziendali in materia di conformità e sicurezza.
Si tratta di un onere notevole per i reparti IT e, con centinaia di applicazioni da gestire in qualsiasi ambiente, spesso non è possibile portare a termine questo compito in modo completo.
Consolidamento dei registri di audit con AWS CloudTrail Lake
Con il lancio di CloudTrail Lake, AWS ha semplificato la gestione dei log di audit provenienti da fonti disparate. CloudTrail Lake è un data lake gestito dedicato alla sicurezza e all’audit che consente alle organizzazioni di aggregare, archiviare in modo immutabile ed eseguire query sugli eventi registrati da AWS CloudTrail.
Ciò è possibile in diverse regioni e su diversi account ed è supportato da una politica di conservazione predefinita di 7 anni, per aiutarti a soddisfare i requisiti di conformità.
I clienti possono importare e analizzare gli eventi in uno schema compatibile con AWS CloudTrail da Clumio, nonché da altre fonti di terze parti e non AWS, per ottimizzare le attività di audit, le indagini di sicurezza e la risoluzione dei problemi operativi.
Sicurezza dei dati semplificata con Clumio e AWS CloudTrail Lake
AWS e Clumio hanno collaborato per realizzare questa integrazione per CloudTrail Lake, che consente di semplificare e ottimizzare il processo di consolidamento dei dati relativi alle attività.
Grazie alla nuova API PutAuditEvents per AWS CloudTrail Lake, Clumio ha realizzato una semplice integrazione che consente di acquisire le informazioni relative alle attività degli utenti e gli eventi provenienti dal vostro ambiente Clumio, oltre che dai sistemi AWS che state proteggendo con Clumio.
Una volta abilitata l’integrazione, potrai registrare e archiviare le attività di audit relative a diverse categorie. Ciò ti consentirà di rispondere facilmente a numerose domande relative alla sicurezza e alla conformità in vari ambiti, quali:
- Autenticazione – Si è verificato un numero elevato di tentativi di accesso non riusciti alla console Clumio; ciò indica un tentativo di accesso con forza bruta o un problema con il provider di Single Sign-On?
- Gestione utenti – Quando è stato aggiunto un utente all’organizzazione di sviluppo in Clumio e quando gli è stato assegnato il ruolo di amministratore del backup?
- Backup – Quando è stata modificata accidentalmente una politica di backup? Questo ti aiuterà a determinare rapidamente quando una politica di backup è stata modificata o creata, per assicurarti di soddisfare sempre sia i requisiti di conformità a lungo termine sia di mantenere gli RPO (obiettivi di punto di ripristino) minimi richiesti.
- Ripristini – Qualcuno sta consultando la cronologia delle e-mail dell’amministratore delegato o sta cercando di recuperare informazioni relative alle buste paga da un backup di sistema? Questa attività viene monitorata anche se non è stato avviato alcun ripristino.
- Gruppi di protezione S3 – Quando è stato aggiunto un nuovo bucket S3 di produzione a un gruppo di protezione? Perché un bucket è stato rimosso?
Configurazione e architettura dei log di Clumio su AWS CloudTrail Lake
Per prima cosa, in Clumio, vai direttamente alla pagina “Audit Report”. Nell’angolo in alto a destra vedrai un link per configurare l’integrazione. Per configurare l’integrazione devi disporre del ruolo di Super Admin.
Integrazione con AWS CloudTrail
Nella schermata successiva vedrai un ID esterno univoco relativo alla tua integrazione con CloudTrail. Copia questo valore; provvederemo poi a configurare direttamente su AWS la fase successiva dell’integrazione.
Dopo aver effettuato l’accesso alla console AWS, vai su CloudTrail, dove troverai una nuova sezione “Integrazioni” sotto “Lake”. Fai clic sul pulsante “Aggiungi integrazione” per configurare l’integrazione con Clumio.
Dovrai innanzitutto assegnare un nome al canale che Clumio utilizzerà per inviare i dati dei log di audit, quindi selezionare Clumio come origine.
Successivamente, dovremo scegliere una destinazione a cui inviare i log di audit di Clumio e stabilire per quanto tempo si desidera ricevere tali log. È possibile utilizzare un archivio dati degli eventi esistente oppure crearne uno nuovo per questa integrazione.
Successivamente, configureremo la politica delle risorse, che fornirà a Clumio un metodo sicuro per inviare i dati del registro di audit attraverso il canale. È qui che incolleremo l’ID esterno che abbiamo copiato dall’interfaccia di Clumio.
Infine, aggiungi eventuali tag che desideri assegnare alla risorsa e seleziona “Aggiungi integrazione”.
L’integrazione è ora configurata; tuttavia, c’è ancora un ultimo passaggio da compiere. Dobbiamo copiare il valore ARN del canale e incollarlo in Clumio, in modo da poter completare la configurazione.
Dopo aver inserito il valore ARN del canale, fai clic su “Connetti a CloudTrail”
Verrà inviato un evento iniziale all’archivio dati di CloudTrail Lake, consentendoti di verificare la connettività. Da quel momento in poi, gli eventi di audit di Clumio verranno inviati regolarmente all’archivio dati di CloudTrail Lake.
Inoltre, potrai monitorare lo stato dell’integrazione in qualsiasi momento tramite il report “Registro di audit”.
Di seguito è riportato un elenco di tutte le categorie di eventi di audit che vengono inviati a CloudTrail nell’ambito di questa integrazione:
- Autenticazione
- Fonte dati
- Politica
- Protezione S3
- Ripristino
- Backup
- Utenti
- Unità organizzativa
- Configurazione KMS
- SSO/MFA
- Modello CloudFormation
