Analyse forensique à l’aide des journaux CloudTrail

Protéger votre infrastructure cloud de toute attaque est pratiquement impossible. En cas d’attaque de l’environnement cloud, il faut agir immédiatement pour déceler les indices laissés par l’attaquant. Ensuite, il faut effectuer une analyse forensique pour corréler les indices et identifier la cause de l’attaque.

Dans un environnement cloud, les journaux fournissent tous les indices nécessaires. Par exemple, CloudTrail enregistre chaque événement survenant dans la plateforme Amazon Web Services (AWS). Mais, l’analyse des journaux cloud exige un outil de gestion pour extraire un maximum de détails des journaux CloudTrail.

Cloud Security Plus pour la gestion des journaux AWS

Notre outil de gestion Cloud Security Plus permet de suivre étroitement tout l’environnement cloud. Il extrait les données des journaux CloudTrail AWS et d’accès aux serveurs S3, puis les analyse pour offrir un aperçu crucial de l’environnement AWS.

Il évite aussi le lourd processus de configuration qu’exige un outil de gestion des journaux pour commencer à extraire des données CloudTrail. Il intègre une fonction d’auto-configuration qui exécute toutes les étapes de la configuration AWS pour vous.

Rôle de Cloud Security Plus dans l’analyse forensique

Effectuer manuellement l’analyse forensique relève du défi. Mais, grâce à un système de stockage de journaux flexible et de recherche efficace, Cloud Security Plus change la donne.

• Conservez les journaux collectés aussi longtemps que nécessaire. Les journaux archivés sont une référence utile pour identifier les menaces.
• Explorez les données de journal pour extraire l’information voulue avec la recherche ultra-rapide de Cloud Security Plus. ( Merci Elasticsearch !)
• Identifiez l’auteur de l’attaque et examinez toute l’activité de cet utilisateur dans AWS.

Pour comprendre toute l’importance des journaux CloudTrail, prenons un exemple : un acteur international du cloud computing héberge ses applications critiques dans AWS. Les identifiants d’utilisateur racine, que l’on a omis de supprimer après la configuration initiale, sont tombés entre les mains d’un employé indélicat. Cet employé décide de semer le chaos en arrêtant tous les serveurs sur lesquels s’exécutent les applications de l’entreprise.

Dans ce cas, les rapports de Cloud Security Plus aident cette entreprise à trouver la cause de l’attaque. Le rapport sur les changements d’état d’instance EC2 récents en particulier fournit tous les détails requis sur l’arrêt des instances EC2. L’entreprise peut aussi obtenir le nom d’utilisateur de l’employé indélicat dans le journal correspondant à l’opération d’arrêt. L’onglet de recherche de Cloud Security Plus permet alors d’afficher une liste détaillée de toute l’activité de cet utilisateur dans AWS.