Bulut denetim günlükleri, bir bulut hesabında gerçekleşen her yönetimsel çağrıyı, kimin yaptığı, ne zaman yaptığı ve hangi kaynağı etkilediğiyle birlikte kaydeden servislerdir. AWS tarafında CloudTrail, Google Cloud’da Cloud Audit Logs, Azure’da Activity Log bu işlevi görür. Kaydettikleri şey uygulama trafiği değil, kontrol düzlemidir: bir kullanıcının rol oluşturması, bir bucket’ın herkese açık hale getirilmesi, bir anahtarın silinmesi gibi eylemler.

Bulutta bir saldırı çoğu zaman bir paketle değil, meşru bir API çağrısıyla başlar; denetim günlüğü o çağrının tek tanığıdır.

Ne Kaydeder?

Tipik bir denetim kaydı; olayı çağıran kimliği, kaynak IP adresini, kullanılan API metodunu, etkilenen kaynağın adını ve isteğin sonucunu içerir. Örneğin bir saldırgan çalınmış bir anahtarla yeni bir yönetici kullanıcı oluşturduğunda, bu eylem uygulama loglarında hiç görünmez ama denetim günlüğünde net bir satır bırakır. Bu yüzden bu kayıtlar, bulut ortamındaki Bulut günlük kaydı ve izleme pratiğinin omurgasını oluşturur.

Denetim günlükleri yönetim eylemlerini kapsar, ama veri düzlemi olayları çoğu bulutta ayrı ve isteğe bağlı olarak açılır. Bir S3 nesnesinin okunması ya da bir veri tabanı sorgusu, ek yapılandırma yapılmadıkça standart denetim kaydına düşmez. Bu ayrımı bilmek önemlidir, çünkü veri sızdırma araştırmasında yalnızca yönetim loglarına bakmak eksik bir tablo verir.

Tespit ve İzlemeyle İlişkisi

Ham denetim kayıtları tek başına gürültülüdür; değeri, bir korelasyon katmanına aktığında ortaya çıkar. Bu kayıtlar genellikle bir SIEM platformuna gönderilir ve orada kurallarla eşleştirilir. Kısa sürede çok sayıda başarısız yetkilendirme, alışılmadık bir bölgeden gelen yönetici işlemi ya da güvenlik yapılandırmasının aniden gevşetilmesi gibi desenler bu şekilde alarma dönüşür.

Aynı kayıtlar reaktif alarmların ötesinde, proaktif inceleme için de zemin sunar. Tehdit avcılığı ekipleri denetim günlüklerini tarayarak henüz kural yazılmamış davranış kalıplarını arar; örneğin nadiren kullanılan bir API’nin belirli bir kimlik tarafından çağrılması ya da bir servis hesabının beklenmedik kaynaklarla etkileşime girmesi bu tür sorgularla ortaya çıkar.

Bütünlük ve Saklama

Bir saldırganın ilk hedeflerinden biri izini kaybettirmektir, bu yüzden denetim günlüklerinin kapatılmaya veya silinmeye karşı korunması gerekir. Pratikte kayıtların değiştirilemez depolamaya yazılması, farklı bir hesaba çoğaltılması ve loglama servisinin kendisinin devre dışı bırakılmasının da bir alarm üretmesi beklenir. Saklama süresi ise adli ihtiyaca göre belirlenir; birçok olay ancak haftalar sonra fark edildiğinden çok kısa saklama, incelemeyi kör noktaya sürükler.

Bulut denetim günlükleri doğru toplandığında, olay anında geriye dönük tüm eylem zincirini yeniden kurabilmenin anahtarıdır. Privia Security bu kaynakları, mevcut tespit yeteneklerini bulut katmanına taşıyan bir SOC olgunlaştırma adımı olarak ele alır ve hangi olay türlerinin izlenmesi gerektiğini kurumun risk profiline göre önceliklendirir.