Le plan d'audit est une cible, pas une contrainte. Avant des actions bruyantes, ou pour en effacer la trace après coup, les services de journalisation et de détection du compte sont arrêtés, restreints, détournés ou supprimés. AWS centralise cela dans quatre services : CloudTrail enregistre les appels d'API, Config enregistre l'état des ressources, GuardDuty note le comportement à la recherche de menaces, et CloudWatch détient les logs, les métriques et les alarmes qui alertent un répondant. Dégrader l'un d'eux élargit ce qui peut être fait sans être vu.
Les manœuvres les plus discrètes sont sélectives (restreindre les event selectors d'un trail, archiver une catégorie de findings) plutôt que destructrices (supprimer le trail), parce que les appels d'arrêt et de suppression sont eux-mêmes enregistrés : ils ne sont donc propres que s'ils atterrissent avant que l'enregistrement n'atteigne un endroit que vous ne contrôlez pas.
Ce qui est regroupé ici#
- CloudTrail : arrêter, supprimer et détourner les trails, et supprimer les événements de management et de données.
- GuardDuty : désactiver les détecteurs et auto-archiver les findings, et rester dans les angles morts des analyses.
- Config : arrêter les configuration recorders et supprimer les règles et delivery channels.
- CloudWatch : supprimer les log groups, metric filters et alarmes, et désactiver les actions d'alarme.
- Services de sécurité : désactiver Macie, Security Hub, Detective et Inspector, la couche de posture et d'agrégation des findings.