Organisationsspor på tværs af konti

Store organisationer bruger dusinvis eller hundredvis af AWS-konti. Det er besværligt og fejlbehæftet at konfigurere CloudTrail separat i hver konto, og én konto, der bliver overset, skaber en blind vinkel.

En organisationstrail løser dette ved at logge aktivitet på tværs af alle konti i din AWS Organization fra ét sted.

En organisationstrail oprettes i administrationskontoen eller i en delegeret administratorkonto for AWS Organizations og anvendes automatisk på alle medlemskonti.

Hændelser fra alle konti sendes til én central trail og S3-bucket, så du får fuldstændig og ensartet dækning uden opsætning for hver konto.

Den vigtigste fordel er en enkelt sandhedskilde. Al API-aktivitet i organisationen lander i én bucket, ofte i en dedikeret logarkivkonto.

Undersøgere forespørger ét sted for at se aktivitet overalt, og der er ingen risiko for, at en konto mangler en trail uden at det bliver opdaget.

Bedste praksis er at placere den centrale trails S3-bucket i en separat, låst logarkivkonto, som kun få personer har adgang til.

Ved at isolere loggene her kan en angriber, der kompromitterer en arbejdsbelastningskonto, stadig ikke få adgang til eller slette revisionsloggen — det er en grundsten i manipulationsresistent logning.

En vigtig sikkerhedsegenskab er, at medlemskonti ikke kan deaktivere eller ændre den organisationstrail, der er anvendt på dem.

Det er kun administrationskontoen eller den delegerede administratorkonto, der styrer den. En kompromitteret eller useriøs medlemskonto kan derfor ikke stoppe logningen af sin egen aktivitet. Det garanterer ensartet dækning.

Du kan delegere administrationen af trailen til en dedikeret sikkerhedskonto i stedet for at bruge administrationskontoen direkte.

Det følger princippet om mindst mulige privilegier for den meget kraftfulde administrationskonto og lader dit sikkerhedsteam eje logningen uden at have organisationens mest følsomme adgang på rodniveau.

Den centrale S3-bucket skal have en politik, der tillader CloudTrail fra alle medlemskonti at skrive til den.

AWS konfigurerer dette automatisk for organisationstrails, begrænser skrivninger efter konto og tilføjer de betingelser, der holder bucketen sikker, samtidig med at den stadig modtager logge fra hele organisationen.

En organisationstrail passer naturligt sammen med GuardDuty, Security Hub og Config på organisationsniveau, som alle administreres fra den samme delegerede sikkerhedskonto.

Tilsammen danner de en centraliseret model for sikkerhedsdrift: registrering, revision og konfigurationssporing samlet på tværs af alle konti i én ensartet visning.

Kryptér den centrale trail-bucket med en KMS-nøgle, hvis politik er stramt kontrolleret i logarkivkontoen.

Det beskytter revisionsdataene, når de er gemt, og tilføjer endnu en barriere: Selv med adgang til bucketen kan en angriber ikke læse loggene uden nøglen. Kombiner kryptering med Object Lock for både fortrolighed og uforanderlighed.

En stærk egenskab ved organisationstrails er, at nye medlemskonti automatisk logges, så snart de slutter sig til organisationen.

Der er ingen risiko for at glemme at konfigurere CloudTrail på en nyoprettet konto. Dækningen skalerer med organisationen og fjerner de blinde vinkler, der ofte opstår ved administration af trails konto for konto.

Én organisationstrail er mere omkostningseffektiv og pålidelig end mange individuelle trails. Den første kopi af administrationshændelser er normalt gratis, også på tværs af konti.

Du får fuld dækning med én konfiguration — færre komponenter, ingen huller og mindre driftsarbejde end ved administration af trails konto for konto.

En organisationstrail oprettes i administrationskontoen eller den delegerede administratorkonto for AWS Organizations og logger automatisk alle medlemskonti til én central bucket — helst i en låst logarkivkonto. Medlemskonti kan ikke deaktivere den, hvilket garanterer manipulationsresistent dækning uden huller. Delegér administrationen til en sikkerhedskonto for at følge princippet om mindst mulige privilegier, kombinér den med GuardDuty og Config på organisationsniveau, og opnå fuld dækning billigere end med mange separate trails.