Zentrale Konten für Protokollarchive

Der stärkste Schutz für Logs besteht darin, sie in einem separaten AWS-Konto zu speichern, das ausschließlich für die Archivierung vorgesehen und von den Konten isoliert ist, in denen Workloads ausgeführt werden. Wenn ein Angreifer ein Produktionskonto kompromittiert, kann er die Logs in einem Konto, das er nicht kontrolliert, trotzdem weder erreichen noch löschen. Diese Isolation ist ein Grundpfeiler einer ausgereiften Sicherheitsarchitektur.

In einer Organisation mit mehreren Konten empfängt ein dediziertes Log-Archivkonto Logs aus allen anderen Konten. AWS Control Tower erstellt standardmäßig genau dieses Konto in seiner Landing Zone. Das zeigt, wie nachdrücklich AWS dieses Muster empfiehlt. Die Zentralisierung der Logs bietet hier einen einzigen geschützten Speicherort für sämtliche Prüfungsnachweise.

Ein Organisationstrail in CloudTrail erfasst Ereignisse aus allen Konten der Organisation und stellt sie einem einzelnen Bucket zu, der sich typischerweise im Log-Archivkonto befindet. Mitgliedskonten können den Organisationstrail weder deaktivieren noch ändern. Selbst ein vollständig kompromittiertes Mitgliedskonto kann daher nicht verhindern, dass seine Ereignisse zentral aufgezeichnet werden.

Logs werden kontenübergreifend zugestellt, indem den Protokollierungsdiensten über eine Bucket-Richtlinie Schreibzugriff auf den zentralen Bucket gewährt wird. Die Workload-Konten können Logs schreiben, sie aber weder lesen noch löschen, da Lese- und Löschberechtigungen ausschließlich bei Sicherheitsrollen im Archivkonto liegen. Dadurch wird die Aufgabentrennung klar durchgesetzt.

Nur sehr wenige Principals sollten auf das Log-Archivkonto zugreifen können. Idealerweise handelt es sich dabei um andere Personen als diejenigen, die die Workloads verwalten. Der Zugriff ist auf ein kleines Sicherheits- oder Auditteam beschränkt, häufig über streng begrenzte kontenübergreifende Rollen. Je weniger Personen auf das Archiv zugreifen können, desto geringer ist die Wahrscheinlichkeit, dass die Beweise kompromittiert werden.

Service Control Policies (SCPs) auf Organisationsebene können Aktionen wie cloudtrail:StopLogging, cloudtrail:DeleteTrail und das Löschen des Log-Buckets in allen Mitgliedskonten ablehnen. Da SCPs die Berechtigungen selbst von Kontoadministratoren begrenzen, verhindern sie, dass jemand in einem Mitgliedskonto die Protokollierung deaktiviert – unabhängig von seinen IAM-Berechtigungen.

Der zentrale Bucket sollte alle Elemente aus der vorherigen Lektion kombinieren: Object Lock im Compliance-Modus, Versionierung, KMS-Verschlüsselung und eine Richtlinie zum Verhindern des Löschens. Die Konzentration aller Logs an einem Ort ist nur dann sicher, wenn dieser Ort unveränderbar und streng kontrolliert ist. Daher wendet das Archivkonto die stärksten verfügbaren Maßnahmen zur Bucket-Absicherung an.

Neben CloudTrail können Sie auch Config, VPC Flow Logs und Anwendungslogs im Archivkonto zentralisieren, häufig über kontenübergreifende Zustellung oder Replikation. Ein einziges geschütztes Archiv für alle Logtypen vereinfacht Aufbewahrung, Überwachung und Untersuchungen und hält gleichzeitig jede Quelle außerhalb der Reichweite eines Angreifers.

Sicherheitsteams fragen die zentralisierten Logs mit Athena aus dem Archivkonto oder einem dedizierten Konto für Sicherheitstools ab. Da die Logs aller Konten zusammenliegen, kann eine einzige Abfrage die gesamte Organisation durchsuchen. Dadurch werden organisationsweite Untersuchungen und die Suche nach Bedrohungen wesentlich leistungsfähiger als bei der separaten Prüfung jedes Kontos.

Die Zentralisierung unterstützt auch Ausfallsicherheit und Aufbewahrung: Lifecycle-Regeln verschieben ältere Logs in kostengünstigeren Speicher wie Glacier, während Object Lock ihre Unveränderbarkeit bewahrt. Eine regionsübergreifende Replikation kann zusätzlich vor dem Verlust einer Region schützen. So wird das Archiv zu einem dauerhaften, langlebigen und manipulationssicheren Nachweis, der selbst strenge Anforderungen an die Aufbewahrung für Compliance erfüllt.

Ein zentralisiertes, unveränderbares Log-Archivkonto, das von einem Organisationstrail gespeist, durch SCPs geschützt und mit Object Lock gesperrt wird, gilt als Goldstandard für die Integrität von Logs. Es stellt sicher, dass die Wahrheit über die Handlungen eines Angreifers unabhängig davon, was er in einem Workload-Konto tut, an einem Ort erhalten bleibt, den er niemals erreichen kann.

Testen Sie Ihr Wissen über zentralisierte Protokollierung.

Ein dediziertes Log-Archivkonto isoliert Beweise von den Workload-Konten. Ein Organisationstrail zentralisiert CloudTrail in seinem Bucket, den Mitgliedskonten nicht deaktivieren können. Kontenübergreifende Bucket-Richtlinien erlauben Konten das Schreiben, aber nicht das Löschen. SCPs lehnen StopLogging/DeleteTrail organisationsweit ab, und Object Lock sowie Verschlüsselung machen den Speicher unveränderbar. Das Ergebnis ist eine manipulationssichere, abfragebereite und konforme Aufbewahrung von Logs.