Nutzung des Root-Kontos erkennen

Der Root-Benutzer ist die Identität des Kontoinhabers, die beim Eröffnen eines AWS-Kontos erstellt wird, und verfügt über uneingeschränkten Zugriff auf jede Aktion und Ressource. Er kann durch IAM-Richtlinien oder SCPs nicht eingeschränkt werden. Aufgrund dieser weitreichenden Berechtigungen ist jede Verwendung des Root-Benutzers ein sicherheitsrelevantes Ereignis mit hoher Aussagekraft, über das sofort alarmiert werden sollte.

Gemäß den AWS-Empfehlungen sollte der Root-Benutzer nur für die wenigen Aufgaben verwendet werden, die ihn erfordern, und danach nicht mehr. Sie sollten MFA für den Root-Benutzer aktivieren, seine Zugriffsschlüssel vollständig entfernen und für die tägliche Arbeit IAM-Identitäten oder Benutzer im Identity Center erstellen. Nach dieser Absicherung sollte legitime Root-Aktivität selten und geplant sein.

Da sich der Root-Benutzer fast nie anmelden sollte, ist eine unerwartete Root-Anmeldung ein starkes Indiz für eine Kompromittierung oder einen Richtlinienverstoß. Ihre Erkennung gehört zu den zentralen Überwachungskontrollen des CIS Benchmark und ist ein häufiges Prüfungsszenario: Die erwartete Antwort ist ein von CloudTrail gespeister Metrikfilter mit Alarm, nicht eine manuelle Überprüfung.

Die Erkennung verwendet drei Komponenten, die Sie bereits kennen: CloudTrail zeichnet Anmelde- und API-Ereignisse auf, CloudWatch Logs empfängt diese Ereignisse, wenn CloudTrail für die Zustellung an eine Log-Gruppe konfiguriert ist, und ein Metrikfilter mit Alarm wandelt Root-Ereignisse in eine sofortige Benachrichtigung um. Jede Komponente muss vorhanden sein, damit die Kette funktioniert.

In einem CloudTrail-Ereignis entspricht das Feld userIdentity.type dem Wert Root, wenn der Root-Benutzer die Aktion ausführt. Ein Metrikfilter kann dieses Feld abgleichen. Um störende Meldungen durch routinemäßige automatisierte Ereignisse zu vermeiden, schließen Filter häufig zusätzlich AWS-Serviceereignisse aus, sodass nur echte Aktionen eines Menschen mit Root-Berechtigungen den Alarm auslösen.

CloudTrail schreibt standardmäßig in S3, nicht in CloudWatch Logs. Damit Alarme nahezu in Echtzeit ausgelöst werden können, müssen Sie den Trail so konfigurieren, dass er zusätzlich Ereignisse an eine CloudWatch-Logs-Gruppe übermittelt. Dafür ist eine IAM-Rolle erforderlich, die CloudTrail das Schreiben in die Log-Gruppe erlaubt. Ohne diesen Übermittlungsschritt gibt es für den Metrikfilter nichts abzugleichen.

Erstellen Sie für die CloudTrail-Log-Gruppe einen Metrikfilter mit einem Muster, das userIdentity.type = Root abgleicht. Ordnen Sie jede Übereinstimmung einer Metrik wie RootAccountUsageCount mit dem Wert eins zu. Nun erhöht jede Root-Aktion eine Metrik, die Sie überwachen können, und wandelt so ein verborgenes JSON-Feld in ein messbares Signal um.

Verknüpfen Sie einen CloudWatch-Alarm mit der Metrik und legen Sie einen Schwellenwert von eins über einen einzigen kurzen Zeitraum fest, damit er bereits beim ersten Root-Ereignis ausgelöst wird. Verweisen Sie mit dem Alarm auf ein SNS-Topic, das Ihr Sicherheitsteam abonniert hat. Das Ergebnis ist eine nahezu sofortige Benachrichtigung, sobald Root verwendet wird.

In einer Organisation verfügt jedes Mitgliedskonto über einen eigenen Root-Benutzer. Ein Organisations-Trail kann CloudTrail über alle Konten hinweg zentralisieren, und Sie können die Erkennung einmal für die zentrale Log-Gruppe erstellen. So wird sichergestellt, dass keine Root-Aktivität eines Mitgliedskontos unbeobachtet bleibt – eine wichtige Anforderung an die Governance.

Wenn der Alarm ausgelöst wird, behandeln Sie ihn so lange als Sicherheitsvorfall, bis das Gegenteil bewiesen ist. Stellen Sie fest, ob die Aktivität geplant und autorisiert war. Falls nicht, sichern Sie das Konto: Ändern Sie das Root-Passwort, überprüfen Sie, ob MFA weiterhin aktiviert ist, prüfen Sie die letzten Root-Aktionen in CloudTrail und suchen Sie nach neuen IAM-Identitäten oder Schlüsseln, die ein Angreifer erstellt haben könnte.

Die Erkennung der Root-Nutzung verbindet CloudTrail, CloudWatch Logs, Metrikfilter, Alarme und SNS in einer realistischen Sicherheitskontrolle. Rechnen Sie mit Fragen, bei denen die falschen Antworten eine manuelle Überprüfung, IAM-Richtlinien für Root oder SCPs vorschlagen. Die richtige Antwort ist immer eine automatisierte Erkennung mit sofortiger Benachrichtigung, da Root nicht eingeschränkt, sondern nur überwacht werden kann.

Testen Sie das Muster zur Erkennung der Root-Nutzung.

Der Root-Benutzer ist uneingeschränkt und sollte mit MFA und ohne Zugriffsschlüssel sicher verwahrt werden. Jede Verwendung ist ein Ereignis mit hoher Aussagekraft. Erkennen Sie sie, indem Sie CloudTrail an CloudWatch Logs übermitteln, einen Metrikfilter für userIdentity.type = Root hinzufügen und einen CloudWatch-Alarm an ein SNS-Topic senden. In Organisationen zentralisiert ein Organisations-Trail diese Erkennung über alle Konten hinweg.