Detección del uso de la cuenta raíz

El usuario root es la identidad propietaria de la cuenta que se crea al abrir una cuenta de AWS y tiene acceso sin restricciones a todas las acciones y recursos. No se puede limitar mediante políticas de IAM ni SCP. Debido a este nivel de privilegios, cualquier uso del usuario root es un evento de seguridad de alta relevancia que merece una alerta inmediata.

La orientación de AWS es usar el usuario root únicamente para las pocas tareas que lo requieren y no volver a utilizarlo después. Debe habilitar MFA para root, eliminar por completo sus claves de acceso y crear identidades de IAM o usuarios de Identity Center para el trabajo diario. Una vez bloqueado, la actividad legítima de root debería ser poco frecuente y estar planificada.

Dado que root casi nunca debería iniciar sesión, un inicio de sesión inesperado de root es un indicador sólido de compromiso o incumplimiento de las políticas. Detectarlo es uno de los controles de supervisión canónicos de CIS Benchmark y un escenario frecuente del examen: la respuesta esperada es un filtro de métricas y una alarma alimentados por CloudTrail, no una revisión manual.

La detección utiliza tres componentes que ya conoce: CloudTrail registra los eventos de inicio de sesión y de API, CloudWatch Logs recibe esos eventos cuando CloudTrail está configurado para entregarlos a un grupo de registros, y un filtro de métricas más una alarma convierte los eventos de root en una notificación instantánea. Cada componente debe estar configurado para que la cadena funcione.

En un evento de CloudTrail, el campo userIdentity.type es igual a Root cuando el usuario root realiza la acción. Un filtro de métricas puede buscar este campo. Para evitar el ruido de los eventos automatizados rutinarios, los filtros suelen excluir también los eventos de servicios de AWS, de modo que solo las acciones humanas reales de root activen la alerta.

De forma predeterminada, CloudTrail escribe en S3, no en CloudWatch Logs. Para activar alarmas casi en tiempo real, debe configurar el trail para que también entregue eventos a un grupo de registros de CloudWatch Logs. Esto requiere un rol de IAM que permita a CloudTrail escribir en el grupo de registros. Sin este paso de entrega, el filtro de métricas no tendrá nada que buscar.

Cree un filtro de métricas en el grupo de registros de CloudTrail con un patrón que coincida con userIdentity.type = Root. Asigne cada coincidencia a una métrica como RootAccountUsageCount con un valor de uno. Ahora cada acción de root incrementará una métrica que puede supervisar, convirtiendo un campo JSON oculto en una señal medible.

Asocie una alarma de CloudWatch a la métrica con un umbral de uno durante un único periodo corto, para que se active con el primer evento de root. Dirija la alarma a un tema de SNS al que esté suscrito su equipo de seguridad. El resultado es un aviso casi instantáneo en el momento en que se utiliza root.

En una organización, cada cuenta miembro tiene su propio usuario root. Un organization trail puede centralizar CloudTrail en todas las cuentas, y usted puede crear la detección una sola vez en el grupo de registros central. Esto garantiza que la actividad de root de ninguna cuenta miembro quede sin supervisión, un requisito clave de gobernanza.

Cuando se active la alarma, trate el evento como un incidente hasta demostrar lo contrario. Confirme si la actividad correspondía a una tarea planificada y autorizada. Si no es así, proteja la cuenta: cambie la contraseña de root, verifique que MFA siga intacto, revise las acciones recientes de root en CloudTrail y compruebe si existen nuevas identidades o claves de IAM que el atacante pudiera haber creado.

La detección del uso de root conecta CloudTrail, CloudWatch Logs, los filtros de métricas, las alarmas y SNS en un único control realista. Espere preguntas cuyas respuestas incorrectas sugieran una revisión manual, políticas de IAM aplicadas a root o SCP. La respuesta correcta siempre es detección automatizada más notificación inmediata, porque root no se puede restringir, solo supervisar.

Compruebe el patrón de detección del uso de root.

El usuario root no tiene restricciones y debe mantenerse bloqueado, con MFA y sin claves de acceso. Cualquier uso es un evento de alta relevancia. Detectelo entregando CloudTrail a CloudWatch Logs, añadiendo un filtro de métricas para userIdentity.type = Root y activando una alarma de CloudWatch que notifique a un tema de SNS. En las organizaciones, un organization trail centraliza esta detección en todas las cuentas.