Comptes d'archivage centralisé des journaux

La protection la plus efficace consiste à stocker les journaux dans un compte AWS séparé, dédié à l'archivage et isolé des comptes qui exécutent les charges de travail. Si un attaquant compromet un compte de production, il ne peut toujours pas accéder aux journaux stockés dans un compte qu'il ne contrôle pas, ni les supprimer. Cette isolation est une pierre angulaire d'une architecture de sécurité mature.

Dans une organisation composée de plusieurs comptes, un compte Log Archive dédié reçoit les journaux de tous les autres comptes. AWS Control Tower crée exactement ce compte par défaut dans sa zone d'atterrissage, ce qui reflète l'importance qu'AWS accorde à ce modèle. La centralisation des journaux à cet endroit offre un emplacement protégé unique pour toutes les preuves d'audit.

Un journal de l'organisation dans CloudTrail capture les événements de tous les comptes de l'organisation et les transmet à un compartiment unique, généralement situé dans le compte Log Archive. Les comptes membres ne peuvent ni désactiver ni modifier le journal de l'organisation. Ainsi, même un compte membre entièrement compromis ne peut pas empêcher l'enregistrement centralisé de ses événements.

Les journaux sont transmis entre comptes en accordant aux services de journalisation un accès en écriture au compartiment central au moyen d'une politique de compartiment. Les comptes qui exécutent les charges de travail peuvent écrire les journaux, mais ne peuvent ni les lire ni les supprimer, car les autorisations de lecture et de suppression sont réservées aux rôles de sécurité du compte d'archivage. Cette configuration applique clairement la séparation des responsabilités.

Très peu de principaux devraient accéder au compte Log Archive et, idéalement, aucun ne devrait être composé des mêmes personnes que celles qui administrent les charges de travail. L'accès est limité à une petite équipe de sécurité ou d'audit, souvent au moyen de rôles entre comptes dont la portée est strictement définie. Réduire le nombre de personnes pouvant accéder à l'archive diminue le risque de compromission des preuves.

Les politiques de contrôle des services (SCP) au niveau de l'organisation peuvent refuser des actions telles que cloudtrail:StopLogging, cloudtrail:DeleteTrail et la suppression du compartiment de journaux dans tous les comptes membres. Comme les SCP plafonnent les autorisations, même pour les administrateurs de compte, elles empêchent toute personne d'un compte membre de désactiver la journalisation, quelles que soient ses autorisations IAM.

Le compartiment central doit regrouper tous les éléments de la leçon précédente : Object Lock en mode Compliance, la gestion des versions, le chiffrement KMS et une politique qui refuse la suppression. Regrouper tous les journaux au même endroit n'est sûr que si cet endroit est immuable et soumis à un contrôle strict. Le compte d'archivage applique donc le renforcement de compartiment le plus rigoureux disponible.

En plus de CloudTrail, vous pouvez également centraliser Config, les journaux de flux VPC et les journaux des applications dans le compte d'archivage, souvent par transmission ou réplication entre comptes. Une archive unique et protégée pour tous les types de journaux simplifie la conservation, la surveillance et les investigations, tout en gardant chaque source hors de portée des attaquants.

Les équipes de sécurité interrogent les journaux centralisés avec Athena depuis le compte d'archivage ou depuis un compte dédié aux outils de sécurité. Comme les journaux de tous les comptes sont regroupés, une seule requête peut effectuer une recherche dans toute l'organisation, ce qui rend les investigations et la recherche de menaces à l'échelle de l'organisation bien plus efficaces que la vérification séparée de chaque compte.

La centralisation favorise également la résilience et la conservation : les règles de cycle de vie déplacent les journaux anciens vers un stockage moins coûteux comme Glacier, tandis qu'Object Lock préserve leur immuabilité, et la réplication entre régions peut protéger contre la perte d'une région. L'archive devient un enregistrement durable, conservé à long terme et inviolable, qui satisfait même les exigences strictes de conservation liées à la conformité.

Un compte Log Archive centralisé et immuable, alimenté par un journal de l'organisation, protégé par des SCP et verrouillé avec Object Lock, représente la référence absolue en matière d'intégrité des journaux. Il garantit que, quoi que fasse un attaquant dans un compte de charge de travail, la trace fidèle de ses actions subsiste dans un emplacement auquel il ne pourra jamais accéder.

Testez vos connaissances sur la journalisation centralisée.

Un compte Log Archive dédié isole les preuves des comptes de charges de travail. Un journal de l'organisation centralise CloudTrail dans son compartiment, que les comptes membres ne peuvent pas désactiver. Les politiques de compartiment entre comptes permettent aux comptes d'écrire, mais pas de supprimer. Les SCP refusent StopLogging/DeleteTrail dans toute l'organisation, tandis qu'Object Lock et le chiffrement rendent le stockage immuable. Le résultat : une conservation des journaux inviolable, prête à être interrogée et conforme aux exigences.