केंद्रीकृत लॉग संग्रह खाते

लॉग की सबसे मजबूत सुरक्षा तब मिलती है जब लॉग को संग्रहण के लिए समर्पित किसी अलग AWS खाते में रखा जाता है, जो वर्कलोड चलाने वाले खातों से पृथक हो। यदि कोई हमलावर प्रोडक्शन खाते पर कब्ज़ा कर ले, तब भी वह उस खाते में रखे लॉग तक पहुँच नहीं सकता या उन्हें हटा नहीं सकता जिसे वह नियंत्रित नहीं करता। यह पृथक्करण परिपक्व सुरक्षा आर्किटेक्चर की आधारशिला है।

बहु-खाता संगठन में एक समर्पित लॉग संग्रह खाता अन्य सभी खातों से लॉग प्राप्त करता है। AWS Control Tower अपने लैंडिंग ज़ोन में डिफ़ॉल्ट रूप से ठीक ऐसा ही खाता बनाता है, जिससे पता चलता है कि AWS इस प्रणाली की कितनी दृढ़ता से अनुशंसा करता है। यहाँ लॉग को केंद्रीकृत करने से सभी ऑडिट साक्ष्यों के लिए एक सुरक्षित स्थान मिल जाता है।

CloudTrail में मौजूद संगठन ट्रेल संगठन के सभी खातों के इवेंट कैप्चर करता है और उन्हें एक ही बकेट में पहुँचाता है, जो आम तौर पर लॉग संग्रह खाते में होती है। सदस्य खाते संगठन ट्रेल को बंद या संशोधित नहीं कर सकते, इसलिए पूरी तरह से समझौता किए गए सदस्य खाते में भी इवेंट का केंद्रीय रूप से रिकॉर्ड होना बंद नहीं किया जा सकता।

लॉगिंग सेवाओं को केंद्रीय बकेट में लिखने की अनुमति बकेट नीति के माध्यम से देकर लॉग को खातों के बीच पहुँचाया जाता है। वर्कलोड खाते लॉग लिख सकते हैं, लेकिन उन्हें पढ़ या हटा नहीं सकते, क्योंकि पढ़ने और हटाने की अनुमतियाँ केवल संग्रह खाते की सुरक्षा भूमिकाओं के पास होती हैं। इससे कार्यों का पृथक्करण स्पष्ट रूप से लागू होता है।

बहुत कम प्रिंसिपल को लॉग संग्रह खाते तक पहुँच मिलनी चाहिए और आदर्श रूप से इनमें से कोई भी वर्कलोड का प्रशासन करने वाले लोगों के समान नहीं होना चाहिए। पहुँच एक छोटी सुरक्षा या ऑडिट टीम तक सीमित रखी जाती है, अक्सर कड़े दायरे वाली खातों के बीच की भूमिकाओं के माध्यम से। संग्रह को छू सकने वाले लोगों की संख्या घटाने से साक्ष्य के साथ छेड़छाड़ की संभावना कम होती है।

संगठन स्तर पर Service Control Policies (SCPs) सभी सदस्य खातों में cloudtrail:StopLogging, cloudtrail:DeleteTrail और लॉग बकेट को हटाने जैसी कार्रवाइयों से इनकार कर सकती हैं। SCPs खाते के प्रशासकों सहित सभी के लिए अनुमतियों की ऊपरी सीमा तय करती हैं, इसलिए वे सदस्य खाते में किसी को भी लॉगिंग बंद करने से रोकती हैं, चाहे उनके पास कितनी भी IAM अनुमतियाँ क्यों न हों।

केंद्रीय बकेट में पिछले पाठ की सभी व्यवस्थाएँ शामिल होनी चाहिए: Compliance मोड में Object Lock, वर्ज़निंग, KMS एन्क्रिप्शन और हटाने से इनकार करने वाली नीति। सभी लॉग को एक ही स्थान पर रखना तभी सुरक्षित है जब वह स्थान अपरिवर्तनीय और कड़े नियंत्रण में हो, इसलिए संग्रह खाता उपलब्ध सबसे मजबूत बकेट सुरक्षा लागू करता है।

CloudTrail के अतिरिक्त, आप Config, VPC Flow Logs और एप्लिकेशन लॉग को भी अक्सर खातों के बीच वितरण या प्रतिकृति के माध्यम से संग्रह खाते में केंद्रीकृत कर सकते हैं। सभी प्रकार के लॉग के लिए एक सुरक्षित संग्रह रखना अवधारण, निगरानी और जाँच को सरल बनाता है तथा हर स्रोत को हमलावर की पहुँच से दूर रखता है।

सुरक्षा टीमें संग्रह खाते या समर्पित सुरक्षा टूलिंग खाते से Athena का उपयोग करके केंद्रीकृत लॉग पर क्वेरी चलाती हैं। सभी खातों के लॉग एक साथ होने के कारण एक ही क्वेरी पूरे संगठन में खोज कर सकती है, जिससे संगठन-व्यापी जाँच और खतरे की खोज हर खाते को अलग-अलग जाँचने की तुलना में कहीं अधिक प्रभावी हो जाती है।

केंद्रीकरण से लचीलापन और अवधारण में भी सहायता मिलती है: जीवनचक्र नियम पुराने होते लॉग को Glacier जैसे सस्ते संग्रहण में ले जाते हैं, जबकि Object Lock अपरिवर्तनीयता बनाए रखता है; साथ ही, खातों के बीच क्षेत्रीय प्रतिकृति क्षेत्रीय क्षति से सुरक्षा दे सकती है। संग्रह एक टिकाऊ, लंबे समय तक सुरक्षित और छेड़छाड़-रोधी रिकॉर्ड बन जाता है, जो कड़े अनुपालन संबंधी अवधारण आवश्यकताओं को भी पूरा करता है।

केंद्रीकृत और अपरिवर्तनीय लॉग संग्रह खाता, जिसे संगठन ट्रेल से लॉग मिलते हों, SCPs से सुरक्षित किया गया हो और Object Lock से लॉक किया गया हो, लॉग की अखंडता के लिए सर्वोत्तम मानक है। यह सुनिश्चित करता है कि वर्कलोड खाते में हमलावर चाहे कुछ भी करे, उसके कार्यों का सत्य ऐसे स्थान पर सुरक्षित रहे जहाँ वह कभी पहुँच नहीं सकता।

समर्पित लॉग संग्रह खाता साक्ष्य को वर्कलोड खातों से अलग रखता है। संगठन ट्रेल CloudTrail को अपनी बकेट में केंद्रीकृत करता है, जिसे सदस्य खाते बंद नहीं कर सकते। खातों के बीच की बकेट नीतियाँ खातों को लॉग लिखने देती हैं, लेकिन हटाने नहीं देतीं; SCPs पूरे संगठन में StopLogging/DeleteTrail से इनकार करती हैं; और Object Lock के साथ एन्क्रिप्शन संग्रहण को अपरिवर्तनीय बनाते हैं। परिणामस्वरूप लॉग अवधारण छेड़छाड़-रोधी, क्वेरी के लिए तैयार और अनुपालन-अनुकूल रहती है।