Mendeteksi Penggunaan Akun Root

Pengguna Root adalah identitas pemilik akun yang dibuat saat akun AWS dibuka, dan memiliki akses tanpa batas ke setiap tindakan dan sumber daya. Aksesnya tidak dapat dibatasi oleh kebijakan IAM atau SCP. Karena kewenangan ini, setiap penggunaan pengguna Root merupakan peristiwa keamanan dengan sinyal kuat yang layak segera diberi peringatan.

Panduan AWS menyarankan agar pengguna Root hanya digunakan untuk sejumlah kecil tugas yang memang memerlukannya, lalu tidak digunakan lagi. Anda harus mengaktifkan MFA pada Root, menghapus seluruh kunci aksesnya, serta membuat identitas IAM atau pengguna Identity Center untuk pekerjaan sehari-hari. Setelah diamankan, aktivitas Root yang sah seharusnya jarang terjadi dan sudah direncanakan.

Karena Root hampir tidak pernah seharusnya login, login Root yang tidak terduga merupakan indikator kuat adanya penyusupan atau pelanggaran kebijakan. Mendeteksinya adalah salah satu kontrol pemantauan kanonis dalam Tolok Ukur CIS dan sering muncul dalam skenario ujian: jawaban yang diharapkan adalah filter metrik dan alarm yang bersumber dari CloudTrail, bukan pemeriksaan manual.

Deteksi ini menggunakan tiga komponen yang sudah Anda kenal: CloudTrail mencatat peristiwa login dan API, CloudWatch Logs menerima peristiwa tersebut ketika CloudTrail dikonfigurasi untuk mengirimkannya ke grup log, dan filter metrik beserta alarm mengubah peristiwa Root menjadi notifikasi seketika. Setiap komponen harus tersedia agar rangkaian ini dapat berfungsi.

Dalam peristiwa CloudTrail, kolom userIdentity.type bernilai Root ketika pengguna Root melakukan tindakan. Filter metrik dapat mencocokkan kolom ini. Untuk menghindari kebisingan dari peristiwa otomatis rutin, filter sering kali juga mengecualikan peristiwa layanan AWS agar hanya tindakan Root manusia yang sebenarnya yang memicu peringatan.

Secara bawaan, CloudTrail menulis ke S3, bukan ke CloudWatch Logs. Agar dapat membuat alarm hampir secara waktu nyata, Anda harus mengonfigurasi trail untuk juga mengirim peristiwa ke grup CloudWatch Logs. Hal ini memerlukan peran IAM yang mengizinkan CloudTrail menulis ke grup log tersebut. Tanpa langkah pengiriman ini, filter metrik tidak memiliki apa pun untuk dicocokkan.

Buat filter metrik pada grup log CloudTrail dengan pola yang mencocokkan userIdentity.type = Root. Petakan setiap kecocokan ke metrik seperti RootAccountUsageCount dengan nilai satu. Kini setiap tindakan Root menambah nilai metrik yang dapat Anda pantau, sehingga kolom JSON yang tersembunyi berubah menjadi sinyal terukur.

Pasang alarm CloudWatch pada metrik dengan ambang batas satu selama satu periode singkat agar alarm aktif pada peristiwa Root pertama. Arahkan alarm ke topik SNS yang memiliki langganan tim keamanan Anda. Hasilnya adalah peringatan yang hampir seketika saat Root digunakan.

Dalam suatu organisasi, setiap akun anggota memiliki pengguna Root sendiri. Trail organisasi dapat memusatkan CloudTrail dari semua akun, dan Anda dapat membuat deteksi sekali pada grup log pusat. Hal ini memastikan aktivitas Root dari akun anggota tidak luput tanpa pemantauan, yang merupakan persyaratan tata kelola penting.

Saat alarm aktif, perlakukan peristiwa tersebut sebagai insiden sampai terbukti sebaliknya. Pastikan apakah aktivitas itu merupakan tugas yang direncanakan dan disahkan. Jika bukan, amankan akun tersebut: ganti kata sandi Root, pastikan MFA tetap aktif, tinjau tindakan Root terbaru di CloudTrail, dan periksa identitas atau kunci IAM baru yang mungkin dibuat penyerang.

Mendeteksi penggunaan Root menghubungkan CloudTrail, CloudWatch Logs, filter metrik, alarm, dan SNS dalam satu kontrol yang realistis. Perkirakan pertanyaan dengan jawaban salah yang menyarankan pemeriksaan manual, kebijakan IAM pada Root, atau SCP. Jawaban yang benar selalu berupa deteksi otomatis disertai notifikasi segera, karena Root tidak dapat dibatasi, hanya dapat dipantau.

Pengguna Root tidak dibatasi dan harus diamankan dengan MFA serta tanpa kunci akses. Setiap penggunaannya merupakan peristiwa dengan sinyal kuat. Deteksi penggunaan tersebut dengan mengirimkan CloudTrail ke CloudWatch Logs, menambahkan filter metrik pada userIdentity.type = Root, dan memicu alarm CloudWatch ke topik SNS. Dalam organisasi, trail organisasi memusatkan deteksi ini di seluruh akun.