Trail Organisasi di Seluruh Akun

Organisasi besar menjalankan puluhan atau ratusan akun AWS. Mengonfigurasi CloudTrail secara terpisah di setiap akun melelahkan dan rawan kesalahan, sedangkan satu akun yang terlewat dapat menjadi titik buta.

Jejak organisasi mengatasi masalah ini dengan mencatat aktivitas di seluruh akun dalam Organisasi AWS dari satu tempat.

Jejak organisasi dibuat di akun pengelolaan atau akun administrator yang didelegasikan dalam Organisasi AWS, lalu secara otomatis diterapkan ke semua akun anggota.

Peristiwa dari setiap akun mengalir ke satu jejak dan bucket S3 terpusat, sehingga memberikan cakupan lengkap dan seragam tanpa penyiapan per akun.

Manfaat utamanya adalah satu sumber kebenaran. Semua aktivitas API di seluruh organisasi masuk ke satu bucket, yang sering kali berada dalam akun arsip log khusus.

Penyelidik cukup membuat kueri di satu lokasi untuk melihat aktivitas di mana pun, dan tidak ada risiko suatu akun diam-diam tidak memiliki jejak.

Praktik terbaik menempatkan bucket S3 untuk jejak terpusat di akun arsip log terpisah yang dikunci ketat dan hanya dapat diakses oleh sedikit orang.

Mengisolasi log di sini berarti penyerang yang menyusupi akun beban kerja tetap tidak dapat menjangkau atau menghapus jejak audit — hal yang menjadi dasar pencatatan tahan manipulasi.

Sifat keamanan yang penting: akun anggota tidak dapat menonaktifkan atau mengubah jejak organisasi yang diterapkan kepada mereka.

Hanya akun pengelolaan atau administrator yang didelegasikan yang dapat mengendalikannya, sehingga akun anggota yang disusupi atau tidak tepercaya tidak dapat menghentikan pencatatan aktivitasnya sendiri. Hal ini menjamin cakupan yang konsisten.

Anda dapat mendelegasikan pengelolaan jejak kepada akun keamanan khusus, alih-alih menggunakan akun pengelolaan secara langsung.

Hal ini mengikuti prinsip hak akses paling rendah untuk akun pengelolaan yang memiliki kekuatan besar dan memungkinkan tim keamanan mengelola pencatatan tanpa memegang akses tingkat root paling sensitif milik organisasi.

Bucket S3 terpusat memerlukan kebijakan yang mengizinkan CloudTrail dari setiap akun anggota untuk menulis ke dalamnya.

AWS mengonfigurasi hal ini secara otomatis untuk jejak organisasi, membatasi penulisan berdasarkan akun dan menambahkan kondisi yang menjaga keamanan bucket sekaligus tetap menerima log dari seluruh organisasi.

Jejak organisasi cocok dipadukan dengan GuardDuty, Security Hub, dan Config di seluruh organisasi, yang semuanya dikelola dari akun keamanan yang sama dan didelegasikan.

Bersama-sama, layanan tersebut membentuk model operasi keamanan terpusat: deteksi, audit, dan pelacakan konfigurasi disatukan di seluruh akun dalam satu tampilan yang konsisten.

Enkripsilah bucket jejak terpusat dengan kunci KMS yang kebijakannya dikendalikan secara ketat dalam akun arsip log.

Hal ini melindungi data audit saat disimpan dan menambahkan penghalang lain: bahkan jika memiliki akses ke bucket, penyerang tidak dapat membaca log tanpa kunci tersebut. Padukan enkripsi dengan Object Lock untuk mendapatkan kerahasiaan dan ketidakubahan sekaligus.

Salah satu keunggulan jejak organisasi adalah akun anggota baru otomatis dicatat saat bergabung dengan organisasi.

Tidak ada risiko lupa mengonfigurasi CloudTrail pada akun yang baru dibuat. Cakupan berkembang bersama organisasi dan menghilangkan titik buta yang sering muncul dalam pengelolaan jejak per akun.

Satu jejak organisasi lebih hemat biaya dan lebih andal daripada banyak jejak terpisah. Salinan pertama peristiwa pengelolaan umumnya gratis, bahkan di seluruh akun.

Anda mendapatkan cakupan penuh dengan satu konfigurasi — lebih sedikit komponen yang harus dikelola, tanpa celah, dan beban operasional lebih rendah dibandingkan mengelola jejak satu per satu.

Mengapa jejak organisasi tahan terhadap manipulasi.

Jejak organisasi dibuat di akun pengelolaan atau administrator yang didelegasikan dalam Organisasi AWS dan secara otomatis mencatat setiap akun anggota ke satu bucket terpusat — idealnya di dalam akun arsip log yang dikunci ketat. Akun anggota tidak dapat menonaktifkannya, sehingga cakupan tahan manipulasi dan tanpa celah dapat terjamin. Delegasikan administrasi kepada akun keamanan untuk menerapkan hak akses paling rendah, padukan dengan GuardDuty dan Config di seluruh organisasi, serta dapatkan cakupan penuh dengan biaya lebih rendah daripada menggunakan banyak jejak terpisah.