Account centralizzati per l'archivio dei log

La protezione più efficace dei log consiste nell'archiviarli in un account AWS separato, dedicato all'archiviazione e isolato dagli account che eseguono i carichi di lavoro. Se un aggressore compromette un account di produzione, non può comunque raggiungere o eliminare i log archiviati in un account che non controlla. Questo isolamento è un elemento fondamentale di un'architettura di sicurezza matura.

In un'organizzazione con più account, un account Log Archive dedicato riceve i log da tutti gli altri account. AWS Control Tower crea esattamente questo account per impostazione predefinita nella landing zone, a dimostrazione di quanto AWS raccomandi questo modello. Centralizzare qui i log offre un unico luogo protetto per tutte le prove di audit.

Un organization trail in CloudTrail acquisisce gli eventi di tutti gli account dell'organizzazione e li invia a un unico bucket, in genere nell'account Log Archive. Gli account membri non possono disabilitare o modificare l'organization trail; pertanto, anche un account membro completamente compromesso non può impedire la registrazione centralizzata dei propri eventi.

I log vengono distribuiti tra account concedendo ai servizi di logging l'accesso in scrittura al bucket centrale tramite una bucket policy. Gli account dei carichi di lavoro possono scrivere i log, ma non leggerli né eliminarli, perché le autorizzazioni di lettura ed eliminazione sono disponibili solo per i ruoli di sicurezza nell'account di archiviazione. In questo modo si applica chiaramente la separazione dei compiti.

Solo pochissime identità dovrebbero accedere all'account Log Archive e, idealmente, nessuna dovrebbe appartenere alle stesse persone che amministrano i carichi di lavoro. L'accesso è limitato a un piccolo team di sicurezza o audit, spesso tramite ruoli tra account con autorizzazioni strettamente delimitate. Ridurre al minimo chi può interagire con l'archivio diminuisce la probabilità che le prove vengano compromesse.

Le Service Control Policies (SCP) a livello di organizzazione possono negare azioni come cloudtrail:StopLogging, cloudtrail:DeleteTrail e l'eliminazione del bucket dei log in tutti gli account membri. Poiché le SCP limitano le autorizzazioni anche degli amministratori degli account, impediscono a chiunque operi in un account membro di disabilitare il logging, indipendentemente dalle autorizzazioni IAM.

Il bucket centrale dovrebbe riunire tutti gli elementi della lezione precedente: Object Lock in modalità Compliance, versioning, crittografia KMS e una policy che neghi l'eliminazione. Concentrare tutti i log in un unico luogo è sicuro solo se tale luogo è immutabile e sottoposto a controlli rigorosi; per questo l'account di archiviazione applica il livello più elevato di protezione del bucket disponibile.

Oltre a CloudTrail, è possibile centralizzare anche Config, VPC Flow Logs e i log delle applicazioni nell'account di archiviazione, spesso tramite distribuzione o replica tra account. Un unico archivio protetto per tutti i tipi di log semplifica conservazione, monitoraggio e analisi, mantenendo ogni origine fuori dalla portata di un aggressore.

I team di sicurezza eseguono query sui log centralizzati con Athena dall'account di archiviazione o da un account dedicato agli strumenti di sicurezza. Poiché i log di tutti gli account si trovano insieme, una singola query può cercare nell'intera organizzazione, rendendo le indagini e la ricerca delle minacce a livello organizzativo molto più efficaci rispetto al controllo separato di ogni account.

La centralizzazione favorisce anche resilienza e conservazione: le regole del ciclo di vita spostano i log meno recenti in uno storage più economico, come Glacier, mentre Object Lock ne preserva l'immutabilità; inoltre, la replica tra regioni può proteggere dalla perdita di una regione. L'archivio diventa un registro durevole, di lunga durata e a prova di manomissione, conforme anche ai requisiti più rigorosi di conservazione.

Un account Log Archive centralizzato e immutabile, alimentato da un organization trail, protetto dalle SCP e bloccato con Object Lock, rappresenta lo standard di riferimento per l'integrità dei log. Garantisce che, qualunque cosa faccia un aggressore in un account di carico di lavoro, la traccia delle sue azioni sopravviva in un luogo che non potrà mai raggiungere.

Verifichi le Sue conoscenze sul logging centralizzato.

Un account Log Archive dedicato isola le prove dagli account dei carichi di lavoro. Un organization trail centralizza CloudTrail nel relativo bucket, che gli account membri non possono disabilitare. Le bucket policy tra account consentono agli account di scrivere ma non di eliminare; le SCP negano StopLogging/DeleteTrail a livello di organizzazione; infine, Object Lock e la crittografia rendono lo storage immutabile. Il risultato è una conservazione dei log a prova di manomissione, pronta per le query e conforme ai requisiti.