Trail dell'organizzazione tra gli account

Le organizzazioni di grandi dimensioni gestiscono decine o centinaia di account AWS. Configurare CloudTrail separatamente in ciascuno di essi è laborioso e soggetto a errori, e un singolo account non configurato diventa un punto cieco.

Un trail dell'organizzazione risolve il problema registrando l'attività di ogni account dell'AWS Organization da un unico punto.

Un trail dell'organizzazione viene creato nell'account di gestione o in un account amministratore delegato di AWS Organizations e viene applicato automaticamente a tutti gli account membri.

Gli eventi di ogni account confluiscono in un unico trail centrale e in un bucket S3 centrale, offrendo una copertura completa e uniforme senza configurazioni per singolo account.

Il vantaggio principale è disporre di una singola fonte attendibile. Tutta l'attività API dell'organizzazione confluisce in un unico bucket, spesso in un account di archiviazione dei log dedicato.

Gli investigatori interrogano un'unica posizione per visualizzare l'attività ovunque si verifichi, senza il rischio che un account non disponga di un trail all'insaputa di tutti.

La best practice prevede di collocare il bucket S3 del trail centrale in un account di archiviazione dei log separato e protetto, accessibile a poche persone.

Isolare i log in questo modo significa che un attaccante che comprometta un account che ospita workload non potrà comunque raggiungere o eliminare il trail di controllo, un principio fondamentale per un logging a prova di manomissione.

Una proprietà di sicurezza fondamentale è che gli account membri non possono disattivare o modificare il trail dell'organizzazione applicato a essi.

Il controllo spetta esclusivamente all'account di gestione o all'amministratore delegato; un account membro compromesso o non autorizzato non può quindi impedire la registrazione della propria attività. Questo garantisce una copertura uniforme.

Può delegare la gestione del trail a un account di sicurezza dedicato invece di utilizzare direttamente l'account di gestione.

In questo modo applica il principio del privilegio minimo all'account di gestione, che dispone di poteri elevati, e consente al team di sicurezza di occuparsi del logging senza concedergli l'accesso più sensibile a livello root dell'organizzazione.

Il bucket S3 centrale necessita di una policy che autorizzi CloudTrail di ogni account membro a scrivervi.

AWS configura automaticamente questa policy per i trail dell'organizzazione, limitando le scritture in base all'account e aggiungendo le condizioni che mantengono sicuro il bucket consentendo al contempo di ricevere i log da tutta l'organizzazione.

Un trail dell'organizzazione si abbina naturalmente a GuardDuty, Security Hub e Config a livello di organizzazione, tutti amministrati dallo stesso account di sicurezza delegato.

Insieme formano un modello centralizzato per le operazioni di sicurezza: rilevamento, controllo e monitoraggio della configurazione unificati in tutti gli account e in un'unica vista coerente.

Crittografi il bucket del trail centrale con una chiave KMS la cui policy sia rigorosamente controllata nell'account di archiviazione dei log.

In questo modo protegge i dati di controllo inattivi e aggiunge un'ulteriore barriera: anche disponendo dell'accesso al bucket, un attaccante non può leggere i log senza la chiave. Combini la crittografia con Object Lock per ottenere insieme riservatezza e immutabilità.

Una proprietà importante dei trail dell'organizzazione è che i nuovi account membri vengono registrati automaticamente nel momento stesso in cui entrano a far parte dell'organizzazione.

Non c'è il rischio di dimenticare di configurare CloudTrail su un account appena creato. La copertura cresce insieme all'organizzazione, eliminando i punti ciechi che affliggono la gestione dei trail per singolo account.

Un unico trail dell'organizzazione è più conveniente e affidabile di numerosi trail individuali. La prima copia degli eventi di gestione è generalmente gratuita anche tra più account.

Ottiene una copertura completa con un'unica configurazione: meno elementi da gestire, nessuna lacuna e un impegno operativo inferiore rispetto alla gestione dei trail account per account.

Perché i trail dell'organizzazione resistono alle manomissioni.

Un trail dell'organizzazione viene creato nell'account di gestione o nell'account amministratore delegato di AWS Organizations e registra automaticamente ogni account membro in un unico bucket centrale, idealmente in un account di archiviazione dei log protetto. Gli account membri non possono disabilitarlo, garantendo una copertura continua, completa e a prova di manomissione. Deleghi l'amministrazione a un account di sicurezza per applicare il principio del privilegio minimo, lo abbini a GuardDuty e Config a livello di organizzazione e ottenga una copertura completa a un costo inferiore rispetto a numerosi trail separati.