Rilevare l'uso dell'account root

L'utente root è l'identità del proprietario dell'account creata quando viene aperto un account AWS e dispone di accesso illimitato a ogni operazione e risorsa. Non può essere limitato dalle policy IAM o dagli SCP. A causa di questo potere, qualsiasi utilizzo dell'utente root è un evento di sicurezza altamente significativo che merita un avviso immediato.

Le linee guida AWS raccomandano di usare l'utente root solo per le poche attività che lo richiedono, senza utilizzarlo mai più per altri scopi. Dovreste abilitare MFA per root, rimuovere completamente le relative chiavi di accesso e creare identità IAM o utenti di Identity Center per le attività quotidiane. Dopo averlo protetto, un'attività legittima dell'utente root dovrebbe essere rara e pianificata.

Poiché root non dovrebbe quasi mai effettuare l'accesso, un accesso root imprevisto è un forte indicatore di compromissione o violazione delle policy. Rilevarlo è uno dei controlli di monitoraggio canonici del CIS Benchmark e uno scenario frequente d'esame: la risposta attesa è un filtro di metrica e un allarme alimentati da CloudTrail, non una revisione manuale.

Il rilevamento utilizza tre componenti che già conoscete: CloudTrail registra gli eventi di accesso e delle API, CloudWatch Logs riceve questi eventi quando CloudTrail è configurato per inviarli a un gruppo di log e una combinazione di filtro di metrica e allarme trasforma gli eventi root in una notifica immediata. Ogni componente deve essere configurato affinché la catena funzioni.

In un evento CloudTrail, il campo userIdentity.type è uguale a Root quando l'utente root esegue l'azione. Un filtro di metrica può individuare questo campo. Per evitare il rumore prodotto dagli eventi automatizzati di routine, i filtri spesso escludono anche gli eventi dei servizi AWS, così solo le vere azioni umane eseguite da root attivano l'avviso.

Per impostazione predefinita, CloudTrail scrive in S3, non in CloudWatch Logs. Per generare allarmi quasi in tempo reale dovete configurare il trail affinché invi anche gli eventi a un gruppo di log CloudWatch. È necessario un ruolo IAM che consenta a CloudTrail di scrivere nel gruppo di log. Senza questo passaggio, il filtro di metrica non ha nulla da individuare.

Create un filtro di metrica sul gruppo di log CloudTrail con un pattern che corrisponda a userIdentity.type = Root. Associate ogni corrispondenza a una metrica come RootAccountUsageCount con valore uno. In questo modo ogni azione root incrementa una metrica che potete monitorare, trasformando un campo JSON nascosto in un segnale misurabile.

Collegate un allarme CloudWatch alla metrica con una soglia pari a uno su un singolo periodo breve, così si attiva al primo evento root. Indirizzate l'allarme a un topic SNS sottoscritto dal team di sicurezza. Il risultato è un avviso quasi istantaneo nel momento in cui root viene utilizzato.

In un'organizzazione, ogni account membro dispone del proprio utente root. Un organization trail può centralizzare CloudTrail in tutti gli account e potete creare il rilevamento una sola volta sul gruppo di log centrale. In questo modo nessuna attività root degli account membri sfugge al monitoraggio, un requisito fondamentale di governance.

Quando l'allarme si attiva, trattatelo come un incidente finché non viene dimostrato il contrario. Verificate se l'attività era pianificata e autorizzata. In caso contrario, mettete in sicurezza l'account: modificate la password root, verificate che MFA sia ancora attivo, esaminate le azioni root recenti in CloudTrail e controllate la presenza di nuove identità IAM o chiavi che l'attaccante potrebbe aver creato.

Il rilevamento dell'utilizzo di root collega CloudTrail, CloudWatch Logs, filtri di metrica, allarmi e SNS in un unico controllo realistico. Aspettatevi domande in cui le risposte errate suggeriscono una revisione manuale, policy IAM applicate a root o SCP. La risposta corretta è sempre il rilevamento automatizzato con notifica immediata, perché root non può essere limitato, ma solo monitorato.

Verificate il pattern di rilevamento dell'utilizzo di root.

L'utente root non ha limitazioni e dovrebbe essere protetto con MFA e senza chiavi di accesso. Ogni utilizzo è un evento altamente significativo. Rilevatelo inviando CloudTrail a CloudWatch Logs, aggiungendo un filtro di metrica su userIdentity.type = Root e attivando un allarme CloudWatch verso un topic SNS. Nelle organizzazioni, un organization trail centralizza questo rilevamento in tutti gli account.