Jejak Organisasi Merentas Akaun

Organisasi besar mengendalikan berpuluh-puluh atau beratus-ratus akaun AWS. Mengkonfigurasi CloudTrail secara berasingan dalam setiap akaun memakan masa dan mudah menyebabkan kesilapan, manakala satu akaun yang terlepas akan menjadi titik buta.

Jejak organisasi menyelesaikan masalah ini dengan merekodkan aktiviti merentas semua akaun dalam Organisasi AWS anda dari satu tempat.

Jejak organisasi dicipta dalam akaun pengurusan atau pentadbir yang diwakilkan bagi AWS Organizations dan digunakan secara automatik pada semua akaun ahli.

Peristiwa daripada setiap akaun mengalir ke satu jejak dan baldi S3 pusat, lalu memberikan liputan lengkap dan seragam tanpa persediaan bagi setiap akaun.

Faedah utamanya ialah satu sumber kebenaran. Semua aktiviti API dalam organisasi disimpan dalam satu baldi, lazimnya dalam akaun arkib log khusus.

Penyiasat hanya perlu membuat pertanyaan di satu lokasi untuk melihat aktiviti di mana-mana, dan tiada risiko sesebuah akaun tidak mempunyai jejak tanpa disedari.

Amalan terbaik meletakkan baldi S3 jejak pusat dalam akaun arkib log berasingan yang dikunci ketat dan hanya boleh diakses oleh segelintir orang.

Mengasingkan log di sini bermakna penyerang yang menjejaskan akaun beban kerja masih tidak dapat mencapai atau memadam jejak audit — asas utama pengelogan yang tahan gangguan.

Sifat keselamatan yang penting: akaun ahli tidak boleh mematikan atau mengubah suai jejak organisasi yang digunakan pada akaun tersebut.

Hanya akaun pengurusan atau pentadbir yang diwakilkan boleh mengawalnya, jadi akaun ahli yang terjejas atau berniat jahat tidak dapat menghentikan aktiviti sendiri daripada direkodkan. Ini menjamin liputan yang konsisten.

Anda boleh mewakilkan pengurusan jejak kepada akaun keselamatan khusus dan bukannya menggunakan akaun pengurusan secara terus.

Langkah ini mematuhi prinsip keistimewaan minimum untuk akaun pengurusan yang berkuasa dan membolehkan pasukan keselamatan mengurus pengelogan tanpa memegang akses peringkat akar umbi yang paling sensitif dalam organisasi.

Baldi S3 pusat memerlukan dasar yang membenarkan CloudTrail daripada setiap akaun ahli menulis kepadanya.

AWS mengkonfigurasi perkara ini secara automatik untuk jejak organisasi, mengehadkan penulisan mengikut akaun dan menambah syarat yang memastikan keselamatan baldi sambil tetap menerima log daripada seluruh organisasi.

Jejak organisasi sesuai digabungkan dengan GuardDuty, Security Hub dan Config seluruh organisasi, yang semuanya ditadbir daripada akaun keselamatan yang diwakilkan sama.

Kesemuanya membentuk model operasi keselamatan berpusat: pengesanan, audit dan penjejakan konfigurasi disatukan merentas setiap akaun dalam satu paparan yang konsisten.

Sulitkan baldi jejak pusat dengan kunci KMS yang dasarnya dikawal ketat dalam akaun arkib log.

Ini melindungi data audit ketika disimpan dan menambah satu lagi halangan: walaupun mempunyai akses kepada baldi, penyerang tidak dapat membaca log tanpa kunci tersebut. Gabungkan penyulitan dengan Object Lock untuk mendapatkan kerahsiaan dan ketakbolehubahan serentak.

Sifat berkuasa jejak organisasi ialah akaun ahli baharu akan direkodkan secara automatik sebaik sahaja menyertai organisasi.

Tiada risiko terlupa mengkonfigurasi CloudTrail pada akaun yang baru dicipta. Liputan berkembang bersama organisasi dan menghapuskan titik buta yang sering berlaku apabila jejak diurus mengikut akaun.

Satu jejak organisasi lebih menjimatkan kos dan lebih boleh dipercayai berbanding banyak jejak individu. Salinan pertama peristiwa pengurusan biasanya percuma walaupun merentas akaun.

Anda memperoleh liputan penuh dengan satu konfigurasi — kurang komponen yang perlu diurus, tiada jurang dan beban operasi yang lebih rendah berbanding mengurus jejak satu demi satu mengikut akaun.

Jejak organisasi dicipta dalam akaun pengurusan atau pentadbir yang diwakilkan bagi AWS Organizations dan merekodkan semua akaun ahli secara automatik ke satu baldi pusat — sebaik-baiknya dalam akaun arkib log yang dikunci ketat. Akaun ahli tidak boleh menyahaktifkannya, sekali gus menjamin liputan yang tahan gangguan dan tanpa jurang. Wakilkan pentadbiran kepada akaun keselamatan untuk mematuhi prinsip keistimewaan minimum, gabungkannya dengan GuardDuty dan Config seluruh organisasi, serta dapatkan liputan penuh dengan kos yang lebih rendah berbanding banyak jejak berasingan.