Gecentraliseerde accounts voor logarchivering

De sterkste bescherming van logboeken bestaat uit het opslaan ervan in een afzonderlijk AWS-account dat speciaal is bedoeld voor archivering en is geïsoleerd van de accounts waarop werklasten draaien. Als een aanvaller een productieaccount overneemt, kan diegene de logboeken in een account waarover diegene geen controle heeft nog steeds niet bereiken of verwijderen. Deze isolatie is een hoeksteen van een volwassen beveiligingsarchitectuur.

In een organisatie met meerdere accounts ontvangt een speciaal Log Archive-account logboeken van alle andere accounts. AWS Control Tower maakt standaard precies dit account aan in zijn landing zone, wat laat zien hoe sterk AWS dit patroon aanbeveelt. Door logboeken hier te centraliseren, ontstaat één beschermde opslagplaats voor al het controlemateriaal.

Een organisatietrail in CloudTrail registreert gebeurtenissen uit alle accounts in de organisatie en levert ze af in één bucket, meestal in het Log Archive-account. Ledenaccounts kunnen de organisatietrail niet uitschakelen of wijzigen. Zelfs een volledig overgenomen ledenaccount kan daardoor niet voorkomen dat zijn gebeurtenissen centraal worden geregistreerd.

Logboeken worden tussen accounts geleverd door de logboekservices via een bucketbeleid schrijftoegang tot de centrale bucket te geven. De accounts waarop werklasten draaien kunnen logboeken schrijven, maar ze niet lezen of verwijderen, omdat lees- en verwijderrechten alleen beschikbaar zijn voor beveiligingsrollen in het archiefaccount. Hiermee wordt een duidelijke scheiding van verantwoordelijkheden afgedwongen.

Zeer weinig principals zouden toegang moeten hebben tot het Log Archive-account, en idealiter zijn dat niet dezelfde personen die werklasten beheren. Toegang wordt beperkt tot een klein beveiligings- of auditteam, vaak via cross-accountrollen met een strikt afgebakende scope. Door het aantal personen dat het archief kan aanraken te beperken, verklein je de kans dat het bewijsmateriaal wordt aangetast.

Service Control Policies (SCP's) op organisatieniveau kunnen acties zoals cloudtrail:StopLogging, cloudtrail:DeleteTrail en het verwijderen van de logboekbucket in alle ledenaccounts weigeren. Omdat SCP's de machtigingen begrenzen, zelfs voor accountbeheerders, voorkomen ze dat iemand in een ledenaccount logboekregistratie uitschakelt, ongeacht diens IAM-machtigingen.

De centrale bucket moet alles uit de vorige les combineren: Object Lock in Compliance-modus, versiebeheer, KMS-versleuteling en een beleid dat verwijderen weigert. Alle logboeken op één plek concentreren is alleen veilig als die plek onveranderlijk is en strikt wordt beheerd. Daarom past het archiefaccount de sterkst beschikbare bucketbeveiliging toe.

Naast CloudTrail kun je ook Config, VPC Flow Logs en applicatielogboeken centraliseren in het archiefaccount, vaak via levering of replicatie tussen accounts. Eén beschermd archief voor alle soorten logboeken vereenvoudigt bewaartermijnen, bewaking en onderzoek en houdt elke bron buiten het bereik van een aanvaller.

Beveiligingsteams doorzoeken de gecentraliseerde logboeken met Athena vanuit het archiefaccount of een speciaal account voor beveiligingstools. Omdat de logboeken van alle accounts bij elkaar staan, kan één query de hele organisatie doorzoeken. Onderzoek en threat hunting voor de hele organisatie worden daardoor veel krachtiger dan wanneer je elk account afzonderlijk controleert.

Centralisatie helpt ook bij veerkracht en bewaartermijnen: lifecycle-regels verplaatsen oudere logboeken naar goedkopere opslag zoals Glacier, terwijl Object Lock de onveranderlijkheid bewaart. Replicatie tussen regio's kan bovendien bescherming bieden tegen verlies van een regio. Het archief wordt zo een duurzaam, langdurig en fraudebestendig record dat zelfs strenge vereisten voor bewaartermijnen vanuit compliance ondersteunt.

Een gecentraliseerd en onveranderlijk Log Archive-account dat wordt gevoed door een organisatietrail, wordt beschermd door SCP's en wordt vergrendeld met Object Lock, is de gouden standaard voor de integriteit van logboeken. Het zorgt ervoor dat de waarheid over de handelingen van een aanvaller blijft bestaan op een plek die diegene nooit kan bereiken, ongeacht wat die aanvaller in een account met werklasten doet.

Een speciaal Log Archive-account isoleert bewijsmateriaal van accounts met werklasten. Een organisatietrail centraliseert CloudTrail naar zijn bucket, die ledenaccounts niet kunnen uitschakelen. Cross-account-bucketbeleid staat accounts toe om te schrijven maar niet te verwijderen, SCP's weigeren StopLogging/DeleteTrail in de hele organisatie, en Object Lock plus versleuteling maken de opslag onveranderlijk. Het resultaat is fraudebestendige, doorzoekbare en conforme bewaring van logboeken.