Scentralizowane konta archiwum logów

Najsilniejszą ochronę logów zapewnia przechowywanie ich w oddzielnym koncie AWS przeznaczonym do archiwizacji i odizolowanym od kont obsługujących obciążenia. Jeśli atakujący przejmie konto produkcyjne, nadal nie będzie mógł uzyskać dostępu do logów przechowywanych na koncie, którego nie kontroluje, ani ich usunąć. Taka izolacja jest podstawą dojrzałej architektury bezpieczeństwa.

W organizacji obejmującej wiele kont dedykowane konto Log Archive odbiera logi ze wszystkich pozostałych kont. AWS Control Tower domyślnie tworzy dokładnie takie konto w landing zone, co pokazuje, jak zdecydowanie AWS rekomenduje ten wzorzec. Centralizacja logów w tym miejscu zapewnia jedną chronioną lokalizację dla wszystkich dowodów audytowych.

Ścieżka organizacji w CloudTrail rejestruje zdarzenia ze wszystkich kont w organizacji i dostarcza je do jednego bucketa, zwykle na koncie Log Archive. Konta członkowskie nie mogą wyłączyć ani zmodyfikować ścieżki organizacji, więc nawet całkowicie przejęte konto członkowskie nie może zatrzymać centralnego rejestrowania swoich zdarzeń.

Logi są dostarczane między kontami dzięki przyznaniu usługom rejestrującym dostępu do zapisu w centralnym buckecie za pomocą bucket policy. Konta obsługujące obciążenia mogą zapisywać logi, ale nie mogą ich odczytywać ani usuwać, ponieważ uprawnienia odczytu i usuwania mają wyłącznie role bezpieczeństwa na koncie archiwum. W ten sposób jasno egzekwuje się rozdzielenie obowiązków.

Dostęp do konta Log Archive powinno mieć bardzo niewielu podmiotów, a najlepiej żadna z tych osób nie powinna być jednocześnie odpowiedzialna za administrowanie obciążeniami. Dostęp ogranicza się do małego zespołu ds. bezpieczeństwa lub audytu, często za pośrednictwem ściśle ograniczonych ról między kontami. Ograniczenie liczby osób mogących uzyskać dostęp do archiwum zmniejsza ryzyko naruszenia integralności dowodów.

Service Control Policies (SCP) na poziomie organizacji mogą blokować działania takie jak cloudtrail:StopLogging, cloudtrail:DeleteTrail oraz usuwanie bucketa z logami na wszystkich kontach członkowskich. Ponieważ SCP ograniczają uprawnienia nawet administratorom kont, uniemożliwiają dowolnej osobie na koncie członkowskim wyłączenie rejestrowania, niezależnie od jej uprawnień IAM.

Centralny bucket powinien łączyć wszystkie elementy z poprzedniej lekcji: Object Lock w trybie Compliance, versioning, szyfrowanie KMS oraz politykę blokującą usuwanie. Centralizacja wszystkich logów w jednym miejscu jest bezpieczna tylko wtedy, gdy to miejsce jest niezmienne i ściśle kontrolowane, dlatego konto archiwum stosuje najsilniejsze dostępne zabezpieczenia bucketa.

Oprócz CloudTrail można centralizować na koncie archiwum również Config, VPC Flow Logs i logi aplikacji, często za pośrednictwem dostarczania lub replikacji między kontami. Jedno chronione archiwum dla wszystkich typów logów upraszcza przechowywanie, monitorowanie i analizę, a jednocześnie utrzymuje każde źródło poza zasięgiem atakującego.

Zespoły ds. bezpieczeństwa odpytują scentralizowane logi za pomocą Athena z konta archiwum lub dedykowanego konta z narzędziami bezpieczeństwa. Ponieważ logi ze wszystkich kont znajdują się razem, jedno zapytanie może przeszukać całą organizację, dzięki czemu analiza obejmująca całą organizację i threat hunting są znacznie skuteczniejsze niż sprawdzanie każdego konta osobno.

Centralizacja wspiera również odporność i przechowywanie: reguły cyklu życia przenoszą starsze logi do tańszej pamięci, takiej jak Glacier, podczas gdy Object Lock zachowuje ich niezmienność, a replikacja między regionami może chronić przed utratą całego regionu. Archiwum staje się trwałym, długoterminowym i odpornym na manipulacje rejestrem, który spełnia nawet rygorystyczne wymagania zgodności dotyczące przechowywania danych.

Scentralizowane, niezmienne konto Log Archive zasilane przez ścieżkę organizacji, chronione przez SCP i zabezpieczone za pomocą Object Lock to najwyższy standard integralności logów. Gwarantuje ono, że niezależnie od działań atakującego na koncie obsługującym obciążenia prawda o jego działaniach przetrwa w miejscu, do którego nigdy nie będzie mógł uzyskać dostępu.

Dedykowane konto Log Archive izoluje dowody od kont obsługujących obciążenia. Ścieżka organizacji centralizuje dane CloudTrail w swoim buckecie, którego konta członkowskie nie mogą wyłączyć. Międzykontowe bucket policies pozwalają kontom zapisywać dane, ale nie usuwać ich, SCP blokują StopLogging/DeleteTrail w całej organizacji, a Object Lock wraz z szyfrowaniem zapewnia niezmienność danych. Rezultatem jest odporne na manipulacje, gotowe do odpytywania i zgodne z wymaganiami przechowywanie logów.