Ścieżki organizacji obejmujące wiele kont

Duże organizacje korzystają z dziesiątek lub setek kont AWS. Konfigurowanie CloudTrail osobno na każdym z nich jest żmudne i podatne na błędy, a jedno pominięte konto staje się ślepym punktem.

Organization trail rozwiązuje ten problem, rejestrując aktywność na każdym koncie w AWS Organization z jednego miejsca.

Organization trail jest tworzony na koncie zarządzającym lub koncie delegowanego administratora usługi AWS Organizations i automatycznie obejmuje wszystkie konta członkowskie.

Zdarzenia ze wszystkich kont trafiają do jednego centralnego śladu i zasobnika S3, zapewniając pełne i jednolite pokrycie bez konfiguracji na każdym koncie.

Najważniejszą korzyścią jest pojedyncze źródło prawdy. Cała aktywność API w organizacji trafia do jednego zasobnika, często na specjalne konto archiwum logów.

Osoby prowadzące dochodzenie odpytują jedną lokalizację, aby sprawdzić aktywność w dowolnym miejscu, a ryzyko, że na którymś koncie po cichu zabraknie śladu, znika.

Najlepsza praktyka zakłada umieszczenie zasobnika S3 centralnego śladu na oddzielnym, ściśle zabezpieczonym koncie archiwum logów, do którego dostęp ma niewiele osób.

Izolacja logów oznacza, że atakujący, który przejmie konto z obciążeniem, nadal nie będzie mógł uzyskać dostępu do śladu audytowego ani go usunąć — to podstawa logowania odpornego na manipulacje.

Najważniejsza właściwość bezpieczeństwa: konta członkowskie nie mogą wyłączyć ani zmodyfikować zastosowanego do nich śladu organizacji.

Kontroluje go wyłącznie konto zarządzające lub konto delegowanego administratora, dlatego przejęte albo nieuczciwe konto członkowskie nie może zatrzymać rejestrowania własnej aktywności. Gwarantuje to spójne pokrycie.

Zarządzanie śladem można delegować do specjalnego konta bezpieczeństwa, zamiast korzystać bezpośrednio z konta zarządzającego.

Jest to zgodne z zasadą najmniejszych uprawnień w przypadku potężnego konta zarządzającego i pozwala zespołowi bezpieczeństwa odpowiadać za logowanie bez uzyskiwania najbardziej wrażliwego dostępu na poziomie root w organizacji.

Centralny zasobnik S3 potrzebuje polityki zezwalającej usłudze CloudTrail z każdego konta członkowskiego na zapisywanie w nim danych.

AWS konfiguruje to automatycznie dla śladów organizacji, ograniczając zapisy według konta i dodając warunki, które zabezpieczają zasobnik, a jednocześnie pozwalają odbierać logi z całej organizacji.

Ślad organizacji naturalnie uzupełnia organizacyjne wdrożenia GuardDuty, Security Hub i Config, zarządzane z tego samego delegowanego konta bezpieczeństwa.

Razem tworzą scentralizowany model operacji bezpieczeństwa: wykrywanie, audyt i śledzenie konfiguracji są połączone w jednym spójnym widoku obejmującym wszystkie konta.

Centralny zasobnik śladu należy szyfrować za pomocą klucza KMS, którego polityka jest ściśle kontrolowana na koncie archiwum logów.

Chroni to dane audytowe w spoczynku i stanowi dodatkową barierę: nawet mając dostęp do zasobnika, atakujący nie może odczytać logów bez klucza. Szyfrowanie należy połączyć z Object Lock, aby zapewnić jednocześnie poufność i niezmienność.

Istotną właściwością śladów organizacji jest to, że nowe konta członkowskie są automatycznie rejestrowane w chwili dołączenia do organizacji.

Nie ma ryzyka zapomnienia o skonfigurowaniu CloudTrail na świeżo utworzonym koncie. Pokrycie skaluje się wraz z organizacją, eliminując ślepe punkty typowe dla zarządzania śladami osobno na każdym koncie.

Jeden ślad organizacji jest bardziej opłacalny i niezawodny niż wiele pojedynczych śladów. Pierwsza kopia zdarzeń zarządzania jest zasadniczo bezpłatna, również w przypadku wielu kont.

Zyskują Państwo pełne pokrycie dzięki jednej konfiguracji — mniej elementów do obsługi, brak luk i mniejsze obciążenie operacyjne niż przy zarządzaniu śladami osobno na każdym koncie.

Dlaczego ślady organizacji są odporne na manipulacje.

Organization trail jest tworzony na koncie zarządzającym lub koncie delegowanego administratora AWS Organizations i automatycznie rejestruje zdarzenia ze wszystkich kont członkowskich w jednym centralnym zasobniku — najlepiej na ściśle zabezpieczonym koncie archiwum logów. Konta członkowskie nie mogą go wyłączyć, co gwarantuje odporne na manipulacje i pozbawione luk pokrycie. Administrację należy delegować do konta bezpieczeństwa zgodnie z zasadą najmniejszych uprawnień, połączyć ślad z organizacyjnymi wdrożeniami GuardDuty i Config oraz uzyskać pełne pokrycie mniejszym kosztem niż w przypadku wielu oddzielnych śladów.