Trilhas da Organização entre Contas

Organizações grandes usam dezenas ou centenas de contas da AWS. Configurar o CloudTrail separadamente em cada uma é trabalhoso e sujeito a erros, e uma única conta esquecida se torna um ponto cego.

Uma trilha da organização resolve isso registrando a atividade de todas as contas da sua AWS Organization em um único local.

Uma trilha da organização é criada na conta de gerenciamento ou de administrador delegado da AWS Organizations e aplicada automaticamente a todas as contas-membro.

Os eventos de todas as contas são enviados para uma única trilha e um único bucket central do S3, proporcionando cobertura completa e uniforme sem configuração por conta.

O principal benefício é ter uma fonte única de verdade. Toda a atividade de API da organização é armazenada em um único bucket, geralmente em uma conta de arquivamento de registros dedicada.

Os investigadores consultam um único local para ver a atividade em qualquer lugar, sem o risco de uma conta ficar silenciosamente sem uma trilha.

Uma prática recomendada é colocar o bucket do S3 da trilha central em uma conta de arquivamento de registros separada e fortemente restrita, à qual poucas pessoas tenham acesso.

Isolar os registros nesse local significa que um invasor que comprometa uma conta de carga de trabalho ainda não poderá acessar nem excluir a trilha de auditoria — um elemento essencial de um registro resistente a adulterações.

Uma propriedade de segurança fundamental é que as contas-membro não podem desativar nem modificar a trilha da organização aplicada a elas.

Somente a conta de gerenciamento ou de administrador delegado a controla. Assim, uma conta-membro comprometida ou mal-intencionada não pode interromper o registro da própria atividade. Isso garante uma cobertura consistente.

Você pode delegar o gerenciamento da trilha a uma conta de segurança dedicada, em vez de usar diretamente a conta de gerenciamento.

Isso segue o princípio do menor privilégio para a poderosa conta de gerenciamento e permite que sua equipe de segurança seja responsável pelo registro sem manter o acesso mais sensível, no nível raiz, da organização.

O bucket central do S3 precisa de uma política que permita ao CloudTrail de todas as contas-membro gravar nele.

A AWS configura isso automaticamente para trilhas da organização, delimitando as gravações por conta e adicionando as condições que mantêm o bucket seguro enquanto permitem receber registros de toda a organização.

Uma trilha da organização combina naturalmente com GuardDuty, Security Hub e Config em toda a organização, todos administrados pela mesma conta de segurança delegada.

Juntos, eles formam um modelo centralizado de operações de segurança: detecção, auditoria e rastreamento de configurações unificados em todas as contas, em uma visão consistente.

Criptografe o bucket central da trilha com uma chave do KMS cuja política seja rigorosamente controlada na conta de arquivamento de registros.

Isso protege os dados de auditoria em repouso e acrescenta outra barreira: mesmo com acesso ao bucket, um invasor não pode ler os registros sem a chave. Combine a criptografia com o Object Lock para obter confidencialidade e imutabilidade.

Uma propriedade poderosa das trilhas da organização é que as novas contas-membro passam a ser registradas automaticamente no momento em que ingressam na organização.

Não há risco de esquecer de configurar o CloudTrail em uma conta recém-criada. A cobertura cresce junto com a organização, eliminando os pontos cegos que afetam o gerenciamento de trilhas por conta.

Uma trilha da organização é mais econômica e confiável do que muitas trilhas individuais. A primeira cópia dos eventos de gerenciamento geralmente é gratuita, mesmo entre contas.

Você obtém cobertura completa com uma única configuração — menos componentes, nenhuma lacuna e menor sobrecarga operacional do que ao gerenciar trilhas conta por conta.

Por que as trilhas da organização resistem a adulterações.

Uma trilha da organização é criada na conta de gerenciamento ou de administrador delegado da AWS Organizations e registra automaticamente todas as contas-membro em um único bucket central — idealmente em uma conta de arquivamento de registros fortemente restrita. As contas-membro não podem desabilitá-la, garantindo uma cobertura resistente a adulterações e sem lacunas. Delegue a administração a uma conta de segurança para aplicar o menor privilégio, associe-a ao GuardDuty e ao Config em toda a organização e obtenha cobertura completa por um custo menor do que o de várias trilhas separadas.