Detectando o Uso da Conta-raiz

O usuário Root é a identidade proprietária da conta, criada quando uma conta AWS é aberta, e tem acesso irrestrito a todas as ações e recursos. Ele não pode ser limitado por políticas do IAM nem por SCPs. Devido a esse nível de poder, qualquer uso do usuário Root é um evento de segurança de alta relevância que merece um alerta imediato.

A orientação da AWS é usar o usuário Root somente para as poucas tarefas que exigem esse nível de acesso e nunca mais depois disso. Você deve habilitar a MFA para Root, remover completamente suas chaves de acesso e criar identidades do IAM ou usuários do Identity Center para o trabalho diário. Depois desse bloqueio, atividades legítimas do Root devem ser raras e planejadas.

Como o Root quase nunca deveria fazer login, um login inesperado do Root é um forte indicador de comprometimento ou violação de políticas. Detectá-lo é um dos controles clássicos de monitoramento do CIS Benchmark e um cenário frequente em provas: a resposta esperada é um filtro de métricas e um alarme alimentados pelo CloudTrail, não uma análise manual.

A detecção usa três componentes que você já conhece: o CloudTrail registra os eventos de login e de API; o CloudWatch Logs recebe esses eventos quando o CloudTrail está configurado para entregá-los a um grupo de logs; e um filtro de métricas com alarme transforma eventos do Root em uma notificação imediata. Cada componente precisa estar configurado para que a cadeia funcione.

Em um evento do CloudTrail, o campo userIdentity.type é igual a Root quando o usuário Root executa a ação. Um filtro de métricas pode identificar esse campo. Para evitar ruído causado por eventos automatizados comuns, os filtros também costumam excluir eventos de serviços da AWS, para que somente ações humanas genuínas do Root acionem o alerta.

Por padrão, o CloudTrail grava dados no S3, não no CloudWatch Logs. Para gerar alarmes quase em tempo real, você precisa configurar a trilha para também entregar eventos a um grupo de logs do CloudWatch. Isso exige uma função do IAM que permita ao CloudTrail gravar no grupo de logs. Sem essa etapa de entrega, o filtro de métricas não terá nada para identificar.

Crie um filtro de métricas no grupo de logs do CloudTrail com um padrão que corresponda a userIdentity.type = Root. Mapeie cada correspondência para uma métrica, como RootAccountUsageCount, com valor um. Agora, cada ação do Root incrementará uma métrica que você pode monitorar, convertendo um campo JSON oculto em um sinal mensurável.

Associe um alarme do CloudWatch à métrica com um limite de um durante um único período curto, para que ele seja acionado no primeiro evento do Root. Aponte o alarme para um tópico do SNS assinado pela sua equipe de segurança. O resultado é um alerta quase instantâneo no momento em que o Root é usado.

Em uma organização, cada conta-membro tem seu próprio usuário Root. Uma trilha da organização pode centralizar o CloudTrail em todas as contas, permitindo que você crie a detecção uma única vez no grupo de logs central. Isso garante que nenhuma atividade do Root de uma conta-membro deixe de ser monitorada, uma exigência importante de governança.

Quando o alarme for acionado, trate o caso como um incidente até que se prove o contrário. Confirme se a atividade fazia parte de uma tarefa planejada e autorizada. Caso não fizesse, proteja a conta: altere a senha do Root, verifique se a MFA continua intacta, analise as ações recentes do Root no CloudTrail e procure identidades ou chaves novas do IAM que um invasor possa ter criado.

Detectar o uso do Root reúne CloudTrail, CloudWatch Logs, filtros de métricas, alarmes e SNS em um único controle realista. Espere questões cujas respostas incorretas sugiram análise manual, políticas do IAM aplicadas ao Root ou SCPs. A resposta correta é sempre detecção automatizada com notificação imediata, pois o Root não pode ser restringido, apenas monitorado.

Teste o padrão de detecção do uso do Root.

O usuário Root não tem restrições e deve ser mantido inacessível, com MFA e sem chaves de acesso. Qualquer uso é um evento de alta relevância. Detecte-o entregando o CloudTrail ao CloudWatch Logs, adicionando um filtro de métricas para userIdentity.type = Root e acionando um alarme do CloudWatch conectado a um tópico do SNS. Nas organizações, uma trilha da organização centraliza essa detecção em todas as contas.