Централизованные учётные записи для архива журналов

Самая надёжная защита журналов предполагает их хранение в отдельной учётной записи AWS, предназначенной для архивирования и изолированной от учётных записей, в которых работают приложения. Даже если злоумышленник взломает рабочую учётную запись, он не сможет получить доступ к журналам или удалить их из учётной записи, которой не контролирует. Такая изоляция — основа зрелой архитектуры безопасности.

В организации с несколькими учётными записями выделенная учётная запись архива журналов получает журналы из всех остальных учётных записей. AWS Control Tower по умолчанию создаёт именно такую учётную запись в своей посадочной зоне, что отражает настоятельную рекомендацию AWS использовать этот подход. Централизация журналов здесь обеспечивает единое защищённое хранилище для всех свидетельств аудита.

Трейл организации в CloudTrail записывает события из всех учётных записей организации и доставляет их в одну корзину, обычно в учётную запись архива журналов. Участники организации не могут отключить или изменить трейл организации, поэтому даже полностью скомпрометированная учётная запись участника не сможет остановить централизованную запись своих событий.

Журналы доставляются между учётными записями, если службе журналирования предоставляется доступ на запись в центральную корзину через политику корзины. Учётные записи рабочих нагрузок могут записывать журналы, но не могут читать или удалять их, поскольку разрешения на чтение и удаление есть только у ролей безопасности в учётной записи архива. Это чётко обеспечивает разделение обязанностей.

Доступ к учётной записи архива журналов должны иметь очень немногие субъекты, а в идеале среди них не должно быть людей, администрирующих рабочие нагрузки. Доступ ограничивается небольшой командой безопасности или аудита, часто через строго ограниченные роли для межучётного доступа. Чем меньше людей могут взаимодействовать с архивом, тем ниже вероятность компрометации свидетельств.

Политики управления сервисами (SCP) на уровне организации могут запрещать такие действия, как cloudtrail:StopLogging, cloudtrail:DeleteTrail и удаление корзины с журналами во всех учётных записях — участниках организации. Поскольку SCP ограничивают разрешения даже администраторов учётных записей, они не позволяют никому в учётной записи участника отключить журналирование независимо от имеющихся разрешений IAM.

Центральная корзина должна объединять все средства защиты из предыдущего урока: блокировку объектов в режиме Compliance, версионирование, шифрование KMS и политику с запретом удаления. Централизация всех журналов безопасна только в том случае, если это хранилище неизменяемо и строго контролируется, поэтому учётная запись архива применяет максимально надёжную доступную защиту корзины.

Помимо CloudTrail, в учётную запись архива можно централизованно отправлять также данные Config, журналы потоков VPC и журналы приложений — обычно с помощью межучётной доставки или репликации. Единый защищённый архив для всех типов журналов упрощает хранение, мониторинг и расследование, одновременно не позволяя злоумышленнику добраться ни до одного источника.

Команды безопасности выполняют запросы к централизованным журналам с помощью Athena из учётной записи архива или выделенной учётной записи инструментов безопасности. Поскольку журналы всех учётных записей хранятся вместе, один запрос может искать данные во всей организации, что делает расследование и поиск угроз на уровне организации гораздо эффективнее, чем проверка каждой учётной записи отдельно.

Централизация также повышает устойчивость и эффективность хранения: правила жизненного цикла перемещают устаревающие журналы в более дешёвое хранилище, например Glacier, а блокировка объектов сохраняет их неизменяемость; репликация между регионами может защитить от потери региона. Архив становится долговечной, рассчитанной на длительное хранение и защищённой от подделки записью, отвечающей даже строгим требованиям соответствия к срокам хранения.

Централизованная неизменяемая учётная запись архива журналов, получающая данные от трейла организации, защищённая SCP и блокировкой объектов, — золотой стандарт целостности журналов. Она гарантирует, что независимо от действий злоумышленника в учётной записи рабочей нагрузки достоверная запись этих действий сохранится в месте, до которого он никогда не сможет добраться.

Проверьте свои знания о централизованном журналировании.

Выделенная учётная запись архива журналов изолирует свидетельства от учётных записей рабочих нагрузок. Трейл организации централизует данные CloudTrail в своей корзине, которую учётные записи — участники организации не могут отключить. Межучётные политики корзин разрешают записывать данные, но не удалять их, SCP запрещают StopLogging/DeleteTrail во всей организации, а блокировка объектов и шифрование делают хранилище неизменяемым. В результате журналы хранятся защищённо от подделки, доступны для запросов и соответствуют требованиям.