Трассировки организации для разных учётных записей

Крупные организации используют десятки и сотни учётных записей AWS. Настройка CloudTrail отдельно в каждой из них утомительна и чревата ошибками, а одна пропущенная учётная запись создаёт слепую зону.

Журнал организации решает эту проблему, записывая активность во всех учётных записях вашей организации AWS из одного места.

Журнал организации создаётся в учётной записи управления или делегированного администратора AWS Organizations и автоматически применяется ко всем учётным записям участников.

События каждой учётной записи поступают в один центральный журнал и одну корзину S3, обеспечивая полное единообразное покрытие без настройки каждой учётной записи.

Главное преимущество — единый источник достоверных данных. Вся активность API в организации попадает в одну корзину, часто расположенную в отдельной учётной записи архива журналов.

Специалисты по расследованиям выполняют запросы в одном месте и видят активность в любой учётной записи, а риск того, что в какой-либо учётной записи незаметно отсутствует журнал, исключён.

Рекомендуется размещать корзину S3 центрального журнала в отдельной, тщательно защищённой учётной записи архива журналов, доступ к которой имеют лишь несколько человек.

Изоляция журналов означает, что злоумышленник, получивший доступ к учётной записи рабочей нагрузки, всё равно не сможет добраться до журнала аудита или удалить его — это основа ведения журналов, устойчивого к подделке.

Важное свойство безопасности: учётные записи участников не могут отключить или изменить применённый к ним журнал организации.

Им управляет только учётная запись управления или делегированного администратора, поэтому скомпрометированная или недобросовестная учётная запись участника не сможет прекратить запись собственной активности. Это гарантирует единообразное покрытие.

Управление журналом можно делегировать выделенной учётной записи безопасности, не используя непосредственно учётную запись управления.

Это соответствует принципу минимальных привилегий для учётной записи управления и позволяет команде безопасности отвечать за ведение журналов без предоставления ей наиболее чувствительного доступа на уровне корневой учётной записи организации.

Центральной корзине S3 нужна политика, разрешающая CloudTrail из каждой учётной записи участника записывать в неё данные.

AWS настраивает это автоматически для журналов организации, ограничивая запись по учётным записям и добавляя условия, которые защищают корзину и одновременно позволяют получать журналы из всей организации.

Журнал организации естественным образом сочетается с GuardDuty, Security Hub и Config для всей организации; всеми ими можно управлять из одной делегированной учётной записи безопасности.

Вместе они образуют централизованную модель работы с безопасностью: обнаружение, аудит и отслеживание конфигурации объединены для всех учётных записей в едином представлении.

Зашифруйте центральную корзину журнала ключом KMS, политика которого строго контролируется в учётной записи архива журналов.

Это защищает данные аудита в состоянии покоя и создаёт дополнительный барьер: даже получив доступ к корзине, злоумышленник не сможет прочитать журналы без ключа. Для одновременного обеспечения конфиденциальности и неизменяемости сочетайте шифрование с Object Lock.

Мощное свойство журналов организации заключается в том, что новые учётные записи участников начинают автоматически записываться сразу после присоединения к организации.

Риск забыть настроить CloudTrail в недавно созданной учётной записи отсутствует. Покрытие масштабируется вместе с организацией, устраняя слепые зоны, характерные для управления отдельными журналами в каждой учётной записи.

Один журнал организации выгоднее и надёжнее множества отдельных журналов. Первая копия событий управления обычно бесплатна даже для нескольких учётных записей.

Вы получаете полное покрытие благодаря одной настройке: меньше компонентов, отсутствие пробелов и меньшие операционные затраты по сравнению с управлением журналами отдельно в каждой учётной записи.

Почему журналы организации устойчивы к подделке.

Журнал организации создаётся в учётной записи управления или делегированного администратора AWS Organizations и автоматически записывает события всех учётных записей участников в одну центральную корзину — в идеале в защищённую учётную запись архива журналов. Учётные записи участников не могут его отключить, что гарантирует устойчивое к подделке покрытие без пробелов. Для соблюдения принципа минимальных привилегий делегируйте администрирование учётной записи безопасности, объедините журнал с GuardDuty и Config для всей организации и получите полное покрытие дешевле, чем при использовании множества отдельных журналов.