Organisationsspårning över konton

Stora organisationer använder dussintals eller hundratals AWS-konton. Att konfigurera CloudTrail separat i varje konto är tidskrävande och felbenäget, och ett enda konto som missas blir en blind fläck.

En organization trail löser detta genom att logga aktivitet i alla konton i er AWS Organization från en enda plats.

En organization trail skapas i hanteringskontot eller ett delegerat administratörskonto för AWS Organizations och tillämpas automatiskt på alla medlemskonton.

Händelser från varje konto skickas till en central trail och S3-bucket, vilket ger fullständig och enhetlig täckning utan konfigurering per konto.

Den viktigaste fördelen är en enda sanningskälla. All API-aktivitet i organisationen hamnar i en bucket, ofta i ett särskilt log archive account.

Utredare kan efterfråga data från en enda plats för att se aktivitet var som helst, och det finns ingen risk att ett konto i tysthet saknar en trail.

En bästa praxis är att placera den centrala trailens S3-bucket i ett separat och strikt skyddat log archive account som få personer har åtkomst till.

Genom att isolera loggarna här kan en angripare som komprometterar ett arbetsbelastningskonto ändå inte komma åt eller ta bort granskningsloggen — en grundpelare i manipulationsresistent loggning.

En viktig säkerhetsegenskap är att medlemskonton inte kan stänga av eller ändra den organization trail som tillämpas på dem.

Endast hanteringskontot eller den delegerade administratören styr den. Därför kan ett komprometterat eller skadligt medlemskonto inte stoppa loggningen av sin egen aktivitet. Detta garanterar enhetlig täckning.

Ni kan delegera hanteringen av trailen till ett särskilt security account i stället för att använda hanteringskontot direkt.

Detta följer principen om minsta privilegium för det kraftfulla hanteringskontot och gör att säkerhetsteamet kan ansvara för loggningen utan att ha organisationens känsligaste åtkomst på rotnivå.

Den centrala S3-bucketen behöver en policy som tillåter CloudTrail från alla medlemskonton att skriva till den.

AWS konfigurerar detta automatiskt för organization trails, begränsar skrivningar utifrån konto och lägger till villkor som håller bucketen säker samtidigt som loggar kan tas emot från hela organisationen.

En organization trail passar naturligt ihop med GuardDuty, Security Hub och Config som gäller hela organisationen och som alla administreras från samma delegerade säkerhetskonto.

Tillsammans bildar de en centraliserad modell för säkerhetsdrift: identifiering, granskning och konfigurationsspårning förenas för alla konton i en enhetlig vy.

Kryptera den centrala trail-bucketen med en KMS-nyckel vars policy är strikt kontrollerad i kontot för loggarkiv.

Detta skyddar granskningsdata i vila och skapar ytterligare en barriär: även med åtkomst till bucketen kan en angripare inte läsa loggarna utan nyckeln. Kombinera kryptering med Object Lock för att uppnå både sekretess och oföränderlighet.

En kraftfull egenskap hos organization trails är att nya medlemskonton loggas automatiskt så snart de ansluter till organisationen.

Det finns ingen risk att ni glömmer att konfigurera CloudTrail på ett nyskapat konto. Täckningen skalar med organisationen och eliminerar de blinda fläckar som ofta uppstår när trails hanteras konto för konto.

En organization trail är mer kostnadseffektiv och tillförlitlig än många individuella trails. Den första kopian av management events är vanligtvis kostnadsfri även mellan konton.

Ni får full täckning med en enda konfiguration — färre rörliga delar, inga luckor och mindre administrativt arbete än vid hantering av trails konto för konto.

En organization trail skapas i hanteringskontot eller det delegerade administratörskontot för AWS Organizations och loggar automatiskt alla medlemskonton till en central bucket — helst i ett strikt skyddat log archive account. Medlemskonton kan inte inaktivera den, vilket garanterar manipulationsresistent täckning utan luckor. Delegera administrationen till ett säkerhetskonto för att följa principen om minsta privilegium, kombinera lösningen med GuardDuty och Config för hela organisationen och få full täckning billigare än med många separata trails.