บัญชีจัดเก็บบันทึกส่วนกลาง

การป้องกันบันทึกที่แข็งแกร่งที่สุดคือการเก็บบันทึกไว้ใน บัญชี AWS แยกต่างหาก ที่จัดไว้สำหรับการเก็บถาวรโดยเฉพาะ และแยกออกจากบัญชีที่ใช้เรียกใช้เวิร์กโหลด หากผู้โจมตีเจาะบัญชีสำหรับใช้งานจริงได้ พวกเขาก็ยังไม่สามารถเข้าถึงหรือลบบันทึกที่เก็บอยู่ในบัญชีที่ตนไม่ได้ควบคุมได้ การแยกเช่นนี้เป็นรากฐานสำคัญของสถาปัตยกรรมความปลอดภัยที่成熟แล้ว

ในองค์กรที่มีหลายบัญชี บัญชี Log Archive ที่จัดไว้โดยเฉพาะจะรับบันทึกจากบัญชีอื่นทั้งหมด AWS Control Tower จะสร้างบัญชีนี้ให้โดยค่าเริ่มต้นใน landing zone ซึ่งสะท้อนว่า AWS แนะนำรูปแบบนี้อย่างมาก การรวมบันทึกไว้ที่นี่ทำให้มีแหล่งจัดเก็บที่ได้รับการปกป้องเพียงแห่งเดียวสำหรับหลักฐานการตรวจสอบทั้งหมด

แทรลขององค์กรใน CloudTrail จะบันทึกเหตุการณ์จากทุกบัญชีในองค์กรและส่งไปยังบักเก็ตเดียว ซึ่งโดยทั่วไปอยู่ในบัญชี Log Archive บัญชีสมาชิกไม่สามารถปิดใช้งานหรือแก้ไขแทรลขององค์กรได้ ดังนั้นแม้บัญชีสมาชิกจะถูกเจาะอย่างสมบูรณ์ ก็ยังไม่สามารถหยุดการบันทึกเหตุการณ์ของตนไว้ที่ศูนย์กลางได้

ระบบส่งบันทึกข้ามบัญชีโดยมอบสิทธิ์การเขียนให้บริการบันทึกข้อมูลลงในบักเก็ตส่วนกลางผ่าน นโยบายบักเก็ต บัญชีเวิร์กโหลดสามารถเขียนบันทึกได้ แต่ไม่สามารถอ่านหรือลบได้ เพราะสิทธิ์การอ่านและการลบมีอยู่เฉพาะกับบทบาทด้านความปลอดภัยในบัญชีจัดเก็บถาวรเท่านั้น วิธีนี้บังคับใช้การแบ่งแยกหน้าที่ได้อย่างชัดเจน

ควรมีผู้ใช้งานหรือบทบาทเพียงไม่กี่รายที่เข้าถึงบัญชี Log Archive ได้ และในอุดมคติไม่ควรเป็นบุคคลเดียวกับผู้ดูแลเวิร์กโหลด การเข้าถึงจะจำกัดไว้กับทีมความปลอดภัยหรือทีมตรวจสอบขนาดเล็ก ซึ่งมักดำเนินการผ่านบทบาทข้ามบัญชีที่กำหนดขอบเขตไว้อย่างรัดกุม การลดจำนวนผู้ที่สามารถแตะต้องคลังจัดเก็บถาวรได้จะลดโอกาสที่หลักฐานจะถูกทำลายหรือถูกเจาะ

นโยบายควบคุมบริการ (SCP) ในระดับองค์กรสามารถ ปฏิเสธ การกระทำต่าง ๆ เช่น cloudtrail:StopLogging cloudtrail:DeleteTrail และการลบบักเก็ตจัดเก็บบันทึกในบัญชีสมาชิกทั้งหมดได้ เนื่องจาก SCP จำกัดสิทธิ์ได้แม้แต่ผู้ดูแลบัญชี จึงป้องกันไม่ให้ผู้ใดในบัญชีสมาชิกปิดใช้การบันทึกข้อมูลได้ ไม่ว่าผู้นั้นจะมีสิทธิ์ IAM ใดก็ตาม

บักเก็ตส่วนกลางควรรวมทุกอย่างจากบทเรียนก่อนหน้า ได้แก่ Object Lock ในโหมด Compliance การกำหนดเวอร์ชัน การเข้ารหัส KMS และนโยบายปฏิเสธการลบ การรวมบันทึกทั้งหมดไว้ในที่เดียวจะปลอดภัยก็ต่อเมื่อสถานที่นั้นเปลี่ยนแปลงไม่ได้และมีการควบคุมอย่างเข้มงวด ดังนั้นบัญชีจัดเก็บถาวรจึงใช้การเสริมความปลอดภัยให้บักเก็ตในระดับสูงสุดที่มี

นอกจาก CloudTrail แล้ว คุณยังสามารถรวม Config บันทึกโฟลว์ VPC และบันทึกของแอปพลิเคชันไว้ในบัญชีจัดเก็บถาวรได้ด้วย โดยมักใช้การส่งข้อมูลหรือการจำลองแบบข้ามบัญชี คลังจัดเก็บถาวรที่ได้รับการปกป้องเพียงแห่งเดียวสำหรับบันทึกทุกประเภทช่วยให้การเก็บรักษา การตรวจสอบ และการสืบสวนง่ายขึ้น พร้อมทั้งเก็บแหล่งข้อมูลทุกแห่งให้พ้นจากการเข้าถึงของผู้โจมตี

ทีมความปลอดภัยสืบค้นบันทึกที่รวมศูนย์ด้วย Athena จากบัญชีจัดเก็บถาวรหรือบัญชีเครื่องมือความปลอดภัยโดยเฉพาะ เนื่องจากบันทึกของทุกบัญชีอยู่รวมกัน คำสั่งสืบค้นเพียงครั้งเดียวจึงสามารถค้นหาทั่วทั้งองค์กรได้ ทำให้การสืบสวนและการค้นหาภัยคุกคามทั่วทั้งองค์กรมีประสิทธิภาพกว่าการตรวจสอบทีละบัญชีอย่างมาก

การรวมศูนย์ยังช่วยด้านความยืดหยุ่นและการเก็บรักษาด้วย กฎวงจรชีวิตสามารถย้ายบันทึกที่เก่าขึ้นไปยังพื้นที่จัดเก็บราคาถูกกว่า เช่น Glacier ขณะที่ Object Lock ยังคงรักษาคุณสมบัติที่ไม่สามารถเปลี่ยนแปลงได้ และการจำลองแบบข้ามภูมิภาคช่วยป้องกันการสูญเสียระดับภูมิภาค คลังจัดเก็บถาวรจึงกลายเป็นบันทึกที่ทนทาน ใช้งานได้ยาวนาน และป้องกันการแก้ไข ซึ่งเป็นไปตามข้อกำหนดการเก็บรักษาที่เข้มงวดของการปฏิบัติตามข้อกำหนด

บัญชี Log Archive ที่รวมศูนย์และเปลี่ยนแปลงไม่ได้ ซึ่งรับข้อมูลจากแทรลขององค์กร ได้รับการปกป้องด้วย SCP และล็อกด้วย Object Lock ถือเป็นมาตรฐานสูงสุดด้านความถูกต้องสมบูรณ์ของบันทึก วิธีนี้ทำให้ไม่ว่าผู้โจมตีจะทำอะไรในบัญชีเวิร์กโหลด ความจริงเกี่ยวกับการกระทำของพวกเขาก็ยังคงอยู่ในสถานที่ที่พวกเขาไม่สามารถเข้าถึงได้

บัญชี Log Archive ที่จัดไว้โดยเฉพาะจะแยกหลักฐานออกจากบัญชีเวิร์กโหลด แทรลขององค์กรจะรวม CloudTrail ไว้ที่บักเก็ตของแทรล ซึ่งบัญชีสมาชิกไม่สามารถปิดใช้งานได้ นโยบายบักเก็ตข้ามบัญชีอนุญาตให้บัญชีต่าง ๆ เขียนได้แต่ลบไม่ได้ ขณะที่ SCP ปฏิเสธ StopLogging/DeleteTrail ทั่วทั้งองค์กร และ Object Lock ร่วมกับการเข้ารหัสทำให้พื้นที่จัดเก็บเปลี่ยนแปลงไม่ได้ ผลลัพธ์คือการเก็บรักษาบันทึกที่ป้องกันการแก้ไข พร้อมสำหรับการสืบค้น และเป็นไปตามข้อกำหนด