Merkezi Günlük Arşivi Hesapları

En güçlü günlük koruması, günlükleri iş yüklerini çalıştıran hesaplardan yalıtılmış ve yalnızca arşivleme amacıyla kullanılan ayrı bir AWS hesabına yerleştirir. Bir saldırgan üretim hesabını ele geçirse bile, denetlemediği bir hesapta saklanan günlüklerine ulaşamaz veya bunları silemez. Bu yalıtım, olgun güvenlik mimarisinin temel taşlarından biridir.

Birden çok hesaplı kuruluşta, özel bir Günlük Arşivi hesabı diğer tüm hesaplardan günlükleri alır. AWS Control Tower, landing zone'unda varsayılan olarak tam olarak bu hesabı oluşturur; bu da AWS'nin bu modeli ne kadar güçlü biçimde önerdiğini gösterir. Günlükleri burada merkezileştirmek, tüm denetim kanıtları için korumalı tek bir yuva sağlar.

CloudTrail içindeki bir kuruluş izi, kuruluştaki tüm hesaplardan gelen olayları yakalar ve bunları genellikle Günlük Arşivi hesabında bulunan tek bir kovaya iletir. Üye hesaplar kuruluş izini devre dışı bırakamaz veya değiştiremez. Bu nedenle, tamamen ele geçirilmiş bir üye hesabı bile olaylarının merkezi olarak kaydedilmesini durduramaz.

Günlükler, kova politikası aracılığıyla günlük hizmetlerine merkezi kovaya yazma erişimi verilerek hesaplar arasında iletilir. İş yükü hesapları günlük yazabilir, ancak bunları okuyamaz veya silemez; çünkü okuma ve silme izinleri yalnızca arşiv hesabındaki güvenlik rollerine aittir. Bu, görevlerin ayrılmasını net biçimde uygular.

Günlük Arşivi hesabına çok az sayıda sorumlu erişebilmelidir ve ideal olarak bunların hiçbiri iş yüklerini yöneten kişilerle aynı olmamalıdır. Erişim, genellikle sıkı kapsamlandırılmış hesaplar arası roller aracılığıyla küçük bir güvenlik veya denetim ekibiyle sınırlandırılır. Arşive dokunabilecek kişi sayısını azaltmak, kanıtların tehlikeye girme olasılığını düşürür.

Kuruluş düzeyindeki Hizmet Denetim Politikaları (SCP'ler), tüm üye hesaplarda cloudtrail:StopLogging, cloudtrail:DeleteTrail ve günlük kovasının silinmesi gibi eylemleri reddedebilir. SCP'ler hesap yöneticileri için bile izinleri sınırladığından, IAM izinleri ne olursa olsun üye hesapta bulunan hiç kimsenin günlük kaydını devre dışı bırakmasını önler.

Merkezi kova, önceki derste ele alınan tüm özellikleri bir araya getirmelidir: Uyumluluk modunda Nesne Kilidi, sürüm oluşturma, KMS şifrelemesi ve silmeyi reddeden bir politika. Tüm günlükleri tek bir yerde toplamak, yalnızca bu yer değiştirilemez ve sıkı biçimde denetleniyorsa güvenlidir; bu nedenle arşiv hesabı kullanılabilir en güçlü kova sağlamlaştırmasını uygular.

CloudTrail'in yanı sıra Config, VPC Akış Günlükleri ve uygulama günlüklerini de genellikle hesaplar arası iletim veya çoğaltma yoluyla arşiv hesabında merkezileştirebilirsiniz. Tüm günlük türleri için tek ve korumalı bir arşiv kullanmak saklama, izleme ve incelemeyi kolaylaştırırken her kaynağı saldırganların erişemeyeceği yerde tutar.

Güvenlik ekipleri, merkezileştirilmiş günlükleri arşiv hesabından veya özel bir güvenlik araçları hesabından Athena ile sorgular. Tüm hesapların günlükleri bir arada bulunduğundan, tek bir sorguyla kuruluşun tamamında araştırma yapılabilir. Bu da kuruluş genelindeki incelemeyi ve tehdit avcılığını her hesabı ayrı ayrı kontrol etmekten çok daha güçlü hâle getirir.

Merkezileştirme ayrıca dayanıklılık ve saklamaya yardımcı olur: yaşam döngüsü kuralları, eskiyen günlükleri Glacier gibi daha ucuz depolamaya taşırken Nesne Kilidi değiştirilemezliği korur ve bölgeler arası çoğaltma bölgesel kayıplara karşı koruma sağlayabilir. Arşiv, en katı uyumluluk saklama gereksinimlerini bile karşılayan dayanıklı, uzun ömürlü ve kurcalamaya karşı korumalı bir kayda dönüşür.

Kuruluş iziyle beslenen, SCP'lerle korunan ve Nesne Kilidi ile kilitlenen merkezî ve değiştirilemez bir Günlük Arşivi hesabı, günlük bütünlüğü için altın standarttır. Saldırgan bir iş yükü hesabında ne yaparsa yapsın, eylemlerinin gerçeğinin asla ulaşamayacağı bir yerde korunmasını sağlar.

Özel bir Günlük Arşivi hesabı, kanıtları iş yükü hesaplarından yalıtır. Bir kuruluş izi, CloudTrail'i kendi kovasında merkezileştirir ve üye hesaplar bunu devre dışı bırakamaz. Hesaplar arası kova politikaları, hesapların yazmasına izin verir ancak silmesine izin vermez; SCP'ler kuruluş genelinde StopLogging/DeleteTrail eylemlerini reddeder ve Nesne Kilidi ile şifreleme depolamayı değiştirilemez hâle getirir. Sonuç, kurcalamaya karşı korumalı, sorgulamaya hazır ve uyumlu günlük saklamadır.