Kök Hesap Kullanımını Algılama

Root kullanıcısı, bir AWS hesabı açıldığında oluşturulan hesap sahibi kimliğidir ve her eyleme ve kaynağa sınırsız erişime sahiptir. IAM ilkeleri veya SCP'ler tarafından sınırlandırılamaz. Bu güç nedeniyle Root kullanıcısının her türlü kullanımı, hemen uyarı vermeye değer, yüksek sinyalli bir güvenlik olayıdır.

AWS yönergeleri, Root kullanıcısını yalnızca onu gerektiren birkaç görev için kullanmanızı ve ardından bir daha kullanmamanızı önerir. Root için MFA'yı etkinleştirmeli, erişim anahtarlarını tamamen kaldırmalı ve günlük çalışmalar için IAM kimlikleri veya Identity Center kullanıcıları oluşturmalısınız. Erişim kilitlendikten sonra meşru Root etkinliği nadir ve planlı olmalıdır.

Root neredeyse hiçbir zaman oturum açmaması gerektiğinden, beklenmeyen bir Root oturumu açma olayı, güvenlik ihlalinin veya ilke ihlalinin güçlü bir göstergesidir. Bunu tespit etmek, temel CIS Benchmark izleme denetimlerinden ve sık karşılaşılan sınav senaryolarından biridir: beklenen yanıt, elle inceleme değil, CloudTrail'den beslenen bir metrik filtresi ve alarmdır.

Tespit işlemi, zaten bildiğiniz üç parçayı kullanır: CloudTrail oturum açma ve API olaylarını kaydeder, CloudTrail bir günlük grubuna teslim edecek şekilde yapılandırıldığında CloudWatch Logs bu olayları alır ve bir metrik filtresi ile alarm Root olaylarını anında bildirime dönüştürür. Zincirin çalışması için her parçanın yerinde olması gerekir.

Bir CloudTrail olayında, Root kullanıcısı eylemi gerçekleştirdiğinde userIdentity.type alanı Root değerine eşittir. Bir metrik filtresi bu alanla eşleşebilir. Rutin otomatik olaylardan kaynaklanan gürültüyü önlemek için filtreler genellikle AWS hizmeti olaylarını da hariç tutar; böylece uyarıyı yalnızca gerçek insan Root eylemleri tetikler.

CloudTrail varsayılan olarak CloudWatch Logs'a değil S3'e yazar. Gerçek zamana yakın bir alarm oluşturmak için iz yolunu olayları ayrıca bir CloudWatch Logs grubuna teslim edecek şekilde yapılandırmanız gerekir. Bunun için CloudTrail'in günlük grubuna yazmasına izin veren bir IAM rolü gerekir. Bu teslim adımı olmadan metrik filtresinin eşleşeceği hiçbir şey olmaz.

CloudTrail günlük grubu üzerinde userIdentity.type = Root ile eşleşen bir desen içeren bir metrik filtresi oluşturun. Her eşleşmeyi RootAccountUsageCount gibi bir metriğe bir değerle eşleyin. Artık her Root eylemi izleyebileceğiniz bir metriği artırır ve JSON içinde gömülü bir alanı ölçülebilir bir sinyale dönüştürür.

İlk Root olayında tetiklenmesi için metriğe, tek bir kısa dönem boyunca bir eşik değeri olarak bir atanmış bir CloudWatch alarmı ekleyin. Alarmı, güvenlik ekibinizin abone olduğu bir SNS konusuna yönlendirin. Sonuç, Root kullanıldığı anda neredeyse anında gönderilen bir uyarıdır.

Bir kuruluşta her üye hesabın kendi Root kullanıcısı vardır. Bir kuruluş iz yolu, tüm hesaplarda CloudTrail'i merkezileştirebilir ve tespiti merkezi günlük grubuna göre yalnızca bir kez oluşturabilirsiniz. Bu, hiçbir üye hesabın Root etkinliğinin izlenmeden gözden kaçmamasını sağlar; bu da temel bir yönetişim gereksinimidir.

Alarm çaldığında, aksi kanıtlanana kadar bunu bir olay olarak ele alın. Etkinliğin planlanmış ve yetkilendirilmiş bir görev olup olmadığını doğrulayın. Değilse hesabı güvenli hâle getirin: Root parolasını değiştirin, MFA'nın sağlam olduğunu doğrulayın, CloudTrail'de son Root eylemlerini inceleyin ve bir saldırganın oluşturmuş olabileceği yeni IAM kimliklerini veya anahtarlarını kontrol edin.

Root kullanımını tespit etmek, CloudTrail, CloudWatch Logs, metrik filtrelerini, alarmları ve SNS'yi tek bir gerçekçi denetimde bir araya getirir. Yanlış yanıtların elle inceleme, Root üzerinde IAM ilkeleri veya SCP'ler önerdiği sorularla karşılaşmayı bekleyin. Doğru yanıt her zaman otomatik tespit ve anında bildirimdir; çünkü Root sınırlandırılamaz, yalnızca izlenebilir.

Root kullanımı tespit desenini sınayın.

Root kullanıcısı sınırsız yetkiye sahiptir ve MFA ile, erişim anahtarı olmadan erişimi kilitlenmelidir. Her türlü kullanım yüksek sinyalli bir olaydır. CloudTrail'i CloudWatch Logs'a teslim ederek, userIdentity.type = Root üzerinde bir metrik filtresi ekleyerek ve bir CloudWatch alarmını bir SNS konusuna yönlendirerek bunu tespit edin. Kuruluşlarda bir kuruluş iz yolu, bu tespiti her hesap genelinde merkezileştirir.