Hesaplar Arasında Kuruluş İzleri

Büyük kuruluşlar düzinelerce veya yüzlerce AWS hesabı çalıştırır. CloudTrail'i her hesapta ayrı ayrı yapılandırmak zahmetli ve hataya açıktır; tek bir hesabın atlanması bile görünmeyen bir alan oluşturur.

Bir organization trail, AWS Organization'ınızdaki tüm hesapların etkinliklerini tek bir yerden günlüğe kaydederek bu sorunu çözer.

Bir organization trail, AWS Organizations içindeki yönetim veya yetkilendirilmiş yönetici hesabında oluşturulur ve tüm üye hesaplara otomatik olarak uygulanır.

Her hesabın olayları tek bir merkezi iz ve S3 klasörüne aktarılır. Böylece hesap başına kurulum yapmadan eksiksiz ve tutarlı kapsam elde edilir.

Temel fayda, tek bir doğruluk kaynağı sağlamasıdır. Kuruluş genelindeki tüm API etkinlikleri, çoğunlukla özel bir günlük arşivi hesabında bulunan tek bir klasöre gelir.

İncelemeyi yapanlar herhangi bir yerdeki etkinliği görmek için tek bir konumu sorgular; ayrıca bir hesabın sessizce iz olmadan kalma riski yoktur.

En iyi uygulama, merkezi izin S3 klasörünü az sayıda kişinin erişebildiği, ayrı ve sıkı biçimde kilitlenmiş bir günlük arşivi hesabına yerleştirir.

Günlükleri burada yalıtmak, bir iş yükü hesabını ele geçiren saldırganın denetim izine erişmesini veya onu silmesini engeller. Bu, değiştirilmeye dayanıklı günlük kaydının temel unsurlarındandır.

Önemli bir güvenlik özelliği şudur: üye hesaplar kendilerine uygulanan kuruluş izini devre dışı bırakamaz veya değiştiremez.

İzi yalnızca yönetim veya yetkilendirilmiş yönetici hesabı denetler. Böylece ele geçirilmiş ya da kötü niyetli bir üye hesabı kendi etkinliklerinin günlüğe kaydedilmesini durduramaz. Bu, tutarlı kapsamı garanti eder.

İz yönetimini doğrudan yönetim hesabını kullanmak yerine özel bir güvenlik hesabına devredebilirsiniz.

Bu yaklaşım, güçlü yönetim hesabı için en az ayrıcalık ilkesine uyar ve güvenlik ekibinizin kuruluşun en hassas kök düzeyindeki erişimine sahip olmadan günlük kaydını yönetmesini sağlar.

Merkezi S3 klasöründe, her üye hesaptaki CloudTrail'in buraya yazmasına izin veren bir ilke bulunmalıdır.

AWS, kuruluş izleri için bunu otomatik olarak yapılandırır; yazma işlemlerini hesaba göre sınırlar ve kuruluş genelinden günlükleri almaya devam ederken klasörü güvenli tutan koşulları ekler.

Bir kuruluş izi, kuruluş genelindeki GuardDuty, Security Hub ve Config ile doğal biçimde birlikte çalışır; bunların tümü aynı yetkilendirilmiş güvenlik hesabından yönetilebilir.

Birlikte merkezi bir güvenlik operasyonları modeli oluştururlar: tespit, denetim ve yapılandırma takibi, her hesapta tutarlı tek bir görünümde birleştirilir.

Merkezi iz klasörünü, ilkesi günlük arşivi hesabında sıkı biçimde denetlenen bir KMS anahtarıyla şifreleyin.

Bu, beklemedeki denetim verilerini korur ve başka bir engel ekler: klasöre erişimi olsa bile saldırgan anahtar olmadan günlükleri okuyamaz. Gizlilik ve değişmezliği birlikte sağlamak için şifrelemeyi Object Lock ile birleştirin.

Kuruluş izlerinin güçlü bir özelliği, yeni üye hesapların kuruluşa katıldıkları anda otomatik olarak günlüğe kaydedilmesidir.

Yeni oluşturulan bir hesapta CloudTrail'i yapılandırmayı unutma riski yoktur. Kapsam kuruluşla birlikte büyür ve hesap başına iz yönetiminde sık görülen görünmeyen alanları ortadan kaldırır.

Tek bir kuruluş izi, çok sayıda ayrı izden daha uygun maliyetli ve güvenilirdir. Yönetim olaylarının ilk kopyası, hesaplar arasında bile genellikle ücretsizdir.

Tek bir yapılandırmayla tam kapsam elde edersiniz: daha az hareketli parça, boşluk olmaması ve izleri hesap hesap yönetmeye kıyasla daha düşük operasyonel yük.

Kuruluş izlerinin kurcalanmaya neden dirençli olduğunu açıklayın.

Bir organization trail, AWS Organizations içindeki yönetim veya yetkilendirilmiş yönetici hesabında oluşturulur ve her üye hesabın günlüklerini tek bir merkezi klasöre, ideal olarak kilitlenmiş bir günlük arşivi hesabına otomatik olarak gönderir. Üye hesaplar bunu devre dışı bırakamaz; böylece kurcalanmaya dayanıklı ve boşluksuz kapsam garanti edilir. En az ayrıcalık ilkesi için yönetimi bir güvenlik hesabına devredin, kuruluş genelindeki GuardDuty ve Config ile birlikte kullanın ve çok sayıda ayrı izden daha düşük maliyetle tam kapsam elde edin.