集中式日志归档账户

最强的日志保护方式，是将日志存放在专门用于归档的独立 AWS 账户中，并与运行工作负载的账户隔离。如果攻击者入侵了生产账户，他们仍然无法访问或删除存储在其无法控制的账户中的日志。这种隔离是成熟安全架构的基石。

在多账户组织中，专用的日志归档账户会接收其他每个账户的日志。AWS Control Tower 默认会在其着陆区中创建此账户，体现了 AWS 对这种模式的高度推荐。在此集中日志，可以为所有审计证据提供一个受保护的存放位置。

CloudTrail 中的组织跟踪会捕获组织内所有账户的事件，并将其传送到一个统一的存储桶，通常位于日志归档账户中。成员账户无法禁用或修改组织跟踪，因此即使某个成员账户被完全入侵，也无法阻止其事件被集中记录。

通过存储桶策略授予日志记录服务对中央存储桶的写入权限，即可实现跨账户传送日志。工作负载账户可以写入日志，但无法读取或删除日志，因为读取和删除权限仅授予归档账户中的安全角色。这样可以清晰地落实职责分离。

应当只有极少数主体能够访问日志归档账户，理想情况下，这些主体不应与管理工作负载的人员重合。访问权限仅限于小型安全团队或审计团队，通常通过严格限定范围的跨账户角色授予。减少能够接触归档的人员，可以降低证据遭到破坏的可能性。

组织级别的服务控制策略（SCP）可以在所有成员账户中拒绝cloudtrail:StopLogging、cloudtrail:DeleteTrail以及删除日志存储桶等操作。由于 SCP 即使对账户管理员也会限制权限，因此无论成员账户中的 IAM 权限如何，它都能阻止任何人禁用日志记录。

中央存储桶应结合上一课介绍的所有措施：合规模式下的对象锁定、版本控制、KMS 加密以及拒绝删除策略。只有当集中存放所有日志的位置不可变且受到严格控制时，这种集中方式才是安全的，因此归档账户会采用可用的最强存储桶加固措施。

除了 CloudTrail 之外，您还可以通过跨账户传送或复制，将 Config、VPC 流日志和应用程序日志集中到归档账户中。为所有日志类型提供一个统一且受保护的归档位置，可以简化保留、监控和调查，同时让每个日志来源都远离攻击者的触及范围。

安全团队可以从归档账户或专用安全工具账户使用 Athena 查询集中式日志。由于所有账户的日志都存放在一起，一次查询就可以跨整个组织进行搜寻，使组织范围内的调查和威胁搜寻远比逐个检查账户强大。

集中化还有助于恢复能力和保留：生命周期规则可以将逐渐老化的日志移动到 Glacier 等成本更低的存储中，同时由对象锁定保持不可变性；跨区域复制则可以防范区域性损失。归档会成为持久、长期保存且防篡改的记录，满足即使是严格的合规保留要求。

由组织跟踪提供日志、受 SCP 保护并通过对象锁定锁定的集中式不可变日志归档账户，是保障日志完整性的黄金标准。无论攻击者在工作负载账户中采取什么行动，它都能确保相关事实保存在攻击者永远无法触及的位置。

专用的日志归档账户将证据与工作负载账户隔离。组织跟踪会将 CloudTrail 集中到其存储桶中，成员账户无法禁用该跟踪。跨账户存储桶策略允许账户写入但不能删除，SCP在整个组织范围内拒绝StopLogging/DeleteTrail，而对象锁定与加密则使存储不可变。最终得到的是防篡改、可查询且符合要求的日志保留方案。