Centralizează logurile într-un cont dedicat de Log Archive

Practica de a centraliza logurile într-un cont AWS dedicat, numit adesea „Log Archive”, separă datele operaționale de infrastructura critică, asigurând o arhitectură mai sigură și scalabilă. Dacă ignori această separare, riscurile de securitate cresc exponențial, deoarece accesul la resursele de producție devine prea periculos pentru echipele de dezvoltare sau audit. În plus, centralizarea simplifică conformitatea cu reglementările GDPR sau ISO, oferind un singur punct de control pentru retenția și protecția datelor sensibile.

Cum o aplici

1. Creează un cont AWS nou specializat doar pentru stocarea logurilor (ex: log-archive-prod).
2. Activează AWS CloudTrail la nivel de organizație (Organizations) și configurează-l să trimită fișierele de audit către un bucket S3 din acest cont dedicat.
3. Pentru logurile aplicațiilor (EC2, Lambda, ECS), folosește Amazon Kinesis Data Firehose sau CloudWatch Logs cu o destinație care redirecționează datele către S3-ul din contul de arhivă.
4. Aplică politici IAM stricte pe contul de arhivă: doar servicii de backup și auditorii au drept de scriere/citire, iar utilizatorii normali nu au acces.

Exemplu

Configurarea corectă implică redirecționarea explicită a CloudTrail-ului către un bucket din contul secundar, nu cel principal.

// Configurație CloudTrail - Corect
{
  "s3BucketName": "my-company-log-archive-bucket", // Bucket din contul DEDICAT
  "s3KeyPrefix": "cloudtrail/production",
  "isMultiRegionTrail": true
}

// Configurație CloudTrail - Greșită (Risc de securitate)
{
  "s3BucketName": "my-production-resources-bucket", // Bucket din contul OPERAȚIONAL
  "s3KeyPrefix": "logs"
}

În exemplul greșit, dacă cineva compromite contul de producție, poate șterge sau modifica propriile loguri pentru a acoperi urmele. În varianta corectă, atacatorul nu are permisiuni de scriere în contul de arhivă.

Cum verifici

Verifică existența logurilor în bucketul S3 dedicat folosind consola AWS sau CLI (aws s3 ls s3://my-company-log-archive-bucket/). Monitorizează metricile de erori ale serviciilor de logare (ex: CloudWatch Logs Insights) pentru a te asigura că nu se pierd evenimente critice. Rulează periodic un audit IAM pentru a confirma că niciun rol din contul de producție nu are permisiunea s3:PutObject asupra bucket-ului de arhivă.

Greșeli frecvente

• Acces invers: Permiterea contului de producție să scrie direct în S3-ul de arhivă fără a trece prin servicii gestionate (cum ar fi Kinesis), ceea ce complică controlul accesului.
• Retenție insuficientă: Stocarea logurilor în S3 fără activarea versiunilor sau a politicilor de retenție (Lifecycle Rules), riscând pierderea datelor necesare pentru investigații ulterioare.
• Costuri neoptimizate: Nu segmentarea logurilor după tip (audit vs. aplicație), ceea ce duce la dificultăți în analiza costurilor și în aplicarea politicilor de arhivare diferită.