Líneas base y registro centralizado

El patrón de las arquitecturas de cuentas múltiples es dedicar una cuenta, sin cargas de trabajo, a recibir y conservar los registros de todas las demás. AWS Control Tower, por ejemplo, crea para eso una cuenta de archivo de registros y otra de auditoría, ambas en una unidad de seguridad. Quien administra una cuenta de producción no administra esa cuenta de archivo.

La razón es la que viste en el módulo del registro: si el registro vive en la misma cuenta que vigila, quien compromete la cuenta puede borrar la constancia de lo que hizo. Con el registro en otra cuenta, el compromiso de una no llega a la prueba.

Que haya una cuenta central no garantiza que todas le entreguen. Cada cuenta debe estar configurada para enviar allí su registro, y eso se comprueba cuenta por cuenta, no se supone. Una cuenta que no entrega es un punto ciego: si pasa algo, la investigación empieza sin nada.

Abre el inventario de registro de las cuentas de AWS de Brasero y busca la que no lo envía a la cuenta central.

Una línea base es el conjunto mínimo de configuración que toda cuenta debe llevar desde que nace: registro encendido, bloqueo de acceso público, alertas básicas. Como cualquier plantilla, tiene versiones. Cuando sube de versión, las cuentas que ya existían no se actualizan solas: alguien tiene que reaplicarla, y las olvidadas se quedan con la configuración vieja sin que nada avise.

Compara la versión de línea base de cada cuenta de AWS de Brasero con la que usan las demás.

El destino del registro también se evalúa. Un archivo central que puede borrar el propio equipo de una cuenta vigilada no cumple su función. Lo que se busca es que el borrado sea imposible durante un plazo, incluso para quien administra, y que quien administra el destino no sea el mismo equipo cuyas acciones se registran.

Abre la tabla de destinos de registro de Brasero y compara las tres filas. Fíjate en quién puede borrar en cada una.

En Azure, el registro de actividad de una suscripción se envía a un espacio de trabajo. Si cada equipo crea el suyo, el registro queda repartido, con retenciones distintas y accesibles para quien debería ser vigilado. Se centraliza apuntando todas las suscripciones al mismo espacio, que vive en una suscripción de registro.

Abre la tabla de diagnóstico de Azure de Brasero y busca la suscripción que envía su registro a un espacio propio, en lugar del central.