Centralización de registros de auditoría SaaS con AWS AppFabric - Estandarización OCSF e integración con Security Lake
Explicamos la recopilación de registros de auditoría de aplicaciones SaaS con AppFabric, la estandarización al formato OCSF y la construcción de pipelines de análisis.
Descripción general de AppFabric
AppFabric es un servicio que estandariza y centraliza los registros de auditoría de las aplicaciones SaaS. Las múltiples aplicaciones SaaS que utilizan las empresas (Okta, Google Workspace, Slack, Salesforce, Microsoft 365, etc.) tienen cada una su propio formato de registro y su propia API, y el análisis de seguridad transversal requería desarrollar conectores individuales. AppFabric convierte automáticamente estos registros de auditoría al formato OCSF (Open Cybersecurity Schema Framework) y los entrega a S3 o Security Lake. Con AppFabric, usted conecta las aplicaciones SaaS sin escribir código y añade aplicaciones SaaS mediante configuración. A fecha de 2024, admite aplicaciones SaaS como Okta, Microsoft 365, Google Workspace, Slack, Zoom, Dropbox, Asana y Webex by Cisco.
Estandarización y análisis de registros
Cada aplicación SaaS utiliza su propio formato de registro, lo que dificulta el análisis transversal. Al estandarizar los registros al formato OCSF, AppFabric permite analizar de forma unificada «qué usuario realizó qué acción en qué aplicación SaaS». OCSF es un esquema abierto bajo la Linux Foundation que define campos comunes para cada categoría de eventos, como Authentication, Authorization, File Activity y API Activity. Esta estandarización permite buscar de forma transversal, con la misma consulta, los inicios de sesión fallidos de Okta y los intentos de acceso no autorizado de Microsoft 365. Si entrega los registros a Security Lake, puede combinar los registros de SaaS con CloudTrail, VPC Flow Logs y los hallazgos de GuardDuty, y conocer la postura de seguridad de toda la organización. En la visualización del acceso de los usuarios, puede detectar cuentas SaaS que no han iniciado sesión durante 30 días o más y utilizar el resultado para revisar las licencias.
Integración con Security Lake
Si especifica Security Lake como destino de salida de AppFabric, los registros de auditoría SaaS se incorporan a Security Lake en formato OCSF y puede analizarlos de forma integrada con los registros de los servicios de AWS (CloudTrail, VPC Flow Logs). Puede ejecutar en Athena consultas entre servicios, como «todas las aplicaciones SaaS a las que accedió un usuario concreto en las últimas 24 horas», y utilizarlas para investigar fraudes internos y cuentas comprometidas. También es posible la salida directa a S3, que se utiliza para reenviar los registros a un SIEM existente (Splunk, Datadog). En la configuración de ingesta de AppFabric, se registran las credenciales de cada aplicación SaaS y se configura el intervalo de obtención de los registros.
Casos de uso y patrones de implementación
Los principales casos de uso de AppFabric se dividen a grandes rasgos en tres. El primero es la investigación de incidentes de seguridad. Detecta comportamientos anómalos, como que un empleado que va a dejar la empresa descargue una gran cantidad de ficheros o que haya un inicio de sesión desde un país inusual, cruzando los registros de varias aplicaciones SaaS. El segundo es la auditoría de cumplimiento. Para obtener las certificaciones SOC 2 o ISO 27001 se exigen evidencias de «quién accedió a qué aplicación SaaS y cuándo», y al consultar directamente con Athena los registros agregados por AppFabric se puede reducir el esfuerzo de reunir evidencias para la auditoría. El tercero es la revisión de las licencias de SaaS. Se visualiza el número de usuarios activos y se utiliza para decidir la cancelación de las licencias no utilizadas. Como patrón de implementación, un método consiste en conectar primero la plataforma de autenticación (Okta/Azure AD) y el uso compartido de ficheros (Google Drive/SharePoint), y empezar por la visualización de las operaciones de alto riesgo (cambios de permisos / uso compartido externo).
Precios y limitaciones a tener en cuenta
AppFabric se factura según el número de eventos ingeridos. El precio varía según la escala de uso de las aplicaciones SaaS, y los detalles y ejemplos están en la página de precios de AWS AppFabric. La salida a Security Lake está incluida en el precio de AppFabric, pero el almacenamiento en Security Lake y las consultas de Athena se cobran aparte. Una limitación a tener en cuenta es que AppFabric se especializa en los registros de auditoría (quién hizo qué) y no obtiene los datos de contenido dentro de las aplicaciones SaaS (cuerpo de los correos, contenido de los ficheros). Además, como las aplicaciones SaaS compatibles se amplían progresivamente, es necesario comprobar de antemano si las aplicaciones SaaS que utiliza su empresa están incluidas en la lista de compatibilidad. El intervalo de obtención varía según la aplicación SaaS, desde casi en tiempo real hasta retrasos de varias horas, por lo que para la detección en la que el tiempo real es importante, considere combinarlo con GuardDuty u otros servicios. En cuanto a la gestión de costes, un método consiste en implantar por etapas las aplicaciones SaaS que se auditan, empezando por las aplicaciones con alto riesgo de seguridad (autenticación, uso compartido de ficheros).
El valor de la visibilidad de la seguridad SaaS
Cuantas más aplicaciones SaaS utiliza una empresa, más dispersos quedan los registros de auditoría en cada servicio con formatos distintos, y más difícil resulta conocer la seguridad en su conjunto. AppFabric agrega los registros de auditoría de varias aplicaciones SaaS y los unifica en un formato estándar común. Esto hace posible el análisis transversal entre servicios y permite detectar de forma centralizada indicios de amenazas, como inicios de sesión sospechosos o cambios de permisos. Si incorpora los registros estandarizados a la base de análisis de seguridad, puede utilizarlos en combinación con los mecanismos de supervisión existentes. Al integrar y visualizar la información de seguridad de SaaS que estaba dispersa, resulta más fácil conocer el estado de la seguridad de toda la organización.
Resumen
AppFabric es un servicio que estandariza / agrega en formato OCSF los registros de auditoría de varias aplicaciones SaaS. Unifica los formatos de registro propios de cada aplicación SaaS y, mediante la integración con Security Lake, permite analizar de forma transversal los registros de seguridad de la nube y de SaaS. Puede utilizarse en tres casos de uso (investigación de incidentes de seguridad, auditoría de cumplimiento y revisión de licencias), y las aplicaciones SaaS se pueden añadir mediante configuración sin desarrollar conectores.
Referencias (recursos oficiales de AWS)
Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.
- AWS AppFabric (página oficial)
- Amazon Security Lake (página oficial)
- Amazon S3 (página oficial)
- Documentación de AWS (oficial)
Si esta página y la documentación oficial difieren, prevalece la documentación oficial.