تجميع السجلات في CloudWatch

‏Amazon CloudWatch Logs هي الخدمة المُدارة التي تجمع بيانات السجلات من موارد AWS وتطبيقاتك، وتخزنها وتتيح البحث فيها. بدلًا من بقاء السجلات على خوادم فردية قد تُفقد عند إنهاء مثيل، تُرسل السجلات إلى مكان مركزي دائم. وبالنسبة إلى مهندس الأمن، هذه المركزية هي الهدف الأساسي: فلا يمكنك اكتشاف ما لا تراه أو التحقيق فيه.

‏مجموعة السجلات هي حاوية تضم بيانات سجلات مترابطة وتحدد إعدادات مشتركة. وعادةً ما تمثل مجموعة سجلات واحدة تطبيقًا أو خدمة واحدة، مثل /aws/lambda/my-function. ويهم إعدادان أكثر من غيرهما لأغراض الأمان: فترة الاحتفاظ، التي تحدد مدة الاحتفاظ بالسجلات قبل حذفها تلقائيًا، ومفتاح KMS الاختياري المستخدم لتشفير البيانات وهي غير نشطة.

داخل مجموعة السجلات، يكون تدفق السجلات تسلسلًا من الأحداث الواردة من مصدر واحد، مثل مثيل EC2 واحد أو بيئة استدعاء Lambda واحدة. تصل الأحداث مع طابع زمني ورسالة. ويؤدي تقسيمها حسب التدفق إلى إبقاء المصادر منفصلة، بحيث يمكنك تتبع النشاط إلى أصل محدد، مع الاستمرار في تجميع كل شيء منطقيًا ضمن مجموعة سجلات واحدة.

لا ترسل مثيلات EC2 والخوادم المحلية السجلات تلقائيًا. يُثبَّت وكيل CloudWatch الموحّد على المضيف لإرسال ملفات سجلات نظام التشغيل والتطبيقات والسجلات المخصصة إلى CloudWatch Logs. كما يجمع مقاييس إضافية مثل استخدام الذاكرة والقرص، وهي مقاييس لا يستطيع برنامج Hypervisor رؤيتها. ويحتاج الوكيل إلى دور IAM يمنحه الإذن بكتابة السجلات.

تسجل العديد من خدمات AWS مباشرةً في CloudWatch دون الحاجة إلى وكيل. تكتب Lambda مخرجات الوظائف، ويمكن توجيه VPC Flow Logs إلى مجموعة سجلات، كما يمكن لـ Route 53 تسجيل استعلامات DNS. ويمكن لـ CloudTrail أيضًا تسليم الأحداث إلى CloudWatch Logs بالإضافة إلى S3. وتُعد معرفة المصادر التي تعمل دون وكيل مقابل المصادر التي تعتمد على وكيل تمييزًا شائعًا في الاختبارات.

تحتفظ مجموعات السجلات بالبيانات إلى الأبد افتراضيًا، ما يؤدي إلى زيادة فاتورتك تدريجيًا دون ملاحظة. ويمكنك ضبط فترة الاحتفاظ لكل مجموعة سجلات، من يوم واحد إلى عشر سنوات. وغالبًا ما يتطلب الأمان والامتثال فترة احتفاظ طويلة لمسارات التدقيق، بينما يمكن أن تنتهي صلاحية سجلات تصحيح الأخطاء الكثيفة بسرعة. ويساعد تحقيق التوازن بين الأمرين على إرضاء المدققين وفريق الشؤون المالية لديك.

تشفّر CloudWatch Logs البيانات وهي غير نشطة افتراضيًا، ولكن يمكنك ربط مفتاح KMS مُدار من العميل بمجموعة سجلات لتوفير تحكم أدق. ويتيح لك ذلك تحديد من يمكنه قراءة السجلات بدقة من خلال سياسة المفتاح، كما ينشئ سجلًا قابلًا للتدقيق لاستخدام المفتاح. وتستفيد السجلات الحساسة التي تتضمن بيانات اعتماد أو معلومات تعريف شخصية من ذلك بشكل أكبر.

يعمل عامل تصفية الاشتراك على بث أحداث السجلات المطابقة في وقت قريب من الفعلي إلى وجهة أخرى مثل Lambda أو Kinesis Data Streams أو Amazon OpenSearch. وتستخدم فرق الأمان هذه الميزة لإعادة توجيه السجلات إلى SIEM أو إلى حساب تسجيل مركزي فور وصول الأحداث، بدلًا من تصديرها على دفعات لاحقًا. وهكذا تتحول CloudWatch Logs إلى مسار بيانات مباشر.

لأغراض الأرشفة طويلة الأجل منخفضة التكلفة، يمكنك تصدير بيانات السجلات إلى Amazon S3. ويوفر S3 تخزينًا أقل تكلفة، وقواعد دورة حياة لنقل البيانات إلى Glacier، وميزة Object Lock لضمان عدم تغييرها. ومن الأنماط الشائعة الاحتفاظ بالسجلات لفترة قصيرة في CloudWatch للبحث السريع، مع تصديرها إلى حاوية S3 مؤمّنة جيدًا للاحتفاظ بسجل الامتثال لسنوات طويلة.

‏CloudWatch Logs Insights هي لغة استعلام مصممة خصيصًا للبحث التفاعلي في مجموعات السجلات. ويمكنك التصفية والتجميع والترتيب عبر أحجام هائلة من البيانات دون تصدير أي شيء. وأثناء التحقيق، تتيح لك الإجابة سريعًا عن أسئلة مثل عنوان IP الذي تسبب في أكبر عدد من الأخطاء، ما يجعلها خطوة أولى سريعة قبل الانتقال إلى Athena لتحليل أعمق.

يُعد مسار التسجيل نفسه هدفًا محتملًا. امنح دور وكيل CloudWatch الإذنين logs:CreateLogStream وlogs:PutLogEvents فقط، ولا تمنحه أذونات واسعة مطلقًا. واحمِ مجموعات السجلات حتى لا يتمكن المهاجمون من حذفها لإخفاء نشاطهم، وأعد توجيه السجلات المهمة بسرعة إلى حساب منفصل. فالسجل الذي تتحكم فيه من البداية إلى النهاية هو دليل يمكنك الوثوق به.

اختبر مدى استيعابك لجمع CloudWatch Logs.

تعمل CloudWatch Logs على توحيد بيانات السجلات في مجموعات سجلات مكوّنة من تدفقات سجلات. وتحتاج مضيفات EC2 والمضيفات المحلية إلى الوكيل الموحّد، بينما تتكامل العديد من الخدمات بشكل أصلي. اضبط الاحتفاظ للتحكم في التكلفة، وأرفق مفتاح KMS للبيانات الحساسة، واستخدم عوامل تصفية الاشتراك أو تصدير S3 لإرسال البيانات إلى SIEM أو أرشفتها. ويساعد تأمين مسار البيانات على بقاء أدلتك جديرة بالثقة.