أحداث الإدارة والبيانات والرؤى

يلتقط CloudTrail ثلاث فئات من الأحداث، ومعرفة الفرق بينها أمر بالغ الأهمية للاختبار: management events وdata events وInsights events.

وتختلف هذه الفئات فيما تسجله، وما إذا كانت مفعّلة افتراضيًا، وتكلفتها — وهي فروق تؤثر في كل استراتيجية لتسجيل الأحداث.

تسجل management events عمليات مستوى التحكم — أي الإجراءات التي تدير الموارد، مثل إنشاء مثيل أو إرفاق سياسة أو تغيير مجموعة أمان.

تُسجّل هذه الأحداث افتراضيًا، وتكون النسخة الأولى منها مجانية عادةً. وتعتمد عليها معظم تحقيقات الأمان لمعرفة تغييرات الإعدادات والوصول.

تسجل data events عمليات مستوى البيانات — وهي الإجراءات الكثيفة على البيانات الموجودة داخل الموارد، مثل S3 GetObject/PutObject أو استدعاءات وظائف Lambda.

تكون هذه الأحداث متوقفة افتراضيًا وتترتب عليها تكلفة إضافية بسبب كثرة حجمها. ويمكنك تمكينها بشكل انتقائي حيث تكون الرؤية على مستوى الكائنات مهمة.

قد يجري تطبيق واحد ملايين الاستدعاءات للكائنات في S3 يوميًا، وهو عدد يفوق بكثير عدد إجراءات الإدارة.

يوفر تسجيلها جميعًا إمكانات قوية للتحليل الجنائي — إذ يمكنك معرفة الكائن الذي تمت قراءته بالضبط — لكن حجم السجلات يرفع التكلفة. خصّص أحداث البيانات للحاويات الحساسة بدلًا من تمكينها في كل مكان.

يكتشف CloudTrail Insights تلقائيًا أنماطًا غير معتادة لنشاط API، مثل الارتفاع المفاجئ في استدعاء نادر عادةً.

ويحدد خطًا أساسيًا للسلوك الطبيعي، ثم ينشئ حدث Insights عند انحراف النشاط عنه، كاشفًا عن حالات شاذة مثل موجة من عمليات حذف الموارد قد تشير إلى هجوم.

النموذج الذهني الواضح هو أن أحداث الإدارة تمثل مستوى التحكم، أي إدارة المورد، بينما تمثل أحداث البيانات مستوى البيانات، أي استخدام المورد.

إنشاء حاوية S3 هو إجراء إداري، أما قراءة كائن منها فهي إجراء على مستوى البيانات. ويساعدك هذا الفرق بشكل موثوق على تحديد نوع الحدث المناسب وتكلفته.

يمكنك تخصيص التسجيل ليشمل أحداث للقراءة فقط أو للكتابة فقط أو جميع الأحداث.

تلتقط أحداث الكتابة التغييرات، وهي محور التركيز الأمني المعتاد، بينما تلتقط أحداث القراءة عمليات الوصول. وتقلل التصفية الضوضاء والتكلفة؛ فمثلًا يمكنك تسجيل أحداث الإدارة للكتابة فقط، بالإضافة إلى أحداث البيانات في حاوياتك الأكثر حساسية.

تتيح لك Advanced event selectors تصفية أحداث البيانات بدقة، حسب ARN المورد أو اسم الحدث أو حقول أخرى، بدلًا من التسجيل الشامل أو عدم التسجيل مطلقًا.

يمكنك تسجيل GetObject في حاوية حساسة واحدة فقط، والتحكم بذلك في التكلفة والضوضاء معًا. وهذه الدقة هي ما يجعل تسجيل أحداث البيانات عمليًا على نطاق واسع.

بغض النظر عن أنواع الأحداث التي تمكّنها، تتدفق السجلات إلى حاوية S3 الخاصة بـ trail، ويمكن إرسالها اختياريًا إلى CloudWatch Logs.

وتصل أحداث Insights أيضًا إلى بادئة منفصلة في S3. وتهم معرفة الوجهات عند الاستعلام باستخدام Athena، وإعداد التنبيهات، وحماية السجلات — فالوجهة هي المكان الذي توجد فيه أدلتك فعليًا.

الإعداد الافتراضي المعقول هو تمكين trail متعدد المناطق يلتقط جميع أحداث management write، وإضافة data events فقط إلى الحاويات والوظائف التي تتعامل مع بيانات حساسة، وتشغيل Insights لاكتشاف الحالات الشاذة.

يحقق ذلك توازنًا بين الرؤية الأمنية الشاملة وتكلفة تسجيل أحداث البيانات ذات الحجم الكبير.

يختبر SCS-C02 كثيرًا قدرتك على مطابقة الحاجة بنوع الحدث المناسب: تتبع الوصول على مستوى الكائنات يعني data events؛ وتغييرات الإعدادات تعني management events؛ والارتفاعات غير المعتادة في النشاط تعني Insights.

تذكر أن أحداث البيانات متوقفة افتراضيًا وتكلفتها إضافية — وهذا من المشتتات المفضلة في إجابات الاختبار.

يسجل CloudTrail ثلاثة أنواع من الأحداث. تسجل Management events تغييرات مستوى التحكم وتكون مفعّلة افتراضيًا؛ وتسجل data events الوصول الكثيف إلى مستوى البيانات، مثل S3 GetObject، وتكون متوقفة افتراضيًا مع تكلفة إضافية؛ أما Insights events فتكتشف الأنماط الشاذة في نشاط API. استخدم نموذج مستوى التحكم مقابل مستوى البيانات، وصفِّ الأحداث حسب القراءة والكتابة لتقليل الضوضاء، ومكّن أحداث البيانات فقط في الموارد الحساسة لتحقيق توازن بين الرؤية والتكلفة.