CloudTrail-spor og hændelseshistorik

AWS CloudTrail er en tjeneste, der registrerer hvert API-kald, som foretages på din AWS-konto – uanset om det kommer fra konsollen, CLI, SDK eller en anden AWS-tjeneste. Hver registrering kaldes en CloudTrail-hændelse og indeholder API-handlingen, anmoderens identitet, kilde-IP'en, anmodningsparametrene og svaret. CloudTrail er grundlaget for AWS-sikkerhedsrevision, compliance og operationel undersøgelse. Til SAA-C03-eksamen er det svaret, når et spørgsmål spørger: »Hvem foretog denne ændring?«

Som standard har alle AWS-konti adgang til CloudTrail Event History – en rullende registrering af administrationshændelser for 90 dage, som kan vises i konsollen eller forespørges via CLI. Du kan filtrere efter ressourcenavn, ressourcetype, hændelsesnavn eller brugernavn. Event History er gratis, kræver ingen konfiguration og er tilgængelig med det samme. Det er den hurtigste måde at undersøge nylige ændringer på, men hvis du har brug for længere opbevaring eller mere effektive forespørgsler, skal du oprette en Trail.

En Trail er en CloudTrail-konfiguration, der kontinuerligt leverer hændelser til en S3-bucket (og eventuelt til CloudWatch Logs). Du betaler for S3-lager og dataoverførsel. En Trail kan begrænses til én Region eller konfigureres som en Trail på tværs af flere Regions, der registrerer hændelser fra alle aktuelle og fremtidige Regions på din konto. Til SAA-C03-eksamen skal du altid anbefale en Trail på tværs af flere Regions – Trails for én Region går glip af aktivitet i andre Regions og betragtes som et sikkerhedshul.

CloudTrail registrerer to kategorier af hændelser: administrationshændelser (også kaldet control-plane-hændelser) registrerer handlinger på ressourcer – oprettelse af en EC2-instans, ændring af en sikkerhedsgruppe eller tilknytning af en IAM-politik. Disse er som standard aktiveret i alle Trails uden ekstra betaling pr. hændelse. Datahændelser registrerer handlinger på objektniveau – S3 GetObject, PutObject, DeleteObject eller Lambda Invoke. Datahændelser kan have meget stor volumen og medføre ekstra gebyrer, så de skal aktiveres eksplicit pr. ressource eller ressourcetype.

Levering af CloudTrail-hændelser til CloudWatch Logs muliggør alarmering i realtid på API-aktivitet. Du kan oprette metric filters på CloudTrail-loggruppen for at tælle bestemte hændelser – for eksempel kald til DeleteBucket eller CreateUser – og derefter indstille CloudWatch-alarmer til at advare dit sikkerhedsteam få minutter efter en mistænkelig handling. Dette er et centralt mønster i CIS AWS Foundations Benchmark, som SAA-C03-eksamen ofte henviser til.

Nogle AWS-tjenester – især IAM, STS, Route 53 og CloudFront – er globale og logger deres API-kald som globale tjenestehændelser. Disse hændelser registreres altid i Region us-east-1, uanset hvor handlingen blev igangsat. Når du opretter en Trail, skal du aktivere --include-global-service-events, så oprettelse af IAM-brugere, ændringer af politikker og STS-rolleantagelser registreres. Hvis du har flere Regionspecifikke Trails, skal du kun aktivere globale tjenestehændelser i én af dem for at undgå duplikerede logregistreringer.

CloudTrail kræver en specifik S3-bucketpolitik, der giver CloudTrail-tjenestens principal (cloudtrail.amazonaws.com) tilladelse til at kalde GetBucketAcl og PutObject på bucketen. AWS håndhæver, at bucketen ikke er offentligt tilgængelig, og at Object Ownership er indstillet til Bucket Owner Enforced. Gem aldrig CloudTrail-logs i den samme bucket, som din applikation bruger – det skaber en cirkulær afhængighed, hvor adgangen til revisionslogs afbrydes, hvis applikationsbucketen låses ned.

I en AWS Organisation kan du oprette en organisationstrail fra administrationskontoen, som automatisk gælder for alle medlemskonti – både nuværende og fremtidige. Medlemskonti kan ikke ændre eller slette organisationstrailen, hvilket sikrer, at revisionsdækningen ikke kan omgås. Organisationstrails leverer logs til en central S3-bucket med præfikser pr. konto, så et sikkerhedsteam kan forespørge på alle konti's revisionslogs ét sted ved hjælp af Athena eller et SIEM-værktøj.

CloudTrail-logs, der leveres til S3, er i JSON-format. Du kan bruge Amazon Athena-integrationen i CloudTrail-konsollen til automatisk at oprette en Glue-tabel, der er partitioneret efter konto, Region og dato. Det lader dig forespørge på måneders API-historik ved hjælp af standard-SQL uden at indlæse data i en database. Partitionér efter dato i dine forespørgsler (WHERE year='2024' AND month='01') for at undgå scanning af hele tabellen og holde Athena-omkostningerne under kontrol.

Der er to måder at søge i CloudTrail-poster på: Event History i konsollen (seneste 90 dage, kun administrationshændelser, begrænsede filtre) og Trail-logge i S3/Athena (ubegrænset opbevaring, også datahændelser, fuld SQL-funktionalitet). I eksamensscenarier: Hvis spørgsmålet handler om at undersøge en hændelse, der er ældre end 90 dage, eller om at forespørge på hændelser i dataplanet (S3 GetObject, Lambda Invoke), skal du altid anbefale at forespørge på sporingsloggene via Athena. Hvis spørgsmålet handler om den enkleste måde at undersøge en nylig administrationshændelse på, er Event History tilstrækkelig.

Husk disse til SAA-C03-eksamen: CloudTrail er ikke realtid — det kan tage op til 15 minutter at levere hændelser til S3 (brug CloudWatch Logs til alarmering næsten i realtid). Event History dækker 90 dage og kun administrationshændelser. Datahændelser skal aktiveres eksplicit og koster ekstra. Validering af logfiler bruger SHA-256-hashværdier til at registrere manipulation. Globale tjenestehændelser (IAM, STS, Route 53) vises kun i us-east-1. Organisationsspor kan ikke deaktiveres af medlemskonti.

I denne lektion lærte du, at: Event History giver gratis adgang til administrationshændelser for de seneste 90 dage, spor giver løbende levering til S3 med konfigurerbar opbevaring og valgfri datahændelser, og organisationsspor gælder for alle medlemskonti og ikke kan deaktiveres af dem. Næste emne er CloudTrail Insights og kontrol af logfilers integritet.