Indsamling af logge i CloudWatch

Amazon CloudWatch Logs er den administrerede tjeneste, der indsamler, gemmer og søger i logdata fra dine AWS-ressourcer og applikationer. I stedet for at logs ligger på individuelle servere, hvor de kan gå tabt, når en instans afsluttes, streames de til et centralt og robust sted. For en sikkerhedsingeniør er det netop formålet med denne centralisering: Du kan ikke opdage eller undersøge det, du ikke kan se.

En loggruppe er en container, der indeholder relaterede logdata og definerer fælles indstillinger. Typisk repræsenterer én loggruppe én applikation eller tjeneste, f.eks. /aws/lambda/my-function. To indstillinger er vigtigst for sikkerheden: opbevaringsperioden, som bestemmer, hvor længe logs gemmes før automatisk sletning, og den valgfri KMS-nøgle, der bruges til at kryptere data i hvile.

Inde i en loggruppe er en logstrøm en sekvens af hændelser fra én enkelt kilde, f.eks. én EC2-instans eller ét Lambda-påkaldsmiljø. Hændelser ankommer med et tidsstempel og en meddelelse. Opdeling efter strøm holder kilderne adskilt, så du kan spore aktivitet tilbage til et bestemt ophav, samtidig med at alt grupperes logisk under én loggruppe.

EC2-instanser og lokale servere sender ikke logs automatisk. Den samlede CloudWatch-agent installeres på værten for at sende operativsystem-, applikations- og brugerdefinerede logfiler til CloudWatch Logs. Den indsamler også ekstra målinger som hukommelses- og diskforbrug, som hypervisoren ikke kan se. Agenten skal bruge en IAM-rolle, der giver den tilladelse til at skrive logs.

Mange AWS-tjenester logger direkte til CloudWatch uden en agent. Lambda skriver funktionsoutput, VPC Flow Logs kan målrettes en loggruppe, og Route 53 kan logge DNS-forespørgsler. CloudTrail kan også levere hændelser til CloudWatch Logs ud over S3. Det er en almindelig eksamensforskel at vide, hvilke kilder der er agentløse, og hvilke der er agentbaserede.

Som standard gemmer loggrupper data for evigt, hvilket stille og roligt får din regning til at vokse. Du angiver opbevaringen for hver loggruppe, fra én dag til ti år. Sikkerheds- og compliancekrav kræver ofte lang opbevaring af revisionsspor, mens støjende fejlsøgningslogs hurtigt kan udløbe. En balance mellem de to holder både revisorerne og økonomiafdelingen tilfredse.

CloudWatch Logs krypterer som standard data i hvile, men du kan knytte en kundeadministreret KMS-nøgle til en loggruppe for at få bedre kontrol. Det giver dig mulighed for præcist at styre, hvem der kan læse logs, via nøglepolitikken, og skaber en revisionssporbar registrering af nøglebrugen. Følsomme logs, der indeholder legitimationsoplysninger eller personhenførbare oplysninger, har størst fordel af dette.

Et abonnementsfilter streamer matchende loghændelser næsten i realtid til en anden destination, f.eks. Lambda, Kinesis Data Streams eller Amazon OpenSearch. Sikkerhedsteams bruger dette til straks at videresende logs til et SIEM eller en central logkonto, når hændelserne ankommer, i stedet for at eksportere dem samlet senere. Det gør CloudWatch Logs til en pipeline i realtid.

Til langsigtet arkivering til lave omkostninger kan du eksportere logdata til Amazon S3. S3 tilbyder billigere lagring, livscyklusregler til Glacier og Object Lock, der sikrer uforanderlighed. Et almindeligt mønster er kort opbevaring i CloudWatch for hurtig søgning kombineret med eksport til en låst S3-bucket til det flerårige compliancearkiv.

CloudWatch Logs Insights er et specialudviklet forespørgselssprog til interaktiv søgning i loggrupper. Du kan filtrere, aggregere og sortere på tværs af enorme datamængder uden at eksportere noget. Under en undersøgelse kan det hurtigt besvare spørgsmål som hvilken IP-adresse der udløste flest fejl, og det er derfor et hurtigt første skridt, før du går videre til Athena for en dybere analyse.

Selve logging-pipelinen er et mål. Giv kun CloudWatch-agentens rolle logs:CreateLogStream og logs:PutLogEvents – aldrig bredere tilladelser. Beskyt loggrupper, så angribere ikke kan slette dem for at skjule aktivitet, og videresend hurtigt kritiske logs til en separat konto. En log, du kontrollerer fra start til slut, er dokumentation, du kan stole på.

CloudWatch Logs centraliserer logdata i loggrupper, der består af logstrømme. EC2- og lokale værter har brug for den samlede agent, mens mange tjenester integrerer direkte. Angiv opbevaring for at styre omkostningerne, tilknyt en KMS-nøgle til følsomme data, og brug abonnementsfiltre eller S3-eksport til at sende data til et SIEM eller et arkiv. Når du låser pipelinen ned, forbliver din dokumentation troværdig.