Management-, data- og insight-hændelser

CloudTrail registrerer tre kategorier af hændelser, og det er afgørende til eksamen at kende forskellen: administrationshændelser, datahændelser og Insights-hændelser.

De adskiller sig med hensyn til, hvad de registrerer, om de er aktiveret som standard, og hvor meget de koster — forskelle, der påvirker enhver strategi for logning.

Administrationshændelser registrerer handlinger i kontrolplanet — handlinger, der administrerer ressourcer, f.eks. oprettelse af en instans, tilknytning af en politik eller ændring af en sikkerhedsgruppe.

De logges som standard og er normalt gratis for den første kopi. Det er disse hændelser, som de fleste sikkerhedsundersøgelser bruger til at se ændringer i konfiguration og adgang.

Datahændelser registrerer handlinger i dataplanet — handlinger med stor volumen på dataene i ressourcer, f.eks. S3 GetObject/PutObject eller kald af Lambda-funktioner.

De er deaktiveret som standard og medfører ekstra omkostninger på grund af deres volumen. Du aktiverer dem selektivt dér, hvor synlighed på objektniveau er vigtig.

En enkelt applikation kan foretage millioner af S3-objektkald om dagen, hvilket langt overstiger antallet af administrationshandlinger.

Det er effektivt at logge dem alle til kriminaltekniske undersøgelser — du kan se præcis, hvilket objekt der blev læst — men mængden driver omkostningerne op. Begræns datahændelser til følsomme buckets i stedet for at aktivere dem overalt.

CloudTrail Insights registrerer automatisk usædvanlige mønstre i API-aktiviteten, f.eks. en pludselig stigning i et normalt sjældent kald.

Den opretter en normal adfærdsbaseline og genererer en Insights-hændelse, når aktiviteten afviger — f.eks. ved at fremhæve en række ressourcesletninger, der kan være tegn på et angreb.

En enkel mental model er, at administrationshændelser hører til i kontrolplanet (administration af ressourcen), mens datahændelser hører til i dataplanet (brug af ressourcen).

Oprettelse af en S3-bucket er administration; læsning af et objekt fra den er dataadgang. Denne skelnen fortæller dig pålideligt, hvilken hændelsestype og omkostningsprofil der gælder.

Du kan begrænse logning til kun læsning, kun skrivning eller alle hændelser.

Skrivehændelser registrerer ændringer, som normalt er sikkerhedsfokus, mens læsehændelser registrerer adgang. Filtrering reducerer støj og omkostninger — du kan f.eks. kun logge skrivehændelser i administrationen samt datahændelser på dine mest følsomme buckets.

Avancerede hændelsesvælgere lader dig filtrere datahændelser detaljeret — efter ressource-ARN, hændelsesnavn eller andre felter — i stedet for kun at kunne vælge mellem al eller ingen logning.

Du kan f.eks. kun logge GetObject på én følsom bucket, så du styrer både omkostninger og støj. Denne præcision gør logning af datahændelser praktisk i stor skala.

Uanset hvilke hændelsestyper du aktiverer, sendes posterne til din trails S3-bucket og eventuelt til CloudWatch Logs.

Insights-hændelser lander også i et separat S3-præfiks. Det er vigtigt at kende destinationerne, når du skal forespørge med Athena, konfigurere alarmer og beskytte loggene — det er på destinationen, dine beviser faktisk findes.

Et fornuftigt udgangspunkt er at aktivere en multi-region trail, der registrerer alle skrivehændelser i administrationen, tilføje datahændelser kun på buckets og funktioner, der håndterer følsomme data, og aktivere Insights til registrering af afvigelser.

Det skaber balance mellem omfattende sikkerhedssynlighed og omkostningerne ved datahændelser med stor volumen.

SCS-C02 tester ofte, om du kan knytte et behov til den rigtige hændelsestype: Sporing af adgang på objektniveau betyder datahændelser; konfigurationsændringer betyder administrationshændelser; usædvanlige stigninger i aktiviteten betyder Insights.

Husk, at datahændelser er deaktiveret som standard og koster ekstra — det er en populær distraktion i eksamenssvar.

CloudTrail registrerer tre hændelsestyper. Administrationshændelser logger ændringer i kontrolplanet og er aktiveret som standard; datahændelser logger dataadgang med stor volumen, f.eks. S3 GetObject, og er som standard deaktiveret med ekstra omkostninger; Insights-hændelser registrerer afvigende mønstre i API-aktiviteten. Brug modellen med kontrolplan kontra dataplan, filtrer efter læsning og skrivning for at reducere støj, og aktivér kun datahændelser på følsomme ressourcer for at skabe balance mellem synlighed og omkostninger.