Hvad CloudTrail registrerer

Enhver handling i AWS er et API-kald, uanset om det foretages fra konsollen, CLI'en, et SDK eller en anden tjeneste. AWS CloudTrail registrerer disse kald.

Det er det revisionsspor, der besvarer det afgørende sikkerhedsspørgsmål: Hvem gjorde hvad, hvornår, hvorfra og på hvilken ressource — grundlaget for ansvarlighed på din konto.

Hver CloudTrail-hændelse registrerer detaljerede oplysninger: den identitet, der foretog kaldet, handlingen (hændelsesnavnet), tidspunktet, kilde-IP-adressen, parametrene og svaret.

Det er nok til at rekonstruere præcis, hvad der skete under en hændelse, og knytte hver ændring til en bestemt principal.

CloudTrail logger automatisk de seneste 90 dage med aktivitet i forbindelse med administrationshændelser i Event history, uden at opsætning er nødvendig.

Hvis du vil have længere opbevaring og fuld kontrol, opretter du et trail, der løbende leverer hændelser til S3. Til eksamen skal du kende forskellen på standardhistorikken på 90 dage og et konfigureret trail.

Et trail opsamler hændelser og leverer dem til en S3-bucket til langtidsopbevaring og eventuelt til CloudWatch Logs til analyse i realtid.

Du opretter typisk et trail, der dækker flere regioner og hele organisationen, så ingen aktivitet i nogen region undgår logning. Det er den varige, søgbare registrering, som hændelser undersøges ud fra.

Elementet userIdentity knytter hvert kald til en principal — en IAM-bruger, en antaget rolle, rodbrugeren eller en AWS-tjeneste.

Under en undersøgelse er dette guld værd: Det lader dig spore en mistænkelig handling tilbage til præcis den legitimationsoplysning og session, der udførte den, også når legitimationsoplysningerne blev antaget gennem en kæde af roller.

Det er let at forveksle de to. CloudTrail besvarer spørgsmålet »hvem foretog hvilket API-kald« — en revisionslog over handlinger.

CloudWatch besvarer spørgsmålet »hvordan klarer mit system sig« — målepunkter, logfiler og alarmer om den operationelle tilstand. CloudTrail kan sende hændelser til CloudWatch Logs, men deres formål er forskelligt.

Et forkert konfigureret trail for én region efterlader blinde vinkler, som en angriber kan udnytte ved at operere i en uovervåget region.

Aktivering af et trail for flere regioner sikrer, at aktivitet overalt opsamles ét sted. AWS anbefaler dette som et grundniveau, så ingen region forbliver uden revision.

En angriber, der kan slette logfiler, kan skjule sine spor. Beskyt CloudTrail med validering af logfiler (digest-filer beviser, at logfilerne ikke er blevet ændret), og lås S3-destinationen med strenge politikker og Object Lock.

Opbevar logfilerne på en separat konto, så et kompromitteret arbejdsbelastningsmiljø ikke kan nå dem.

Lever trail-hændelser til CloudWatch Logs, så kan du reagere næsten i realtid: Metrikfiltre og alarmer udløses af bestemte handlinger, f.eks. en ændring af en sikkerhedsgruppe eller et rodlogin.

Det forbinder revisionslogning med aktiv overvågning og omdanner den historiske registrering til live-detektion.

Et trail leverer typisk hændelser til S3 inden for cirka 15 minutter efter API-kaldet. Det er holdbart og pålideligt, men ikke øjeblikkeligt.

Hvis du vil reagere hurtigere, kan du streame til CloudWatch Logs, hvor alarmer kan udløses næsten i realtid. Husk, at CloudTrail først og fremmest er en revisionsregistrering og ikke i sig selv et alarmsystem med millisekundsforsinkelse.

CloudTrail danner grundlaget for registrering, undersøgelse og overholdelse af krav. Mange scenarier i SCS-C02 afhænger af, at du aktiverer det korrekt, beskytter dets logge og forespørger i dem for at finde ud af, hvad der skete.

Hvis et spørgsmål handler om at finde ud af, hvem der slettede en ressource eller ændrede en politik, er CloudTrail næsten altid en del af svaret.

AWS CloudTrail er revisionsloggen for din konto og registrerer hvert API-kald med kaldets identitet, handling, tidspunkt, kilde-IP-adresse og parametre. Som standard opbevarer den 90 dages administrationshændelser i Event history. Opret en multi-region trail til S3 for holdbare logge, som du kan forespørge i. CloudTrail adskiller sig fra CloudWatch, der handler om ydeevne, ved at besvare spørgsmålet om, hvem der gjorde hvad. Beskyt loggene med validering, Object Lock og en separat konto, og send dem til CloudWatch Logs for alarmer i realtid.