Protokolle in CloudWatch sammeln

Amazon CloudWatch Logs ist ein verwalteter Service, der Protokolldaten aus Ihren AWS-Ressourcen und Anwendungen sammelt, speichert und durchsucht. Statt dass Logs auf einzelnen Servern liegen und beim Beenden einer Instance verloren gehen können, werden sie an einen zentralen, dauerhaften Speicher übertragen. Für Security Engineers ist diese Zentralisierung der entscheidende Punkt: Was Sie nicht sehen können, können Sie weder erkennen noch untersuchen.

Eine Log-Gruppe ist ein Container für zusammengehörige Protokolldaten und legt gemeinsame Einstellungen fest. In der Regel steht eine Log-Gruppe für eine Anwendung oder einen Service, etwa /aws/lambda/my-function. Für die Sicherheit sind zwei Einstellungen besonders wichtig: die Aufbewahrungsdauer, die festlegt, wie lange Logs vor der automatischen Löschung aufbewahrt werden, und der optionale KMS-Schlüssel, mit dem die Daten im Ruhezustand verschlüsselt werden.

Innerhalb einer Log-Gruppe ist ein Log-Stream eine Folge von Ereignissen aus einer einzelnen Quelle, etwa einer EC2-Instance oder einer Lambda-Aufrufumgebung. Ereignisse werden mit einem Zeitstempel und einer Nachricht empfangen. Die Aufteilung nach Streams hält Quellen getrennt, sodass Sie Aktivitäten zu einem bestimmten Ursprung zurückverfolgen können, während alle Daten logisch unter einer Log-Gruppe zusammengefasst bleiben.

EC2-Instances und lokale Server senden Logs nicht automatisch. Der einheitliche CloudWatch-Agent wird auf dem Host installiert, um Betriebssystem-, Anwendungs- und benutzerdefinierte Logdateien an CloudWatch Logs zu übertragen. Außerdem sammelt er zusätzliche Metriken wie Speicher- und Festplattenauslastung, die der Hypervisor nicht erkennen kann. Der Agent benötigt eine IAM-Rolle mit der Berechtigung, Logs zu schreiben.

Viele AWS-Services schreiben ohne Agent direkt in CloudWatch. Lambda schreibt die Ausgabe von Funktionen, VPC Flow Logs können an eine Log-Gruppe gesendet werden, und Route 53 kann DNS-Abfragen protokollieren. CloudTrail kann Ereignisse zusätzlich zu S3 auch an CloudWatch Logs übermitteln. Zu wissen, welche Quellen agentenlos und welche agentenbasiert sind, ist eine typische Prüfungsunterscheidung.

Standardmäßig bewahren Log-Gruppen Daten unbegrenzt auf, wodurch Ihre Rechnung unbemerkt wächst. Sie legen die Aufbewahrungsdauer für jede Log-Gruppe fest – von einem Tag bis zu zehn Jahren. Sicherheit und Compliance erfordern für Audit-Trails oft eine lange Aufbewahrung, während umfangreiche Debug-Logs schnell ablaufen können. Durch die richtige Balance sind sowohl Auditoren als auch Ihr Finanzteam zufrieden.

CloudWatch Logs verschlüsselt Daten standardmäßig im Ruhezustand. Sie können jedoch einer Log-Gruppe einen kundenseitig verwalteten KMS-Schlüssel zuordnen, um die Kontrolle zu verschärfen. Dadurch können Sie über die Schlüsselrichtlinie genau steuern, wer die Logs lesen darf, und erhalten einen prüfbaren Nachweis über die Verwendung des Schlüssels. Besonders sensible Logs mit Zugangsdaten oder personenbezogenen Daten profitieren davon.

Ein Subscription-Filter überträgt passende Log-Ereignisse nahezu in Echtzeit an ein anderes Ziel, etwa Lambda, Kinesis Data Streams oder Amazon OpenSearch. Sicherheitsteams nutzen dies, um Logs sofort nach ihrem Eingang an ein SIEM oder ein zentrales Logging-Konto weiterzuleiten, statt sie später stapelweise zu exportieren. Dadurch wird CloudWatch Logs zu einer Live-Pipeline.

Für eine langfristige und kostengünstige Archivierung können Sie Protokolldaten nach Amazon S3 exportieren. S3 bietet günstigeren Speicher, Lifecycle-Regeln für Glacier und Object Lock für Unveränderbarkeit. Ein gängiges Muster ist eine kurze Aufbewahrung in CloudWatch für schnelle Suchen sowie ein Export in einen abgesicherten S3-Bucket für den jahrelangen Compliance-Nachweis.

CloudWatch Logs Insights ist eine speziell entwickelte Abfragesprache für die interaktive Suche in Log-Gruppen. Sie können große Datenmengen filtern, aggregieren und sortieren, ohne etwas zu exportieren. Während einer Untersuchung können Sie damit schnell Fragen beantworten, etwa welche IP-Adresse die meisten Fehler ausgelöst hat. Das ist ein schneller erster Schritt, bevor Sie für eine tiefere Analyse zu Athena wechseln.

Die Logging-Pipeline selbst ist ein Ziel für Angreifer. Vergeben Sie der Rolle des CloudWatch-Agents nur logs:CreateLogStream und logs:PutLogEvents, niemals weitreichende Berechtigungen. Schützen Sie Log-Gruppen, damit Angreifer sie nicht löschen können, um Aktivitäten zu verbergen, und leiten Sie kritische Logs schnell an ein separates Konto weiter. Ein Log, das Sie vollständig kontrollieren, ist ein Beweismittel, dem Sie vertrauen können.

Testen Sie Ihr Verständnis der Sammlung mit CloudWatch Logs.

CloudWatch Logs zentralisiert Protokolldaten in Log-Gruppen, die aus Log-Streams bestehen. EC2- und lokale Hosts benötigen den einheitlichen Agenten, während viele Services nativ integriert sind. Legen Sie die Aufbewahrungsdauer fest, um Kosten zu steuern, fügen Sie für sensible Daten einen KMS-Schlüssel hinzu und verwenden Sie Subscription-Filter oder den S3-Export, um ein SIEM zu versorgen oder Daten zu archivieren. Durch die Absicherung der Pipeline bleiben Ihre Beweismittel vertrauenswürdig.