Was CloudTrail aufzeichnet

Jede Aktion in AWS ist ein API-Aufruf – unabhängig davon, ob sie über die Konsole, die CLI, ein SDK oder einen anderen Service erfolgt. AWS CloudTrail zeichnet diese Aufrufe auf.

CloudTrail ist die Prüfspur, die die wesentlichen Sicherheitsfragen beantwortet: Wer hat was wann, von wo aus und für welche Ressource getan? Sie bildet damit die Grundlage für die Verantwortlichkeit in Ihrem Konto.

Jedes CloudTrail-Ereignis zeichnet umfangreiche Details auf: die identity, die den Aufruf ausgeführt hat, die Aktion (Ereignisname), den Zeitpunkt, die Quell-IP-Adresse, die Parameter und die Antwort.

Damit lässt sich genau rekonstruieren, was während eines Vorfalls geschehen ist, und jede Änderung kann einem bestimmten Principal zugeordnet werden.

CloudTrail protokolliert automatisch die letzten 90 Tage der Aktivitäten von Management-Ereignissen in der Event history, ohne dass eine Einrichtung erforderlich ist.

Für eine längere Aufbewahrung und vollständige Kontrolle erstellen Sie einen trail, der Ereignisse fortlaufend an S3 übermittelt. Für die Prüfung müssen Sie den standardmäßigen Verlauf von 90 Tagen von einem konfigurierten Trail unterscheiden können.

Ein trail erfasst Ereignisse und übermittelt sie zur langfristigen Speicherung an einen S3-Bucket sowie optional zur Echtzeitanalyse an CloudWatch Logs.

In der Regel erstellen Sie einen regionsübergreifenden Trail für die gesamte Organisation, damit keine Aktivität in einer Region der Protokollierung entgeht. Dies ist der dauerhafte, abfragbare Datensatz, anhand dessen Vorfälle untersucht werden.

Das Element userIdentity ordnet jeden Aufruf einem Principal zu – einem IAM-Benutzer, einer angenommenen Rolle, dem Root-Benutzer oder einem AWS-Service.

Bei einer Untersuchung ist diese Information äußerst wertvoll: Sie können damit eine verdächtige Aktion bis zu den genauen Anmeldeinformationen und der Sitzung zurückverfolgen, die sie ausgeführt hat – auch bei über eine Rollenkette angenommenen Anmeldeinformationen.

Die beiden Services werden leicht verwechselt. CloudTrail beantwortet die Frage „Wer hat welchen API-Aufruf ausgeführt?“ – es ist ein Audit-Log von Aktionen.

CloudWatch beantwortet die Frage „Wie arbeitet mein System?“ – mit Metriken, Logs und Alarmen zum Betriebszustand. CloudTrail kann Ereignisse an CloudWatch Logs senden, die Aufgaben der beiden Services sind jedoch unterschiedlich.

Ein falsch konfigurierter Trail für nur eine Region hinterlässt blinde Flecken, die ein Angreifer ausnutzen kann, indem er in einer nicht überwachten Region aktiv wird.

Durch die Aktivierung eines multi-region trail wird sichergestellt, dass Aktivitäten überall an einem Ort erfasst werden. AWS empfiehlt dies als Grundlage, damit keine Region ungeprüft bleibt.

Ein Angreifer, der Logs löschen kann, kann seine Spuren verwischen. Schützen Sie CloudTrail mit der log file validation (Digest-Dateien belegen, dass Logs nicht verändert wurden) und sichern Sie das S3-Ziel mit strengen Richtlinien und Object Lock ab.

Speichern Sie die Logs in einem separaten Konto, damit eine Kompromittierung der Workload nicht auf sie zugreifen kann.

Wenn Sie Trail-Ereignisse an CloudWatch Logs übermitteln, können Sie nahezu in Echtzeit reagieren: Metrikfilter und Alarme werden bei bestimmten Aktionen ausgelöst, beispielsweise bei einer Änderung der Sicherheitsgruppe oder einer Root-Anmeldung.

Damit werden Audit-Protokollierung und aktive Überwachung verbunden und der historische Datensatz in eine Live-Erkennung verwandelt.

Ein Trail übermittelt Ereignisse normalerweise innerhalb von etwa 15 Minuten nach dem API-Aufruf an S3. Er ist dauerhaft und zuverlässig, aber nicht sofort verfügbar.

Für eine schnellere Reaktion streamen Sie die Ereignisse an CloudWatch Logs, wo Alarme nahezu in Echtzeit ausgelöst werden können. Beachten Sie, dass CloudTrail in erster Linie ein Audit-Datensatz und kein eigenständiges Benachrichtigungssystem mit Millisekundenlatenz ist.

CloudTrail bildet die Grundlage für Erkennung, Untersuchungen und Compliance. In vielen SCS-C02-Szenarien kommt es darauf an, CloudTrail korrekt zu aktivieren, seine Logs zu schützen und sie abzufragen, um herauszufinden, was passiert ist.

Wenn eine Frage danach fragt, wie Sie feststellen können, wer eine Ressource gelöscht oder eine Richtlinie geändert hat, gehört CloudTrail fast immer zur Antwort.

Sie sollten wissen, wofür CloudTrail verwendet wird.

AWS CloudTrail ist das Audit-Protokoll Ihres Kontos. Es zeichnet jeden API-Aufruf mit der Identität des Aufrufenden, der Aktion, dem Zeitpunkt, der Quell-IP-Adresse und den Parametern auf. Standardmäßig bewahrt es 90 Tage lang Verwaltungsereignisse in der Event history auf. Für dauerhaft gespeicherte und abfragbare Logs erstellen Sie einen multi-region trail nach S3. Im Gegensatz zu CloudWatch, das die Leistung überwacht, beantwortet CloudTrail die Frage, wer was getan hat. Schützen Sie die Logs durch Validierung, Object Lock und ein separates Konto und leiten Sie sie für Echtzeitwarnungen an CloudWatch Logs weiter.