CloudTrail-Trails und Ereignisverlauf

AWS CloudTrail ist ein Service, der jeden API-Aufruf in Ihrem AWS-Konto aufzeichnet – unabhängig davon, ob er über die Konsole, die CLI, das SDK oder einen anderen AWS-Service erfolgt. Jeder Datensatz wird als CloudTrail-Ereignis bezeichnet und enthält die API-Aktion, die Identität des Anforderers, die Quell-IP-Adresse, die Anfrageparameter und die Antwort. CloudTrail bildet die Grundlage für Sicherheitsüberwachung, Compliance und betriebliche Untersuchungen in AWS. Für die SAA-C03-Prüfung ist CloudTrail die richtige Antwort, wenn gefragt wird: „Wer hat diese Änderung vorgenommen?“

Standardmäßig hat jedes AWS-Konto Zugriff auf den CloudTrail-Ereignisverlauf – eine fortlaufende Aufzeichnung von Verwaltungsereignissen über 90 Tage, die in der Konsole angezeigt oder über die CLI abgefragt werden kann. Sie können nach Ressourcenname, Ressourcentyp, Ereignisname oder Benutzername filtern. Der Ereignisverlauf ist kostenlos, erfordert keine Konfiguration und steht sofort zur Verfügung. Er ist der schnellste Weg, kürzlich vorgenommene Änderungen zu untersuchen. Für eine längere Aufbewahrung oder leistungsfähigere Abfragen müssen Sie jedoch einen Trail erstellen.

Ein Trail ist eine CloudTrail-Konfiguration, die Ereignisse kontinuierlich an einen S3-Bucket (und optional an CloudWatch Logs) übermittelt. Sie zahlen für S3-Speicher und Datenübertragung. Ein Trail kann auf eine einzelne Region begrenzt oder als regionsübergreifender Trail konfiguriert werden, der Ereignisse aus jeder aktuellen und zukünftigen Region Ihres Kontos erfasst. Für die SAA-C03-Prüfung sollten Sie immer einen regionsübergreifenden Trail empfehlen – Trails für einzelne Regionen erfassen Aktivitäten in anderen Regionen nicht und gelten als Sicherheitslücke.

CloudTrail zeichnet zwei Ereigniskategorien auf: Verwaltungsereignisse (auch als Control-Plane-Ereignisse bezeichnet) erfassen Vorgänge an Ressourcen – etwa das Erstellen einer EC2-Instance, das Ändern einer Sicherheitsgruppe oder das Verknüpfen einer IAM-Richtlinie. Sie sind standardmäßig in jedem Trail aktiviert und verursachen keine zusätzlichen Gebühren pro Ereignis. Datenereignisse erfassen Vorgänge auf Objektebene – etwa S3 GetObject, PutObject, DeleteObject oder Lambda Invoke. Datenereignisse können ein sehr hohes Volumen erreichen und zusätzliche Gebühren verursachen. Daher müssen sie explizit pro Ressource oder Ressourcentyp aktiviert werden.

Durch die Übermittlung von CloudTrail-Ereignissen an CloudWatch Logs können Sie Echtzeitalarme für API-Aktivitäten einrichten. Sie können in der CloudTrail-Log-Gruppe Metrikfilter erstellen, um bestimmte Ereignisse zu zählen – beispielsweise Aufrufe von DeleteBucket oder CreateUser – und anschließend CloudWatch-Alarme konfigurieren, die Ihr Sicherheitsteam innerhalb weniger Minuten nach einer verdächtigen Aktion benachrichtigen. Dies ist ein zentrales Muster des CIS AWS Foundations Benchmark, auf den in der SAA-C03-Prüfung häufig verwiesen wird.

Einige AWS-Services – insbesondere IAM, STS, Route 53 und CloudFront – sind global und protokollieren ihre API-Aufrufe als Ereignisse globaler Services. Diese Ereignisse werden unabhängig davon, wo der Vorgang initiiert wurde, immer in der Region us-east-1 aufgezeichnet. Aktivieren Sie beim Erstellen eines Trails --include-global-service-events, damit die Erstellung von IAM-Benutzern, Richtlinienänderungen und STS-Rollenübernahmen erfasst werden. Wenn Sie mehrere regionsspezifische Trails haben, aktivieren Sie globale Serviceereignisse nur in einem davon, um doppelte Logeinträge zu vermeiden.

CloudTrail benötigt eine spezielle S3-Bucket-Richtlinie, die dem CloudTrail-Service Principal (cloudtrail.amazonaws.com) die Berechtigungen erteilt, GetBucketAcl und PutObject für den Bucket aufzurufen. AWS erzwingt, dass der Bucket nicht öffentlich zugänglich ist und die Objekteigentümerschaft auf „Bucket Owner Enforced“ gesetzt ist. Speichern Sie CloudTrail-Logs niemals im selben Bucket, den Ihre Anwendung verwendet – andernfalls entsteht eine zirkuläre Abhängigkeit, bei der der Zugriff auf Audit-Logs unterbrochen wird, wenn der Anwendungs-Bucket gesperrt wird.

In einer AWS-Organisation können Sie über das Verwaltungskonto einen Organisations-Trail erstellen, der automatisch für alle Mitgliedskonten gilt – für bestehende und zukünftige. Mitgliedskonten können den Organisations-Trail weder ändern noch löschen. Dadurch wird sichergestellt, dass die Audit-Abdeckung nicht umgangen werden kann. Organisations-Trails übermitteln Logs an einen zentralen S3-Bucket mit kontoabhängigen Präfixen. So kann ein Sicherheitsteam die Audit-Logs aller Konten zentral mit Athena oder einem SIEM-Tool abfragen.

In S3 übermittelte CloudTrail-Logs liegen im JSON-Format vor. Über die Amazon-Athena-Integration in der CloudTrail-Konsole können Sie automatisch eine Glue-Tabelle erstellen, die nach Konto, Region und Datum partitioniert ist. Dadurch können Sie Monate an API-Verlauf mit Standard-SQL abfragen, ohne die Daten in eine Datenbank zu laden. Nehmen Sie in Ihren Abfragen eine Partitionierung nach Datum vor (WHERE year='2024' AND month='01'), um vollständige Tabellenscans zu vermeiden und die Athena-Kosten zu kontrollieren.

Es gibt zwei Möglichkeiten, CloudTrail-Datensätze zu durchsuchen: den Ereignisverlauf in der Konsole (die letzten 90 Tage, nur Verwaltungsereignisse, begrenzte Filter) und Trail-Protokolle in S3/Athena (unbegrenzte Aufbewahrung, auch Datenereignisse, vollständige SQL-Möglichkeiten). Für Prüfungsszenarien gilt: Wenn die Frage die Untersuchung eines Ereignisses betrifft, das älter als 90 Tage ist, oder Datenebenenereignisse abgefragt werden sollen (S3 GetObject, Lambda Invoke), empfehlen Sie immer, die Trail-Protokolle über Athena abzufragen. Wenn nach dem einfachsten Ansatz zur Untersuchung eines aktuellen Verwaltungsereignisses gefragt wird, ist der Ereignisverlauf ausreichend.

Prägen Sie sich diese Fakten für die SAA-C03-Prüfung ein: CloudTrail arbeitet nicht in Echtzeit – die Übermittlung von Ereignissen an S3 kann bis zu 15 Minuten dauern (für Benachrichtigungen nahezu in Echtzeit verwenden Sie CloudWatch Logs). Der Ereignisverlauf umfasst 90 Tage und gilt nur für Verwaltungsereignisse. Datenereignisse müssen ausdrücklich aktiviert werden und verursachen zusätzliche Kosten. Die Validierung von Protokolldateien verwendet SHA-256-Hashes, um Manipulationen zu erkennen. Globale Serviceereignisse (IAM, STS, Route 53) werden nur in us-east-1 angezeigt. Organisationstrails können von Mitgliedskonten nicht deaktiviert werden.

Testen Sie Ihr Verständnis der AWS-Solutions-Architect-Konzepte (SAA-C03) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Der Ereignisverlauf bietet kostenlosen Zugriff auf Verwaltungsereignisse der letzten 90 Tage, Trails ermöglichen die kontinuierliche Übermittlung an S3 mit konfigurierbarer Aufbewahrung und optionalen Datenereignissen, und Organisationstrails gelten für alle Mitgliedskonten und können von diesen nicht deaktiviert werden. Als Nächstes behandeln wir CloudTrail Insights und die Überprüfung der Integrität von Protokolldateien.