Lokien kerääminen CloudWatchiin

Amazon CloudWatch Logs on hallittu palvelu, joka kerää, tallentaa ja hakee lokitietoja AWS-resursseistasi ja sovelluksistasi. Sen sijaan että lokit jäisivät yksittäisille palvelimille ja voisivat kadota instanssin päättyessä, ne siirtyvät keskitettyyn ja kestävään sijaintiin. Tietoturvainsinöörille keskittäminen on koko palvelun tarkoitus: et voi havaita tai tutkia sellaista, mitä et näe.

Lokiryhmä on säilö, joka sisältää toisiinsa liittyviä lokitietoja ja määrittää yhteiset asetukset. Yksi lokiryhmä edustaa yleensä yhtä sovellusta tai palvelua, kuten /aws/lambda/my-function. Tietoturvan kannalta tärkeimmät asetukset ovat säilytysaika, joka määrittää, kuinka kauan lokit säilytetään ennen automaattista poistamista, sekä valinnainen KMS-avain, jolla tiedot salataan levossa.

Lokiryhmän sisällä lokivirta on yhdestä lähteestä, kuten yhdestä EC2-instanssista tai yhdestä Lambdan suoritusympäristöstä, tulevien tapahtumien sarja. Tapahtumat saapuvat aikaleiman ja viestin kanssa. Virtojen jakaminen pitää lähteet erillään, joten voit jäljittää toiminnan tiettyyn alkuperään ja silti ryhmitellä kaiken loogisesti yhden lokiryhmän alle.

EC2-instanssit ja paikalliset palvelimet eivät lähetä lokeja automaattisesti. Yhtenäinen CloudWatch-agentti asennetaan isäntään, jotta käyttöjärjestelmän, sovellusten ja omien lokitiedostojen tiedot voidaan lähettää CloudWatch Logsiin. Se kerää myös lisämittareita, kuten muistin ja levytilan käytön, joita hypervisor ei näe. Agentti tarvitsee IAM-roolin, joka antaa sille oikeuden kirjoittaa lokeja.

Monet AWS-palvelut kirjaavat lokit suoraan CloudWatchiin ilman agenttia. Lambda kirjoittaa funktion tulosteen, VPC Flow Logs voi käyttää kohteena lokiryhmää, ja Route 53 voi kirjata DNS-kyselyitä. CloudTrail voi toimittaa tapahtumia CloudWatch Logsiin S3:n lisäksi. Sen tietäminen, mitkä lähteet toimivat ilman agenttia ja mitkä edellyttävät agenttia, on yleinen kokeissa testattava ero.

Oletusarvoisesti lokiryhmät säilyttävät tiedot ikuisesti, mikä kasvattaa laskua huomaamatta. Voit määrittää säilytysajan jokaiselle lokiryhmälle yhdestä päivästä kymmeneen vuoteen. Tietoturva- ja vaatimustenmukaisuusvaatimukset edellyttävät usein pitkää säilytysaikaa auditointilokeille, kun taas runsaat debug-lokit voidaan poistaa nopeasti. Näin tasapainotat sekä auditoijien että talousosaston tarpeet.

CloudWatch Logs salaa levossa olevat tiedot oletusarvoisesti, mutta voit liittää lokiryhmään asiakkaan hallinnoiman KMS-avaimen hallinnan parantamiseksi. Näin voit hallita avainkäytännön avulla tarkasti, kuka saa lukea lokit, ja saat tarkastettavan lokin avaimen käytöstä. Tästä on eniten hyötyä arkaluonteisille lokeille, jotka sisältävät tunnistetietoja tai henkilötietoja.

Tilaussuodatin suoratoistaa täsmäävät lokitapahtumat lähes reaaliajassa toiseen kohteeseen, kuten Lambdaan, Kinesis Data Streamsiin tai Amazon OpenSearchiin. Tietoturvatiimit käyttävät tätä lokien välittämiseen SIEM-järjestelmään tai keskitettyyn lokitustiliin heti tapahtumien saapuessa sen sijaan, että ne vietäisiin erissä myöhemmin. Näin CloudWatch Logs muuttuu reaaliaikaiseksi tietoputkeksi.

Pitkäaikaista ja edullista arkistointia varten voit viedä lokitiedot Amazon S3:een. S3 tarjoaa edullisemman tallennuksen, elinkaarisäännöt Glacieriin siirtämistä varten sekä Object Lockin muuttumattomuutta varten. Yleinen toimintamalli on säilyttää lokit lyhyen aikaa CloudWatchissa nopeaa hakua varten ja viedä ne lisäksi lukittuun S3-säilöön vuosia kestävää vaatimustenmukaisuuden mukaista säilytystä varten.

CloudWatch Logs Insights on erityisesti lokiryhmien interaktiiviseen hakuun suunniteltu kyselykieli. Voit suodattaa, koostaa ja järjestää valtavia tietomääriä viemättä niitä muualle. Tutkinnan aikana voit sen avulla vastata nopeasti esimerkiksi kysymykseen siitä, mikä IP-osoite aiheutti eniten virheitä, joten se on nopea ensimmäinen vaihe ennen siirtymistä Athenaan syvempää analyysiä varten.

Myös lokitietoputki on hyökkäyksen kohde. Anna CloudWatch-agentin roolille vain oikeudet logs:CreateLogStream ja logs:PutLogEvents — älä koskaan laajoja käyttöoikeuksia. Suojaa lokiryhmät, jotta hyökkääjät eivät voi poistaa niitä piilottaakseen toimintansa, ja välitä kriittiset lokit nopeasti erilliseen tiliin. Lokit, joita hallitset päästä päähän, ovat luotettavaa todistusaineistoa.

CloudWatch Logs keskittää lokitiedot lokiryhmiin, jotka koostuvat lokivirroista. EC2-instanssit ja paikalliset isännät tarvitsevat yhtenäisen agentin, kun taas monet palvelut integroituvat natiivisti. Määritä säilytysaika kustannusten hallitsemiseksi, liitä arkaluonteisiin tietoihin KMS-avain ja käytä tilaussuodattimia tai S3-vientiä tietojen välittämiseen SIEM-järjestelmään tai arkistoon. Tietoputken tiukka suojaaminen pitää todistusaineiston luotettavana.