CloudTrail-tapahtumatietueen lukeminen

CloudTrail-tapahtuma on JSON-tietue, jolla on yhdenmukainen joukko kenttiä. Kun opitte lukemaan sitä, voitte selvittää tarkasti, mitä tutkinnan aikana tapahtui.

Jokainen tietue kuvaa yhtä API-kutsua: kuka sen teki, mitä hän teki, milloin ja mistä kutsu tehtiin sekä mikä oli tulos.

Tietoturvan kannalta tärkein kenttä on userIdentity. Se kuvaa kutsun tehnyttä päätoimijaa — sen tyypin (IAMUser, AssumedRole, Root, AWSService), tilin ja ARN:n (Amazon Resource Name).

Näin toiminto voidaan yhdistää luotettavasti tiettyyn henkilöön, rooliin tai palveluun.

eventName on kutsuttu API-toiminto, kuten DeleteBucket tai RunInstances, ja eventSource on siihen kuuluva palvelu, kuten s3.amazonaws.com.

Yhdessä ne kertovat täsmällisesti, mikä toiminto suoritettiin, mikä on minkä tahansa tapahtuman ymmärtämisen ydin.

eventTime-aikaleima (UTC-ajassa), awsRegion ja sourceIPAddress sijoittavat kutsun aikaan ja paikkaan.

Odottamattomalta alueelta tai tuntemattomasta IP-osoitteesta tehty kutsu on tyypillinen hälytysmerkki. User agent -kenttä kertoo lisäksi, miten kutsu tehtiin — konsolilla, CLI:llä vai SDK:lla.

requestParameters näyttää kutsun syötteet — minkä bucketin, instanssin tai käytännön kutsu koski — ja responseElements näyttää, mitä AWS palautti, kuten juuri luodun resurssin tunnisteen.

Näin näette tarkalleen, mitä muutettiin ja mikä oli lopputulos, etteivät tiedot rajoitu vain siihen, että jotain tapahtui.

Jos kutsu hylättiin, tietue sisältää kentät errorCode ja errorMessage, kuten AccessDenied.

Yhden päätoimijan tekemien hylättyjen kutsujen ryöppy tarkoittaa usein, että hyökkääjä kokeilee, mihin varastettua tunnistetietoa voi käyttää. Epäonnistuneet tapahtumat ovat tutkinnan kannalta yhtä arvokkaita kuin onnistuneet.

Kun käyttöoikeus kulkee oletettujen roolien kautta, seuratkaa ketjua. userIdentity voi näyttää oletetun roolin istunnon, ja sessionContext paljastaa sen taustalla olevan päätoimijan, joka oletuksen teki.

Ketjun jäljittäminen kertoo, kuka toiminnon lopulta suoritti, vaikka mukana olisi useita roolihyppyjä.

Kentät kuten readOnly ja managementEvent kertovat yhdellä silmäyksellä kutsun luonteen — muuttiko se jotakin ja oliko kyseessä ohjaustason toiminto.

Niiden avulla voit suodattaa nopeasti tapahtumat, jotka muuttivat ympäristöäsi, kun käyt läpi suurta määrää tietueita.

Yhden tietueen lukeminen käsin on helppoa, mutta miljoonien tietueiden läpikäynti ei ole. Lähetä lokit CloudWatch Logsiin tai tee S3-arkistosta kyselyitä SQL:n avulla Athenalla.

Voit suodattaa kenttien userIdentity, eventName, sourceIPAddress tai errorCode perusteella ja löytää täsmällisesti tutkinnan kannalta olennaiset kutsut.

userAgent-kenttä paljastaa, miten kutsu tehtiin — AWS-konsolilla, tietyllä CLI-versiolla, SDK:lla tai automaatiotyökalulla.

Odottamaton käyttäjäagentti voi viitata hyökkääjän työkaluihin. Jos normaalisti konsolista tuleva kutsu saapuu yhtäkkiä raakaa SDK:ta käyttäen epätavallisesta IP-osoitteesta, kyseessä on hienovarainen poikkeama, joka kannattaa tutkia tarkemmin.

Tutkinnassa yhdistät kentät: kuka (userIdentity) teki mitä (eventName), mille resurssille (requestParameters), milloin (eventTime), mistä (sourceIPAddress) ja millä tuloksella (responseElements tai errorCode).

Yhdestä tietueesta muodostuva kokonaiskuva on AWS:n API-aktiviteetin forensiikan ydin.

CloudTrail-tapahtuma on JSON-tietue, jonka keskeiset kentät vastaavat kattavan tutkinnan tärkeimpiin kysymyksiin: userIdentity (kuka, ARN-tunnisteen ja sessionContextin kautta muodostuvan rooliketjun kera), eventName/eventSource (mitä), eventTime/awsRegion/sourceIPAddress (milloin ja missä) sekä requestParameters/responseElements tai errorCode (muutos ja tulos). Epäonnistuneet AccessDenied-tapahtumat ovat arvokkaita signaaleja, ja Athenan avulla voit tehdä kyselyitä tietueista suuressa mittakaavassa.