Mitä CloudTrail tallentaa

Jokainen AWS:n toiminto on API-kutsu riippumatta siitä, tehdäänkö se konsolissa, CLI:llä, SDK:lla tai toisesta palvelusta. AWS CloudTrail tallentaa nämä kutsut.

Se on tarkastusketju, joka vastaa olennaiseen tietoturvakysymykseen: kuka teki mitä, milloin, mistä ja mihin resurssiin — ja muodostaa tilinne vastuuvelvollisuuden perustan.

Jokainen CloudTrail-tapahtuma tallentaa runsaasti tietoja: kutsun tehneen identiteetin, toiminnon eli tapahtuman nimen, ajan, lähde-IP-osoitteen, parametrit ja vastauksen.

Näiden tietojen avulla voidaan selvittää tarkasti, mitä häiriötilanteen aikana tapahtui, ja yhdistää jokainen muutos tiettyyn pääkäyttäjään.

CloudTrail kirjaa hallintatapahtumat automaattisesti viimeisten 90 päivän ajalta Event history -historiaan ilman määrityksiä.

Jos tarvitsette pidemmän säilytysajan ja täyden hallinnan, luokaa trail, joka toimittaa tapahtumat jatkuvasti S3:een. Kokeessa on tunnettava oletusarvoinen 90 päivän historia ja määritetty trail.

Trail kerää tapahtumat ja toimittaa ne S3-bucketiin pitkäaikaista säilytystä varten ja haluttaessa CloudWatch Logs -palveluun reaaliaikaista analyysiä varten.

Yleensä kannattaa luoda usean alueen ja koko organisaation kattava trail, jotta minkään alueen toiminta ei jää lokittamatta. Tämä on kestävä ja haettava tietue, jonka perusteella häiriötilanteita tutkitaan.

userIdentity-elementti yhdistää jokaisen kutsun pääkäyttäjään — IAM-käyttäjään, oletettuun rooliin, pääkäyttäjään tai AWS-palveluun.

Tutkinnassa tämä on erittäin arvokasta: sen avulla epäilyttävä toiminto voidaan jäljittää täsmälleen siihen tunnistetietoon ja istuntoon, joka suoritti sen, myös rooliketjun kautta oletettujen tunnistetietojen tapauksessa.

Nämä kaksi on helppo sekoittaa keskenään. CloudTrail vastaa kysymykseen ”kuka teki minkä API-kutsun” — se on toimintojen tarkastusloki.

CloudWatch vastaa kysymykseen ”miten järjestelmäni toimii” — se tarjoaa käyttötilan mittarit, lokit ja hälytykset. CloudTrail voi lähettää tapahtumia CloudWatch Logsiin, mutta niiden käyttötarkoitukset ovat erilaiset.

Virheellisesti määritetty yhden alueen trail jättää katvealueita, joita hyökkääjä voi hyödyntää toimimalla valvomattomalla alueella.

Usean alueen trail varmistaa, että kaikkien alueiden toiminta tallennetaan yhteen paikkaan. AWS suosittelee tätä perustason käytäntönä, jotta yksikään alue ei jää tarkastamatta.

Lokit poistamaan pystyvä hyökkääjä voi peittää jälkensä. Suojatkaa CloudTrail lokitiedostojen validoinnilla (digest-tiedostot osoittavat, ettei lokeja ole muutettu) ja rajoittakaa S3-kohde tiukoilla käytännöillä ja Object Lockilla.

Säilyttäkää lokit erillisessä tilissä, jotta työkuorman vaarantuminen ei mahdollista niiden käyttöä.

Kun toimitatte trail-tapahtumat CloudWatch Logsiin, voitte reagoida lähes reaaliajassa: mittarisuodattimet ja hälytykset käynnistyvät tiettyjen toimintojen, kuten security group -muutoksen tai pääkäyttäjän kirjautumisen, perusteella.

Tämä yhdistää tarkastuslokituksen aktiiviseen valvontaan ja muuttaa historiallisen tietueen reaaliaikaiseksi tunnistukseksi.

Trail toimittaa tapahtumat S3:een tyypillisesti noin 15 minuutin kuluessa API-kutsusta. Se on kestävä ja luotettava, mutta ei välitön.

Nopeampaa reagointia varten voitte suoratoistaa tapahtumat CloudWatch Logsiin, jossa hälytykset voivat käynnistyä lähes reaaliajassa. Muistakaa, että CloudTrail on ensisijaisesti tarkastustietue, ei itsenäinen millisekuntitason hälytysjärjestelmä.

CloudTrail on tunnistamisen, tutkinnan ja vaatimustenmukaisuuden perusta. Monissa SCS-C02-skenaarioissa ratkaisevaa on sen oikea käyttöönotto, lokien suojaaminen ja lokien kysely sen selvittämiseksi, mitä tapahtui.

Jos kysymyksessä kysytään, kuinka selvitetään resurssin poistaja tai käytännön muuttaja, CloudTrail on lähes aina osa vastausta.

AWS CloudTrail on tilinne tarkastusloki, joka tallentaa jokaisen API-kutsun sekä kutsun tekijän tunnistetiedot, toiminnon, ajan, lähde-IP-osoitteen ja parametrit. Se säilyttää oletusarvoisesti 90 päivän hallintatapahtumat Event history -näkymässä; luokaa multi-region trail S3:een, jotta lokit säilyvät luotettavasti ja niitä voidaan kysellä. Se eroaa CloudWatchista (suorituskyky) vastaamalla kysymykseen, kuka teki mitä. Suojatkaa lokit validoinnilla, Object Lockilla ja erillisellä tilillä sekä välittäkää ne CloudWatch Logsiin reaaliaikaisia hälytyksiä varten.