Pistes CloudTrail et historique des événements

AWS CloudTrail est un service qui enregistre chaque appel d’API effectué dans votre compte AWS, qu’il provienne de la console, de la CLI, du SDK ou d’un autre service AWS. Chaque enregistrement est appelé un événement CloudTrail et contient l’action d’API, l’identité du demandeur, l’adresse IP source, les paramètres de la demande et la réponse. CloudTrail constitue le fondement de l’audit de sécurité, de la conformité et des investigations opérationnelles dans AWS. Pour l’examen SAA-C03, c’est la réponse à retenir lorsqu’une question demande « qui a effectué cette modification ? ».

Par défaut, chaque compte AWS a accès à l’historique des événements CloudTrail : un enregistrement glissant de 90 jours, consultable dans la console ou interrogeable via la CLI. Vous pouvez filtrer par nom de ressource, type de ressource, nom d’événement ou nom d’utilisateur. L’historique des événements est gratuit, ne nécessite aucune configuration et est disponible immédiatement. Il s’agit du moyen le plus rapide d’enquêter sur les modifications récentes, mais pour une conservation plus longue ou des requêtes plus puissantes, vous devez créer un Trail.

Un Trail est une configuration CloudTrail qui transmet continuellement les événements vers un compartiment S3 (et éventuellement vers CloudWatch Logs). Vous payez le stockage S3 et le transfert de données. Un Trail peut être limité à une seule Région ou configuré comme un Trail multi-Régions qui capture les événements de toutes les Régions actuelles et futures de votre compte. Pour l’examen SAA-C03, recommandez toujours un Trail multi-Régions : les Trails limités à une seule Région ne détectent pas l’activité des autres Régions et constituent une faille de sécurité.

CloudTrail enregistre deux catégories d’événements : les événements de gestion (également appelés événements du plan de contrôle) enregistrent les opérations effectuées sur les ressources : création d’une instance EC2, modification d’un groupe de sécurité ou association d’une politique IAM. Ils sont activés par défaut dans chaque Trail, sans frais supplémentaires par événement. Les événements de données enregistrent les opérations au niveau des objets : GetObject, PutObject ou DeleteObject S3, ou Invoke Lambda. Les événements de données peuvent être très nombreux et entraîner des frais supplémentaires ; ils doivent donc être explicitement activés pour chaque ressource ou type de ressource.

La transmission des événements CloudTrail vers CloudWatch Logs permet de déclencher des alertes en temps réel sur l’activité des API. Vous pouvez créer des filtres de métriques sur le groupe de journaux CloudTrail afin de compter certains événements, par exemple les appels DeleteBucket ou CreateUser, puis définir des alarmes CloudWatch pour prévenir votre équipe de sécurité dans les minutes qui suivent une action suspecte. Il s’agit d’un modèle essentiel du CIS AWS Foundations Benchmark, fréquemment mentionné dans l’examen SAA-C03.

Certains services AWS, notamment IAM, STS, Route 53 et CloudFront, sont globaux et enregistrent leurs appels d’API en tant qu’événements de services globaux. Ces événements sont toujours enregistrés dans la Région us-east-1, quel que soit l’endroit où l’opération a été lancée. Lors de la création d’un Trail, activez --include-global-service-events afin que la création d’utilisateurs IAM, les modifications de politiques et les demandes de rôles STS soient capturées. Si vous disposez de plusieurs Trails spécifiques à des Régions, n’activez les événements de services globaux que dans un seul d’entre eux afin d’éviter les doublons dans les journaux.

CloudTrail nécessite une politique de compartiment S3 spécifique qui autorise le principal de service CloudTrail (cloudtrail.amazonaws.com) à appeler GetBucketAcl et PutObject sur le compartiment. AWS impose que le compartiment ne soit pas accessible publiquement et que la propriété des objets soit définie sur Bucket Owner Enforced. Ne stockez jamais les journaux CloudTrail dans le même compartiment que celui utilisé par votre application : cela crée une dépendance circulaire, car l’accès aux journaux d’audit serait interrompu si le compartiment de l’application était verrouillé.

Dans une organisation AWS, vous pouvez créer un Trail d’organisation depuis le compte de gestion, qui s’applique automatiquement à tous les comptes membres, actuels et futurs. Les comptes membres ne peuvent ni modifier ni supprimer le Trail d’organisation, ce qui garantit qu’il est impossible de contourner la couverture d’audit. Les Trails d’organisation transmettent les journaux vers un compartiment S3 centralisé avec des préfixes propres à chaque compte, ce qui permet à une équipe de sécurité d’interroger les journaux d’audit de tous les comptes au même endroit à l’aide d’Athena ou d’un outil SIEM.

Les journaux CloudTrail transmis vers S3 sont au format JSON. Vous pouvez utiliser l’intégration Amazon Athena dans la console CloudTrail pour créer automatiquement une table Glue partitionnée par compte, Région et date. Vous pouvez ainsi interroger plusieurs mois d’historique des API au moyen du langage SQL standard, sans charger les données dans une base de données. Dans vos requêtes, partitionnez par date (WHERE year='2024' AND month='01') afin d’éviter les analyses complètes de la table et de maîtriser les coûts Athena.

Il existe deux façons de rechercher des enregistrements CloudTrail : l’historique des événements dans la console (90 derniers jours, événements de gestion uniquement, filtres limités) et les journaux de suivi dans S3/Athena (conservation illimitée, événements de données également, pleine puissance de SQL). Pour les questions d’examen : si la question demande d’enquêter sur un événement datant de plus de 90 jours ou d’interroger des événements du plan de données (S3 GetObject, Lambda Invoke), recommandez toujours d’interroger les journaux de suivi avec Athena. Si la question demande l’approche la plus simple pour enquêter sur un événement de gestion récent, l’historique des événements suffit.

Mémorisez ces points pour l’examen SAA-C03 : CloudTrail n’est pas en temps réel : la remise des événements dans S3 peut prendre jusqu’à 15 minutes (utilisez les journaux CloudWatch pour des alertes quasi en temps réel). L’historique des événements couvre 90 jours et les événements de gestion uniquement. Les événements de données doivent être explicitement activés et entraînent des frais supplémentaires. La validation des fichiers journaux utilise des hachages SHA-256 pour détecter toute falsification. Les événements des services globaux (IAM, STS, Route 53) apparaissent uniquement dans us-east-1. Les journaux de suivi d’organisation ne peuvent pas être désactivés par les comptes membres.

Testez votre compréhension des concepts AWS Solutions Architect (SAA-C03) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : l’historique des événements offre gratuitement un accès aux événements de gestion des 90 derniers jours, les journaux de suivi assurent une remise continue vers S3 avec une durée de conservation configurable et des événements de données facultatifs, et les journaux de suivi d’organisation s’appliquent à tous les comptes membres et ne peuvent pas être désactivés par ceux-ci. Nous allons maintenant découvrir CloudTrail Insights et la vérification de l’intégrité des fichiers journaux.