Lire un enregistrement d'événement CloudTrail

Un événement CloudTrail est un enregistrement JSON composé d’un ensemble cohérent de champs. Apprendre à le lire vous permet de reconstituer précisément ce qui s’est passé au cours d’une investigation.

Chaque enregistrement décrit un appel d’API : qui l’a effectué, ce qui a été fait, quand et depuis où, ainsi que le résultat obtenu.

Le champ le plus important pour la sécurité est userIdentity. Il décrit le principal qui a effectué l’appel : son type (IAMUser, AssumedRole, Root, AWSService), son compte et son ARN (Amazon Resource Name).

C’est ainsi que vous pouvez attribuer une action avec certitude à une personne, un rôle ou un service précis.

eventName est l’action d’API appelée, comme DeleteBucket ou RunInstances, et eventSource est le service auquel elle appartient, comme s3.amazonaws.com.

Ensemble, ils indiquent précisément quelle opération a eu lieu, ce qui est essentiel pour comprendre un événement.

L’horodatage eventTime (en UTC), awsRegion et sourceIPAddress situent l’appel dans le temps et l’espace.

Un appel provenant d’une région inattendue ou d’une adresse IP inconnue est un signal d’alerte classique. Le champ de l’agent utilisateur indique en outre comment l’appel a été effectué : console, CLI ou SDK.

Les requestParameters affichent les entrées de l’appel — quel compartiment, quelle instance ou quelle politique — tandis que les responseElements montrent ce qu’AWS a renvoyé, comme l’ID d’une ressource nouvellement créée.

Ils vous permettent de voir exactement ce qui a été modifié et quel a été le résultat, et pas seulement de constater qu’une action a eu lieu.

Si un appel a été refusé, l’enregistrement contient errorCode et errorMessage, par exemple AccessDenied.

Une série d’appels refusés provenant d’un même principal signifie souvent qu’un attaquant cherche à déterminer ce qu’il peut faire avec des identifiants volés. Les événements ayant échoué sont aussi précieux pour l’investigation que les événements réussis.

Lorsque l’accès passe par des rôles assumés, suivez la chaîne. userIdentity peut afficher une session de rôle assumé, et sessionContext révèle le principal sous-jacent qui l’a assumée.

Retracer cette chaîne permet de déterminer qui a finalement effectué une action, même lorsque plusieurs changements de rôle sont impliqués.

Des champs comme readOnly et managementEvent vous indiquent immédiatement la nature de l’appel : a-t-il modifié quelque chose et s’agit-il d’une opération du plan de contrôle ?

Ils vous aident à filtrer rapidement les événements qui ont modifié votre environnement lorsque vous parcourez un grand nombre d’enregistrements.

Lire un enregistrement manuellement ne pose pas de problème ; en examiner des millions est une autre affaire. Envoyez les journaux vers CloudWatch Logs ou interrogez l’archive S3 avec Athena en utilisant SQL.

Vous pouvez filtrer selon userIdentity, eventName, sourceIPAddress ou errorCode afin d’identifier précisément les appels importants pour une investigation.

Le champ userAgent indique comment un appel a été effectué : depuis la console AWS, une version précise de la CLI, un SDK ou un outil d’automatisation.

Un agent utilisateur inattendu peut révéler l’utilisation d’outils par un attaquant. Un appel normalement effectué depuis la console qui arrive soudainement via un SDK brut depuis une adresse IP inhabituelle constitue le type d’anomalie subtile qui mérite un examen approfondi.

Pour mener une investigation, combinez les champs : qui (userIdentity) a fait quoi (eventName), sur quelle ressource (requestParameters), quand (eventTime), depuis où (sourceIPAddress) et avec quel résultat (responseElements ou errorCode).

Cette vue d’ensemble, obtenue à partir d’un seul enregistrement, constitue l’essence de l’analyse forensique de l’activité des API sur AWS.

Trouvez le champ d’attribution.

Un événement CloudTrail est un enregistrement JSON dont les champs clés permettent de répondre à toutes les questions d’une investigation : userIdentity (qui, avec l’ARN et la chaîne de rôles via sessionContext), eventName/eventSource (quoi), eventTime/awsRegion/sourceIPAddress (quand et où), ainsi que requestParameters/responseElements ou errorCode (la modification et le résultat). Les événements AccessDenied ayant échoué sont des signaux précieux, et Athena vous permet d’interroger les enregistrements à grande échelle.