CloudTrail क्या रिकॉर्ड करता है

AWS में हर कार्रवाई एक API कॉल होती है, चाहे वह कंसोल, CLI, SDK या किसी अन्य सेवा से की गई हो। AWS CloudTrail इन कॉलों को रिकॉर्ड करता है।

यह वह ऑडिट रिकॉर्ड है जो सुरक्षा के आवश्यक प्रश्नों का उत्तर देता है: किसने क्या किया, कब किया, कहाँ से किया और किस संसाधन पर किया — यही आपके खाते में जवाबदेही की नींव है।

हर CloudTrail घटना में विस्तृत जानकारी दर्ज होती है: कॉल करने वाली पहचान, कार्रवाई (घटना का नाम), समय, स्रोत IP, पैरामीटर और प्रतिक्रिया।

इतनी जानकारी से घटना के दौरान वास्तव में क्या हुआ, उसका पुनर्निर्माण किया जा सकता है और हर बदलाव का संबंध किसी विशिष्ट प्रिंसिपल से जोड़ा जा सकता है।

CloudTrail बिना किसी सेटअप के 90 दिनों की प्रबंधन-घटना गतिविधि को घटना इतिहास में स्वचालित रूप से लॉग करता है।

अधिक समय तक रखने और पूरा नियंत्रण पाने के लिए आप एक ट्रेल बनाते हैं, जो लगातार घटनाएँ S3 तक पहुँचाता है। परीक्षा में आपसे डिफ़ॉल्ट 90-दिन के इतिहास और कॉन्फ़िगर किए गए ट्रेल का अंतर जानने की अपेक्षा की जाती है।

एक ट्रेल घटनाओं को रिकॉर्ड करता है और लंबे समय तक संग्रहण के लिए उन्हें S3 बकेट तक पहुँचाता है; वैकल्पिक रूप से वास्तविक समय के विश्लेषण के लिए CloudWatch लॉग तक भी भेज सकता है।

आमतौर पर आप बहु-क्षेत्रीय, पूरे संगठन पर लागू ट्रेल बनाते हैं, ताकि किसी भी क्षेत्र की गतिविधि लॉग होने से न छूटे। यही वह टिकाऊ और खोज योग्य रिकॉर्ड है जिसके आधार पर घटनाओं की जाँच की जाती है।

userIdentity तत्व हर कॉल को किसी प्रिंसिपल से जोड़ता है — IAM उपयोगकर्ता, ग्रहण की गई भूमिका, रूट उपयोगकर्ता या AWS सेवा।

जाँच के दौरान यह अत्यंत उपयोगी होता है: इससे आप किसी संदिग्ध कार्रवाई को उस सटीक क्रेडेंशियल और सत्र तक ट्रेस कर सकते हैं जिसने उसे किया था, यहाँ तक कि भूमिका-श्रृंखला के माध्यम से ग्रहण किए गए क्रेडेंशियल को भी।

इन दोनों को लेकर भ्रम होना आसान है। CloudTrail यह बताता है कि "किसने कौन-सी API कॉल की" — यह कार्रवाइयों का ऑडिट लॉग है।

CloudWatch यह बताता है कि "मेरी प्रणाली कैसा प्रदर्शन कर रही है" — यह संचालन की स्थिति से जुड़े मेट्रिक्स, लॉग और अलार्म देता है। CloudTrail घटनाएँ CloudWatch लॉग तक भेज सकता है, लेकिन दोनों के उद्देश्य अलग हैं।

गलत ढंग से कॉन्फ़िगर किया गया एकल-क्षेत्रीय ट्रेल ऐसे अंधे क्षेत्र छोड़ देता है जिनका लाभ उठाकर हमलावर बिना निगरानी वाले क्षेत्र में काम कर सकता है।

बहु-क्षेत्रीय ट्रेल सक्षम करने से हर जगह की गतिविधि एक ही स्थान पर रिकॉर्ड होती है। AWS इसे आधारभूत व्यवस्था के रूप में सुझाता है, ताकि कोई भी क्षेत्र बिना ऑडिट के न रहे।

जो हमलावर लॉग हटा सकता है, वह अपने निशान छिपा सकता है। CloudTrail को लॉग फ़ाइल सत्यापन से सुरक्षित करें (डाइजेस्ट फ़ाइलें सिद्ध करती हैं कि लॉग बदले नहीं गए) और कड़ी नीतियों तथा ऑब्जेक्ट लॉक से S3 गंतव्य को सुरक्षित करें।

लॉग को अलग खाते में रखें, ताकि वर्कलोड से समझौता होने पर भी हमलावर उन तक न पहुँच सके।

ट्रेल की घटनाएँ CloudWatch लॉग तक पहुँचाएँ और लगभग वास्तविक समय में प्रतिक्रिया दें: मेट्रिक फ़िल्टर और अलार्म किसी सुरक्षा समूह में बदलाव या रूट लॉगिन जैसी विशिष्ट कार्रवाइयों पर सक्रिय हो सकते हैं।

इससे ऑडिट लॉगिंग और सक्रिय निगरानी के बीच संबंध बनता है और ऐतिहासिक रिकॉर्ड को लाइव पहचान में बदला जा सकता है।

एक ट्रेल आमतौर पर API कॉल के लगभग 15 मिनट के भीतर घटनाएँ S3 तक पहुँचा देता है। यह टिकाऊ और भरोसेमंद है, लेकिन तत्काल नहीं।

तेज़ प्रतिक्रिया के लिए CloudWatch लॉग तक स्ट्रीम करें, जहाँ अलार्म लगभग वास्तविक समय में सक्रिय हो सकते हैं। ध्यान रखें कि CloudTrail सबसे पहले एक ऑडिट रिकॉर्ड है, अपने-आप मिलीसेकंड-विलंबता वाली चेतावनी प्रणाली नहीं।

CloudTrail का आधार पहचान, जाँच और अनुपालन है। कई SCS-C02 परिदृश्य इसे सही ढंग से सक्षम करने, इसके लॉग सुरक्षित रखने और उनमें हुई गतिविधियों को खोजने के लिए क्वेरी करने पर निर्भर करते हैं।

यदि किसी प्रश्न में पूछा जाए कि किसी संसाधन को किसने हटाया या किसी नीति में किसने बदलाव किया, तो उत्तर में CloudTrail लगभग हमेशा शामिल होता है।

AWS CloudTrail आपके खाते का ऑडिट रिकॉर्ड है, जो प्रत्येक API कॉल के साथ कॉल करने वाले की पहचान, कार्रवाई, समय, स्रोत IP और पैरामीटर दर्ज करता है। यह डिफ़ॉल्ट रूप से Event history में 90 दिनों तक प्रबंधन घटनाएँ रखता है; स्थायी और क्वेरी की जा सकने वाली लॉग के लिए S3 में multi-region trail बनाएँ। यह CloudWatch (प्रदर्शन) से अलग है, क्योंकि यह बताता है कि किसने क्या किया। लॉग की वैधता जाँच, Object Lock और अलग खाते से सुरक्षा करें तथा रीयल-टाइम चेतावनियों के लिए उन्हें CloudWatch Logs में भेजें।