Membaca Rekaman Peristiwa CloudTrail

Peristiwa CloudTrail adalah catatan JSON dengan sekumpulan bidang yang konsisten. Dengan mempelajari cara membacanya, Anda dapat merekonstruksi secara tepat apa yang terjadi selama investigasi.

Setiap catatan menjelaskan satu panggilan API: siapa yang melakukannya, tindakan yang dilakukan, waktunya, asalnya, dan hasilnya.

Bidang terpenting untuk keamanan adalah userIdentity. Bidang ini menjelaskan prinsipal yang melakukan panggilan — jenisnya (pengguna IAM, AssumedRole, Root, layanan AWS), akun, dan ARN (Amazon Resource Name).

Dengan bidang inilah Anda dapat mengaitkan suatu tindakan dengan orang, peran, atau layanan tertentu secara meyakinkan.

eventName adalah tindakan API yang dipanggil, seperti DeleteBucket atau RunInstances, sedangkan eventSource adalah layanan tempat tindakan tersebut berada, seperti s3.amazonaws.com.

Keduanya memberi tahu Anda secara tepat operasi yang terjadi, yang merupakan inti pemahaman setiap peristiwa.

Stempel waktu eventTime (dalam UTC), awsRegion, dan sourceIPAddress menempatkan panggilan tersebut dalam waktu dan ruang.

Panggilan dari wilayah yang tidak terduga atau IP yang tidak dikenal merupakan tanda bahaya klasik. Bidang agen pengguna menambahkan informasi tentang cara panggilan dilakukan — konsol, CLI, atau SDK.

requestParameters menampilkan masukan untuk panggilan tersebut — bucket, instans, atau kebijakan yang digunakan — sedangkan responseElements menampilkan apa yang dikembalikan AWS, seperti ID sumber daya yang baru dibuat.

Dengan bidang-bidang ini, Anda dapat melihat secara tepat apa yang diubah dan hasilnya, bukan sekadar mengetahui bahwa sesuatu telah terjadi.

Jika suatu panggilan ditolak, catatannya menyertakan errorCode dan errorMessage, seperti AccessDenied.

Serangkaian panggilan yang ditolak dari satu prinsipal sering kali berarti penyerang sedang menyelidiki tindakan yang dapat dilakukan dengan kredensial yang dicuri. Peristiwa yang gagal sama berharganya dengan peristiwa yang berhasil untuk investigasi.

Jika akses dilakukan melalui peran yang diasumsikan, ikutilah rantainya. userIdentity mungkin menampilkan sesi peran yang diasumsikan, sedangkan sessionContext mengungkapkan prinsipal dasar yang mengasumsikan peran tersebut.

Dengan melacak rantai ini, Anda dapat mengetahui siapa yang pada akhirnya melakukan suatu tindakan, meskipun terdapat beberapa perpindahan peran.

Kolom seperti readOnly dan managementEvent langsung menunjukkan sifat panggilan tersebut — apakah panggilan itu mengubah sesuatu dan apakah termasuk operasi bidang kendali.

Kolom-kolom ini membantu Anda dengan cepat menyaring peristiwa yang mengubah lingkungan Anda saat menelusuri sejumlah besar catatan.

Membaca satu catatan secara manual tidak masalah, tetapi menelusuri jutaan catatan tentu tidak praktis. Kirim log ke CloudWatch Logs atau buat kueri pada arsip S3 dengan Athena menggunakan SQL.

Anda dapat menyaring berdasarkan userIdentity, eventName, sourceIPAddress, atau errorCode untuk menemukan panggilan yang benar-benar penting dalam penyelidikan.

Kolom userAgent menunjukkan cara suatu panggilan dibuat — melalui konsol AWS, versi CLI tertentu, SDK, atau alat otomatisasi.

Agen pengguna yang tidak terduga dapat mengindikasikan alat yang digunakan penyerang. Panggilan yang biasanya berasal dari konsol tetapi tiba-tiba datang melalui SDK mentah dari IP yang tidak biasa merupakan anomali kecil yang patut diperiksa lebih lanjut.

Untuk melakukan penyelidikan, gabungkan beberapa kolom: siapa (userIdentity) melakukan apa (eventName) terhadap sumber daya mana (requestParameters), kapan (eventTime), dari mana (sourceIPAddress), dan dengan hasil apa (responseElements atau errorCode).

Gambaran lengkap yang diperoleh dari satu catatan itulah inti forensik aktivitas API di AWS.

Temukan kolom atribusinya.

Peristiwa CloudTrail adalah catatan JSON yang kolom-kolom utamanya menjawab pertanyaan penting dalam penyelidikan: userIdentity (siapa, dengan ARN dan rangkaian peran melalui sessionContext), eventName/eventSource (apa), eventTime/awsRegion/sourceIPAddress (kapan dan di mana), serta requestParameters/responseElements atau errorCode (perubahan dan hasilnya). Peristiwa AccessDenied yang gagal merupakan sinyal berharga, dan Athena memungkinkan Anda membuat kueri pada catatan dalam skala besar.