Mengumpulkan Logging ke CloudWatch

Amazon CloudWatch Logs adalah layanan terkelola yang mengumpulkan, menyimpan, dan mencari data log dari sumber daya serta aplikasi AWS Anda. Alih-alih log tersimpan di server individual dan hilang saat suatu instans dihentikan, log tersebut dialirkan ke tempat terpusat yang tahan lama. Bagi teknisi keamanan, sentralisasi ini adalah inti manfaatnya: Anda tidak dapat mendeteksi atau menyelidiki sesuatu yang tidak dapat Anda lihat.

Grup log adalah wadah yang menampung data log terkait dan menentukan pengaturan bersama. Biasanya, satu grup log mewakili satu aplikasi atau layanan, seperti /aws/lambda/my-function. Dua pengaturan yang paling penting bagi keamanan adalah periode retensi, yang menentukan berapa lama log disimpan sebelum dihapus secara otomatis, serta kunci KMS opsional yang digunakan untuk mengenkripsi data saat tidak sedang digunakan.

Di dalam grup log, aliran log adalah rangkaian peristiwa dari satu sumber, seperti satu instans EC2 atau satu lingkungan pemanggilan Lambda. Peristiwa tiba bersama cap waktu dan pesan. Pemisahan berdasarkan aliran menjaga sumber tetap terpisah sehingga Anda dapat melacak aktivitas kembali ke asal tertentu, sekaligus mengelompokkannya secara logis dalam satu grup log.

Instans EC2 dan server lokal tidak mengirim log secara otomatis. agen CloudWatch terpadu dipasang pada host untuk mengirim file log sistem operasi, aplikasi, dan log khusus ke CloudWatch Logs. Agen ini juga mengumpulkan metrik tambahan seperti penggunaan memori dan disk yang tidak dapat dilihat oleh hipervisor. Agen tersebut memerlukan peran IAM yang memberinya izin untuk menulis log.

Banyak layanan AWS mencatat log langsung ke CloudWatch tanpa agen sama sekali. Lambda menulis keluaran fungsi, VPC Flow Logs dapat diarahkan ke grup log, dan Route 53 dapat mencatat kueri DNS. CloudTrail juga dapat mengirimkan peristiwa ke CloudWatch Logs selain ke S3. Mengetahui sumber mana yang tidak memerlukan agen dan mana yang berbasis agen merupakan hal yang sering dibedakan dalam ujian.

Secara bawaan, grup log menyimpan data selamanya, sehingga tagihan Anda dapat bertambah tanpa disadari. Anda menetapkan retensi untuk setiap grup log, mulai dari satu hari hingga sepuluh tahun. Keamanan dan kepatuhan sering menuntut retensi panjang untuk jejak audit, sedangkan log debug yang berisik dapat segera kedaluwarsa. Menyeimbangkan keduanya membuat auditor dan tim keuangan Anda sama-sama puas.

CloudWatch Logs mengenkripsi data saat tidak sedang digunakan secara bawaan, tetapi Anda dapat mengaitkan kunci KMS yang dikelola pelanggan dengan grup log untuk mendapatkan kendali yang lebih ketat. Dengan demikian, Anda dapat mengatur secara tepat siapa yang boleh membaca log melalui kebijakan kunci dan menghasilkan catatan penggunaan kunci yang dapat diaudit. Log sensitif yang berisi kredensial atau PII paling diuntungkan dari pengaturan ini.

Filter langganan mengalirkan peristiwa log yang cocok secara hampir waktu nyata ke tujuan lain seperti Lambda, Kinesis Data Streams, atau Amazon OpenSearch. Tim keamanan menggunakannya untuk meneruskan log ke SIEM atau akun pencatatan log terpusat segera setelah peristiwa tiba, bukan mengekspornya secara berkelompok nanti. Fitur ini mengubah CloudWatch Logs menjadi alur yang berjalan langsung.

Untuk pengarsipan jangka panjang dengan biaya rendah, Anda dapat mengekspor data log ke Amazon S3. S3 menawarkan penyimpanan yang lebih murah, aturan siklus hidup ke Glacier, dan Object Lock untuk menjaga data tetap tidak berubah. Pola yang umum adalah retensi singkat di CloudWatch untuk pencarian cepat, ditambah ekspor ke bucket S3 yang dikunci ketat sebagai catatan kepatuhan selama bertahun-tahun.

CloudWatch Logs Insights adalah bahasa kueri yang dirancang khusus untuk mencari grup log secara interaktif. Anda dapat menyaring, menggabungkan, dan mengurutkan data dalam jumlah sangat besar tanpa mengekspor apa pun. Saat melakukan penyelidikan, fitur ini memungkinkan Anda menjawab dengan cepat pertanyaan seperti IP mana yang memicu paling banyak kesalahan, sehingga menjadi langkah awal yang cepat sebelum beralih ke Athena untuk analisis yang lebih mendalam.

Alur pencatatan log itu sendiri merupakan sasaran serangan. Berikan peran agen CloudWatch hanya logs:CreateLogStream dan logs:PutLogEvents, jangan pernah memberikan izin yang terlalu luas. Lindungi grup log agar penyerang tidak dapat menghapusnya untuk menyembunyikan aktivitas, dan segera teruskan log penting ke akun terpisah. Log yang Anda kendalikan dari awal hingga akhir merupakan bukti yang dapat dipercaya.

Uji pemahaman Anda tentang pengumpulan CloudWatch Logs.

CloudWatch Logs memusatkan data log ke dalam grup log yang terdiri dari aliran log. EC2 dan host lokal memerlukan agen terpadu, sedangkan banyak layanan telah terintegrasi secara bawaan. Atur retensi untuk mengendalikan biaya, kaitkan kunci KMS untuk data sensitif, dan gunakan filter langganan atau ekspor S3 untuk mengirim data ke SIEM atau mengarsipkannya. Mengamankan alur pencatatan log membuat bukti Anda tetap dapat dipercaya.