Peristiwa Pengelolaan, Data, dan Insight

CloudTrail menangkap tiga kategori peristiwa, dan mengetahui perbedaannya sangat penting untuk ujian: peristiwa pengelolaan, peristiwa data, dan peristiwa Insights.

Ketiganya berbeda dalam hal yang dicatat, apakah aktif secara bawaan, dan biayanya — perbedaan yang menentukan setiap strategi pencatatan.

Peristiwa pengelolaan mencatat operasi bidang kendali — tindakan untuk mengelola sumber daya, seperti membuat instans, memasang kebijakan, atau mengubah grup keamanan.

Peristiwa ini dicatat secara bawaan dan biasanya gratis untuk salinan pertama. Inilah peristiwa yang paling sering diandalkan dalam investigasi keamanan untuk melihat perubahan konfigurasi dan akses.

Peristiwa data mencatat operasi bidang data — tindakan bervolume tinggi pada data di dalam sumber daya, seperti GetObject/PutObject S3 atau pemanggilan fungsi Lambda.

Peristiwa ini tidak aktif secara bawaan dan menimbulkan biaya tambahan karena volumenya. Aktifkan secara selektif di tempat yang memerlukan visibilitas tingkat objek.

Satu aplikasi dapat melakukan jutaan panggilan objek S3 dalam sehari, jauh melebihi jumlah tindakan pengelolaan.

Mencatat semuanya sangat berguna untuk forensik — Anda dapat melihat objek mana yang dibaca secara tepat — tetapi volumenya meningkatkan biaya. Batasi peristiwa data pada bucket sensitif, bukan dengan mengaktifkannya di mana-mana.

CloudTrail Insights secara otomatis mendeteksi pola aktivitas API yang tidak biasa, seperti lonjakan mendadak pada panggilan yang biasanya jarang dilakukan.

Layanan ini menetapkan pola dasar perilaku normal dan menghasilkan peristiwa Insights ketika aktivitas menyimpang — sehingga anomali seperti ledakan penghapusan sumber daya yang mungkin menandakan serangan dapat terlihat.

Gunakan model mental yang sederhana: peristiwa pengelolaan adalah bidang kendali (mengelola sumber daya), sedangkan peristiwa data adalah bidang data (menggunakan sumber daya).

Membuat bucket S3 adalah tindakan pengelolaan; membaca objek darinya adalah tindakan data. Perbedaan ini membantu Anda menentukan jenis peristiwa dan profil biaya yang berlaku.

Anda dapat membatasi pencatatan ke peristiwa hanya-baca, hanya-tulis, atau semua peristiwa.

Peristiwa tulis menangkap perubahan (biasanya menjadi fokus keamanan), sedangkan peristiwa baca menangkap akses. Pemfilteran mengurangi gangguan dan biaya — misalnya, hanya mencatat peristiwa pengelolaan tulis serta peristiwa data pada bucket yang paling sensitif.

Pemilih peristiwa lanjutan memungkinkan Anda memfilter peristiwa data secara terperinci — berdasarkan ARN sumber daya, nama peristiwa, atau bidang lainnya — bukan dengan pencatatan yang hanya aktif atau nonaktif sepenuhnya.

Anda dapat mencatat GetObject hanya pada satu bucket sensitif, sehingga biaya dan gangguan tetap terkendali. Ketepatan inilah yang membuat pencatatan peristiwa data praktis dalam skala besar.

Apa pun jenis peristiwa yang Anda aktifkan, catatan akan mengalir ke bucket S3 pada jejak Anda dan, secara opsional, ke CloudWatch Logs.

Peristiwa Insights juga ditempatkan pada awalan S3 terpisah. Mengetahui tujuan ini penting untuk membuat kueri dengan Athena, mengatur alarm, dan melindungi log — tujuan tersebut adalah tempat bukti Anda sebenarnya berada.

Pengaturan bawaan yang masuk akal adalah mengaktifkan jejak multiwilayah yang menangkap semua peristiwa tulis pengelolaan, menambahkan peristiwa data hanya pada bucket dan fungsi yang menangani data sensitif, serta mengaktifkan Insights untuk mendeteksi anomali.

Strategi ini menyeimbangkan visibilitas keamanan yang menyeluruh dengan biaya pencatatan peristiwa data bervolume tinggi.

SCS-C02 sering menguji apakah Anda dapat mencocokkan kebutuhan dengan jenis peristiwa yang tepat: pelacakan akses tingkat objek berarti peristiwa data; perubahan konfigurasi berarti peristiwa pengelolaan; lonjakan aktivitas yang tidak biasa berarti Insights.

Ingatlah bahwa peristiwa data tidak aktif secara bawaan dan memerlukan biaya tambahan — ini adalah pengalih perhatian yang sering muncul dalam jawaban ujian.

Cocokkan kebutuhan dengan jenis peristiwa.

CloudTrail mencatat tiga jenis peristiwa. Peristiwa pengelolaan mencatat perubahan bidang kendali dan aktif secara bawaan; peristiwa data mencatat akses bidang data bervolume tinggi seperti S3 GetObject dan tidak aktif secara bawaan serta menimbulkan biaya tambahan; peristiwa Insights mendeteksi pola aktivitas API yang anomalis. Gunakan model bidang kendali dan bidang data, filter berdasarkan baca/tulis untuk mengurangi gangguan, dan aktifkan peristiwa data hanya pada sumber daya sensitif agar visibilitas dan biaya tetap seimbang.