Hal yang Dicatat CloudTrail

Setiap tindakan di AWS merupakan panggilan API, baik dilakukan dari konsol, CLI, SDK, maupun layanan lain. AWS CloudTrail merekam panggilan tersebut.

CloudTrail adalah jejak audit yang menjawab pertanyaan keamanan penting: siapa melakukan apa, kapan, dari mana, dan pada Resource yang mana — dasar akuntabilitas di akun Anda.

Setiap peristiwa CloudTrail merekam detail yang lengkap: identity yang melakukan panggilan, action (nama peristiwa), waktu, IP sumber, parameter, dan respons.

Informasi ini cukup untuk merekonstruksi secara tepat apa yang terjadi selama insiden dan mengaitkan setiap perubahan dengan principal tertentu.

CloudTrail secara otomatis mencatat aktivitas management-event selama 90 days terakhir dalam Event history, tanpa memerlukan penyiapan.

Untuk penyimpanan yang lebih lama dan kendali penuh, Anda dapat membuat trail yang terus-menerus mengirimkan peristiwa ke S3. Dalam ujian, Anda diharapkan mengetahui perbedaan antara riwayat bawaan selama 90 hari dan trail yang dikonfigurasi.

Sebuah trail menangkap peristiwa dan mengirimkannya ke bucket S3 untuk penyimpanan jangka panjang, serta secara opsional ke CloudWatch Logs untuk analisis waktu nyata.

Biasanya Anda membuat trail multiregion dan mencakup seluruh organisasi agar tidak ada aktivitas di region mana pun yang luput dari pencatatan. Inilah catatan permanen yang dapat ditelusuri untuk menyelidiki insiden.

Elemen userIdentity mengaitkan setiap panggilan dengan principal — pengguna IAM, role yang diasumsikan, pengguna root, atau layanan AWS.

Dalam penyelidikan, informasi ini sangat berharga: Anda dapat melacak tindakan mencurigakan hingga kredensial dan sesi tepat yang menjalankannya, termasuk kredensial yang diasumsikan melalui rangkaian role.

Keduanya mudah tertukar. CloudTrail menjawab "siapa yang melakukan panggilan API yang mana" — log audit tindakan.

CloudWatch menjawab "bagaimana kinerja sistem saya" — metrik, log, dan alarm tentang kesehatan operasional. CloudTrail dapat mengirimkan peristiwa ke CloudWatch Logs, tetapi tujuan keduanya berbeda.

Trail satu region yang salah konfigurasi meninggalkan titik buta yang dapat dimanfaatkan penyerang dengan beroperasi di region yang tidak dipantau.

Mengaktifkan multi-region trail memastikan aktivitas di seluruh tempat tertangkap dalam satu lokasi. AWS merekomendasikan ini sebagai dasar agar tidak ada region yang luput dari audit.

Penyerang yang dapat menghapus log bisa menyembunyikan jejaknya. Lindungi CloudTrail dengan log file validation (file ringkasan membuktikan bahwa log tidak diubah) dan kunci tujuan S3 dengan kebijakan ketat serta Object Lock.

Simpan log di akun terpisah agar penyusupan pada beban kerja tidak dapat menjangkaunya.

Kirimkan peristiwa trail ke CloudWatch Logs agar Anda dapat bereaksi hampir dalam waktu nyata: filter metrik dan alarm terpicu oleh tindakan tertentu, seperti perubahan grup keamanan atau login root.

Hal ini menjembatani pencatatan audit dan pemantauan aktif, mengubah catatan historis menjadi deteksi langsung.

Trail biasanya mengirimkan peristiwa ke S3 dalam waktu sekitar 15 minutes sejak panggilan API dilakukan. Sistem ini tahan lama dan andal, tetapi tidak seketika.

Untuk reaksi yang lebih cepat, lakukan streaming ke CloudWatch Logs agar alarm dapat terpicu hampir dalam waktu nyata. Ingat bahwa CloudTrail pada dasarnya adalah catatan audit, bukan sistem pemberian peringatan dengan latensi milidetik.

CloudTrail menjadi dasar untuk deteksi, investigasi, dan kepatuhan. Banyak skenario SCS-C02 bergantung pada pengaktifannya dengan benar, perlindungan terhadap log-nya, serta kemampuan untuk membuat kueri guna menemukan apa yang terjadi.

Jika pertanyaan menanyakan cara mengetahui siapa yang menghapus sumber daya atau mengubah kebijakan, CloudTrail hampir selalu menjadi bagian dari jawabannya.

Pahamilah kegunaan CloudTrail.

AWS CloudTrail adalah jejak audit akun Anda yang mencatat setiap panggilan API, termasuk identitas pemanggil, tindakan, waktu, IP sumber, dan parameter. Secara bawaan, layanan ini menyimpan peristiwa pengelolaan selama 90 hari dalam Riwayat peristiwa; buat jejak multiwilayah ke S3 untuk mendapatkan log yang tahan lama dan dapat dibuat kuerinya. CloudTrail berbeda dari CloudWatch (yang berfokus pada kinerja) karena menjawab siapa melakukan apa. Lindungi log dengan validasi, Object Lock, dan akun terpisah, lalu alirkan log ke CloudWatch Logs untuk mendapatkan peringatan waktu nyata.