Eventi di gestione, dati e insight

CloudTrail acquisisce tre categorie di eventi e conoscerne le differenze è fondamentale per l'esame: eventi di gestione, eventi dati ed eventi Insights.

Differiscono per ciò che registrano, per il fatto di essere o meno attivi per impostazione predefinita e per il costo, tutte distinzioni che influenzano qualsiasi strategia di logging.

Gli eventi di gestione registrano le operazioni del control plane, ovvero le azioni con cui si gestiscono le risorse, come creare un'istanza, associare una policy o modificare un security group.

Vengono registrati per impostazione predefinita e la prima copia è generalmente gratuita. Sono gli eventi su cui si basano più spesso le indagini di sicurezza per individuare modifiche alla configurazione e agli accessi.

Gli eventi dati registrano le operazioni del data plane, ovvero le azioni ad alto volume sui dati contenuti nelle risorse, come GetObject/PutObject di S3 o le invocazioni di funzioni Lambda.

Sono disattivati per impostazione predefinita e comportano costi aggiuntivi a causa del loro volume. Vengono abilitati selettivamente nei punti in cui la visibilità a livello di oggetto è importante.

Una singola applicazione potrebbe effettuare milioni di chiamate agli oggetti S3 al giorno, superando di gran lunga il numero di operazioni di gestione.

Registrarle tutte è utile per le analisi forensi, perché consente di vedere esattamente quale oggetto è stato letto, ma il volume fa aumentare i costi. Limiti gli eventi dati ai bucket sensibili invece di abilitarli ovunque.

CloudTrail Insights rileva automaticamente pattern insoliti di attività API, come un improvviso aumento di una chiamata normalmente rara.

Stabilisce una baseline del comportamento normale e genera un evento Insights quando l'attività si discosta da essa, portando alla luce anomalie come una raffica di eliminazioni di risorse che potrebbe indicare un attacco.

Un modello mentale efficace: gli eventi di gestione rappresentano il control plane, cioè la gestione della risorsa, mentre gli eventi dati rappresentano il data plane, cioè l'utilizzo della risorsa.

Creare un bucket S3 è un'operazione di gestione; leggere un oggetto al suo interno è un'operazione dati. Questa distinzione indica in modo affidabile il tipo di evento e il relativo profilo di costi.

Può limitare il logging agli eventi di sola lettura, di sola scrittura oppure a tutti gli eventi.

Gli eventi di scrittura registrano le modifiche, che rappresentano il normale obiettivo della sicurezza, mentre gli eventi di lettura registrano gli accessi. Il filtraggio riduce il rumore e i costi, ad esempio registrando solo gli eventi di gestione in scrittura e gli eventi dati relativi ai bucket più sensibili.

Gli selettori avanzati degli eventi consentono di filtrare con precisione gli eventi dati, in base all'ARN della risorsa, al nome dell'evento o ad altri campi, invece di dover scegliere tra registrare tutto o non registrare nulla.

Può registrare solo GetObject su un singolo bucket sensibile, controllando sia i costi sia il rumore. È questa precisione a rendere pratico il logging degli eventi dati su larga scala.

Indipendentemente dai tipi di eventi abilitati, i record vengono inviati al bucket S3 del trail e, facoltativamente, a CloudWatch Logs.

Anche gli eventi Insights vengono archiviati in un prefisso S3 separato. Conoscere le destinazioni è importante per eseguire query con Athena, configurare gli allarmi e proteggere i log: è nella destinazione che risiedono effettivamente le prove.

Un'impostazione predefinita sensata consiste nell'abilitare un trail multi-regione che acquisisca tutti gli eventi di gestione in scrittura, aggiungere gli eventi dati solo ai bucket e alle funzioni che gestiscono dati sensibili e attivare Insights per il rilevamento delle anomalie.

In questo modo si bilancia una visibilità completa ai fini della sicurezza con il costo del logging degli eventi dati ad alto volume.

SCS-C02 verifica spesso se sa associare un'esigenza al tipo di evento corretto: il monitoraggio degli accessi a livello di oggetto richiede gli eventi dati; le modifiche alla configurazione richiedono gli eventi di gestione; gli aumenti insoliti dell'attività richiedono Insights.

Ricordi che gli eventi dati sono disattivati per impostazione predefinita e hanno un costo aggiuntivo: è un'opzione fuorviante molto usata nelle risposte d'esame.

Associ l'esigenza al tipo di evento.

CloudTrail registra tre tipi di eventi. Gli eventi di gestione registrano le modifiche al control plane e sono attivi per impostazione predefinita; gli eventi dati registrano gli accessi ad alto volume al data plane, come S3 GetObject, e sono disattivati per impostazione predefinita con un costo aggiuntivo; gli eventi Insights rilevano pattern anomali nell'attività API. Utilizzi il modello control plane/data plane, filtri per lettura e scrittura per ridurre il rumore e abiliti gli eventi dati solo sulle risorse sensibili, così da bilanciare visibilità e costi.