Leggere un record di evento CloudTrail

Un evento CloudTrail è un record JSON con un insieme coerente di campi. Imparare a leggerlo consente di ricostruire esattamente ciò che è accaduto durante un'indagine.

Ogni record descrive una chiamata API: chi l'ha effettuata, che cosa ha fatto, quando, da dove e quale ne è stato il risultato.

Il campo più importante per la sicurezza è userIdentity. Descrive il principal che ha effettuato la chiamata, indicandone il tipo (IAMUser, AssumedRole, Root, AWSService), l'account e l'ARN (Amazon Resource Name).

È così che può attribuire con certezza un'azione a una persona, a un ruolo o a un servizio specifico.

eventName è l'azione API chiamata, come DeleteBucket o RunInstances, mentre eventSource è il servizio a cui appartiene, ad esempio s3.amazonaws.com.

Insieme indicano con precisione quale operazione si è verificata, il punto centrale per comprendere qualsiasi evento.

Il timestamp eventTime (in UTC), awsRegion e sourceIPAddress collocano la chiamata nel tempo e nello spazio.

Una chiamata proveniente da una regione imprevista o da un IP sconosciuto è un classico segnale d'allarme. Il campo relativo allo user agent aggiunge informazioni su come è stata effettuata la chiamata, tramite console, CLI o SDK.

requestParameters mostra gli input della chiamata, ovvero quale bucket, quale istanza o quale policy, mentre responseElements mostra ciò che AWS ha restituito, ad esempio l'ID di una risorsa appena creata.

Questi campi consentono di vedere esattamente cosa è stato modificato e quale risultato si è ottenuto, non solo che qualcosa è accaduto.

Se una chiamata è stata negata, il record include errorCode e errorMessage, ad esempio AccessDenied.

Una raffica di chiamate negate provenienti dallo stesso principal spesso indica che un attaccante sta verificando che cosa può fare con una credenziale rubata. Gli eventi falliti sono preziosi per le indagini quanto quelli riusciti.

Quando l'accesso avviene tramite ruoli assunti, segua la catena. userIdentity può mostrare una sessione di ruolo assunto, mentre sessionContext rivela il principal sottostante che lo ha assunto.

Tracciare questa catena consente di stabilire chi ha eseguito effettivamente un'azione, anche quando sono coinvolti diversi passaggi tra ruoli.

Campi come readOnly e managementEvent indicano a colpo d’occhio la natura della chiamata: se ha modificato qualcosa e se si tratta di un’operazione sul control plane.

Consentono di filtrare rapidamente gli eventi che hanno modificato l’ambiente quando si analizza un’enorme quantità di record.

Leggere manualmente un record va bene; esaminarne milioni, invece, no. Invii i log a CloudWatch Logs oppure interroghi l’archivio S3 con Athena usando SQL.

Può filtrare in base a userIdentity, eventName, sourceIPAddress o errorCode per individuare con precisione le chiamate rilevanti durante un’indagine.

Il campo userAgent rivela come è stata effettuata una chiamata: dalla console AWS, da una versione specifica della CLI, da un SDK o da uno strumento di automazione.

Uno user agent imprevisto può indicare l’uso di strumenti d’attacco. Una chiamata che normalmente proviene dalla console ma che all’improvviso arriva tramite un SDK diretto da un IP insolito è il tipo di anomalia sottile che merita un secondo esame.

Per svolgere un’indagine, combini i campi: chi (userIdentity) ha fatto cosa (eventName), su quale risorsa (requestParameters), quando (eventTime), da dove (sourceIPAddress) e con quale risultato (responseElements o errorCode).

Questo quadro completo, ricavato da un singolo record, è l’essenza dell’analisi forense dell’attività API su AWS.

Individui il campo di attribuzione.

Un evento CloudTrail è un record JSON i cui campi principali rispondono alle domande fondamentali di un’indagine: userIdentity (chi, con ARN e catena dei ruoli tramite sessionContext), eventName/eventSource (cosa), eventTime/awsRegion/sourceIPAddress (quando e dove) e requestParameters/responseElements o errorCode (modifica e risultato). Gli eventi AccessDenied non riusciti sono segnali preziosi e Athena consente di interrogare i record su larga scala.