Cosa registra CloudTrail

Ogni azione in AWS è una chiamata API, indipendentemente dal fatto che venga effettuata dalla console, dalla CLI, da un SDK o da un altro servizio. AWS CloudTrail registra queste chiamate.

È la traccia di audit che risponde alle domande essenziali per la sicurezza: chi ha fatto cosa, quando, da dove e su quale risorsa. Costituisce la base della responsabilità nel suo account.

Ogni evento CloudTrail registra informazioni dettagliate: l'identity che ha effettuato la chiamata, l'azione (nome dell'evento), l'ora, l'indirizzo IP di origine, i parametri e la risposta.

Queste informazioni sono sufficienti per ricostruire esattamente ciò che è accaduto durante un incidente e attribuire ogni modifica a un principal specifico.

CloudTrail registra automaticamente gli ultimi 90 giorni di attività degli eventi di gestione nella Event history, senza richiedere alcuna configurazione.

Per una conservazione più lunga e un controllo completo, crei un trail che invii continuamente gli eventi a S3. Per l'esame è importante conoscere la differenza tra la cronologia predefinita di 90 giorni e un trail configurato.

Un trail acquisisce gli eventi e li invia a un bucket S3 per la conservazione a lungo termine e, facoltativamente, a CloudWatch Logs per l'analisi in tempo reale.

In genere si crea un trail multi-regione e a livello di organizzazione, affinché nessuna attività in alcuna regione sfugga alla registrazione. Questo è il registro duraturo e interrogabile da cui si parte per analizzare gli incidenti.

L'elemento userIdentity collega ogni chiamata a un principal: un utente IAM, un ruolo assunto, l'utente root o un servizio AWS.

Durante un'indagine questo elemento è preziosissimo: consente di ricondurre un'azione sospetta alla credenziale e alla sessione esatte che l'hanno eseguita, anche quando le credenziali sono state assunte attraverso una catena di ruoli.

È facile confonderli. CloudTrail risponde alla domanda «chi ha effettuato quale chiamata API?» ed è un log di audit delle azioni.

CloudWatch risponde alla domanda «come sta funzionando il mio sistema?» e fornisce metriche, log e allarmi sullo stato operativo. CloudTrail può inviare eventi a CloudWatch Logs, ma i loro scopi sono distinti.

Un trail configurato per una sola regione lascia punti ciechi che un attaccante può sfruttare operando in una regione non monitorata.

L'abilitazione di un multi-region trail garantisce che l'attività ovunque si svolga venga acquisita in un unico punto. AWS lo raccomanda come configurazione di base, affinché nessuna regione resti senza audit.

Un attaccante che può eliminare i log può nascondere le proprie tracce. Protegga CloudTrail con la log file validation (i file digest dimostrano che i log non sono stati alterati) e limiti l'accesso alla destinazione S3 con policy rigorose e Object Lock.

Conservi i log in un account separato, così una compromissione del workload non può raggiungerli.

Invii gli eventi del trail a CloudWatch Logs per poter reagire quasi in tempo reale: i filtri delle metriche e gli allarmi si attivano per azioni specifiche, come una modifica a un security group o un accesso dell'utente root.

Questo collega il logging di audit al monitoraggio attivo, trasformando il registro storico in un sistema di rilevazione in tempo reale.

In genere un trail consegna gli eventi a S3 entro circa 15 minuti dalla chiamata API. È duraturo e affidabile, ma non istantaneo.

Per una reazione più rapida, trasmetta gli eventi a CloudWatch Logs, dove gli allarmi possono attivarsi quasi in tempo reale. Ricordi che CloudTrail è innanzitutto un registro di audit, non un sistema di allerta con latenza di pochi millisecondi.

CloudTrail è alla base del rilevamento, delle indagini e della conformità. Molti scenari SCS-C02 dipendono dalla sua corretta abilitazione, dalla protezione dei log e dalla possibilità di interrogarli per scoprire cosa è successo.

Se una domanda chiede come scoprire chi ha eliminato una risorsa o modificato una policy, CloudTrail fa quasi sempre parte della risposta.

È importante sapere a cosa serve CloudTrail.

AWS CloudTrail è il registro di controllo del Suo account e registra ogni chiamata API con l'identità del chiamante, l'azione, l'ora, l'indirizzo IP di origine e i parametri. Per impostazione predefinita, conserva 90 giorni di eventi di gestione nella Event history; crei un multi-region trail verso S3 per ottenere log durevoli e interrogabili. A differenza di CloudWatch, che si occupa delle prestazioni, CloudTrail risponde alla domanda «chi ha fatto cosa». Protegga i log con la convalida, Object Lock e un account separato, quindi li trasmetta a CloudWatch Logs per generare avvisi in tempo reale.