Trail CloudTrail e cronologia degli eventi

AWS CloudTrail è un servizio che registra ogni chiamata API effettuata nell'account AWS, dalla console, dalla CLI, dall'SDK o da un altro servizio AWS. Ogni record è chiamato evento CloudTrail e contiene l'azione API, l'identità del richiedente, l'indirizzo IP di origine, i parametri della richiesta e la risposta. CloudTrail è alla base del controllo di sicurezza, della conformità e delle analisi operative in AWS. Per l'esame SAA-C03, è la risposta ogni volta che una domanda chiede «chi ha apportato questa modifica?».

Per impostazione predefinita, ogni account AWS ha accesso alla Cronologia degli eventi di CloudTrail, un registro mobile di 90 giorni degli eventi di gestione, consultabile nella console o tramite la CLI. È possibile filtrare per nome della risorsa, tipo di risorsa, nome dell'evento o nome utente. La Cronologia degli eventi è gratuita, non richiede configurazione ed è disponibile immediatamente. È il modo più rapido per analizzare le modifiche recenti, ma per una conservazione più lunga o query più potenti è necessario creare un Trail.

Un Trail è una configurazione CloudTrail che distribuisce continuamente gli eventi in un bucket S3 (e facoltativamente in CloudWatch Logs). I costi riguardano lo storage S3 e il trasferimento dei dati. Un Trail può essere limitato a una singola Regione oppure configurato come trail multi-Regione, in modo da acquisire gli eventi da tutte le Regioni presenti e future dell'account. Per l'esame SAA-C03, raccomandi sempre un trail multi-Regione: i trail a singola Regione non rilevano l'attività nelle altre Regioni e sono considerati una lacuna di sicurezza.

CloudTrail registra due categorie di eventi: gli eventi di gestione (chiamati anche eventi del control plane) registrano le operazioni sulle risorse, come la creazione di un'istanza EC2, la modifica di un gruppo di sicurezza o l'associazione di una policy IAM. Sono abilitati per impostazione predefinita in ogni trail, senza costi aggiuntivi per evento. Gli eventi dati registrano le operazioni a livello di oggetto, come GetObject, PutObject e DeleteObject di S3 o Invoke di Lambda. Gli eventi dati possono avere un volume molto elevato e comportano costi aggiuntivi, quindi devono essere abilitati esplicitamente per risorsa o tipo di risorsa.

La distribuzione degli eventi CloudTrail in CloudWatch Logs consente di generare allarmi in tempo reale sull'attività delle API. È possibile creare filtri delle metriche sul gruppo di log CloudTrail per contare eventi specifici, ad esempio le chiamate DeleteBucket o CreateUser, e quindi impostare allarmi CloudWatch per avvisare il team di sicurezza entro pochi minuti da un'azione sospetta. Questo è un pattern fondamentale del CIS AWS Foundations Benchmark, frequentemente citato nell'esame SAA-C03.

Alcuni servizi AWS, in particolare IAM, STS, Route 53 e CloudFront, sono globali e registrano le chiamate API come eventi dei servizi globali. Questi eventi vengono sempre registrati nella Regione us-east-1, indipendentemente dal luogo in cui è stata avviata l'operazione. Quando crea un trail, abiliti --include-global-service-events per acquisire la creazione di utenti IAM, le modifiche alle policy e le assunzioni dei ruoli STS. Se dispone di più trail specifici per Regione, abiliti gli eventi dei servizi globali in uno solo, per evitare record di log duplicati.

CloudTrail richiede una specifica policy del bucket S3 che conceda al principale del servizio CloudTrail (cloudtrail.amazonaws.com) l'autorizzazione a chiamare GetBucketAcl e PutObject sul bucket. AWS impone che il bucket non sia accessibile pubblicamente e che la proprietà degli oggetti sia impostata su Bucket Owner Enforced. Non memorizzi mai i log CloudTrail nello stesso bucket utilizzato dall'applicazione: ciò crea una dipendenza circolare, per cui l'accesso ai log di audit viene interrotto se il bucket dell'applicazione viene bloccato.

In un'AWS Organisation è possibile creare un trail dell'organizzazione dall'account di gestione, applicandolo automaticamente a tutti gli account membri, presenti e futuri. Gli account membri non possono modificare o eliminare il trail dell'organizzazione, garantendo che la copertura dell'audit non possa essere elusa. I trail dell'organizzazione distribuiscono i log in un bucket S3 centralizzato, con prefissi specifici per account, consentendo al team di sicurezza di interrogare i log di audit di tutti gli account in un unico punto utilizzando Athena o uno strumento SIEM.

I log CloudTrail distribuiti in S3 sono in formato JSON. È possibile utilizzare l'integrazione con Amazon Athena nella console CloudTrail per creare automaticamente una tabella Glue partizionata per account, Regione e data. Ciò consente di interrogare mesi di cronologia delle API usando SQL standard, senza caricare i dati in un database. Nelle query, effettui il partizionamento per data (WHERE year='2024' AND month='01') per evitare scansioni complete della tabella e contenere i costi di Athena.

Esistono due modi per cercare nei record di CloudTrail: la cronologia degli eventi nella console (ultimi 90 giorni, solo eventi di gestione, filtri limitati) e i log dei trail in S3/Athena (conservazione illimitata, anche eventi dati, piena potenza di SQL). Negli scenari d'esame: se la domanda chiede di analizzare un evento precedente a 90 giorni o di interrogare eventi del piano dati (S3 GetObject, Lambda Invoke), raccomandare sempre di interrogare i log dei trail tramite Athena. Se la domanda chiede l'approccio più semplice per analizzare un evento di gestione recente, la cronologia degli eventi è sufficiente.

Memorizzi questi concetti per l'esame SAA-C03: CloudTrail non opera in tempo reale — la consegna degli eventi in S3 può richiedere fino a 15 minuti (utilizzare CloudWatch Logs per gli avvisi quasi in tempo reale). La cronologia degli eventi conserva 90 giorni di soli eventi di gestione. Gli eventi dati devono essere abilitati esplicitamente e comportano costi aggiuntivi. La convalida dei file di log utilizza hash SHA-256 per rilevare manomissioni. Gli eventi dei servizi globali (IAM, STS, Route 53) vengono visualizzati solo in us-east-1. I trail dell'organizzazione non possono essere disabilitati dagli account membri.

Verifichi la Sua comprensione dei concetti di AWS Solutions Architect (SAA-C03) trattati in questa lezione.

In questa lezione ha appreso che la cronologia degli eventi offre gratuitamente l'accesso agli eventi di gestione degli ultimi 90 giorni, i trail consentono la consegna continua in S3 con conservazione configurabile ed eventi dati opzionali e i trail dell'organizzazione si applicano a tutti gli account membri e non possono essere disabilitati da questi ultimi. Prossimamente esamineremo CloudTrail Insights e la verifica dell'integrità dei file di log.