CloudTrailが記録する内容

コンソール、CLI、SDK、または別のサービスのいずれから実行した場合でも、AWS のすべてのアクションは API 呼び出しです。AWS CloudTrail はこれらの呼び出しを記録します。

CloudTrail は、「誰が、いつ、どこから、どのリソースに対して、何を行ったのか」というセキュリティ上不可欠な問いに答える監査証跡であり、アカウントにおける説明責任の基盤です。

各 CloudTrail イベントには、呼び出しを行った identity、アクション（イベント名）、時刻、送信元 IP、パラメータ、レスポンスなど、詳細な情報が記録されます。

これにより、インシデント中に何が起きたのかを正確に再構成し、すべての変更を特定のプリンシパルに結び付けられます。

CloudTrail は、設定不要で Event history に過去 90 days 分の管理イベントを自動的に記録します。

より長期間の保持と完全な制御が必要な場合は、イベントを継続的に S3 に配信する trail を作成します。試験では、デフォルトの 90 日間の履歴と、設定した trail の違いを理解しておく必要があります。

trail はイベントを収集して長期保存用の S3 バケットに配信し、必要に応じてリアルタイム分析用に CloudWatch Logs にも配信します。

通常は、どのリージョンのアクティビティもログから漏れないよう、マルチリージョンかつ組織全体を対象とする trail を作成します。これは、インシデント調査の基盤となる、永続的で検索可能な記録です。

userIdentity 要素は、各呼び出しを IAM ユーザー、引き受けたロール、root ユーザー、AWS サービスなどのプリンシパルに関連付けます。

調査においてこれは非常に重要です。ロールチェーンを通じて引き受けられた認証情報であっても、疑わしいアクションを実行した正確な認証情報とセッションまで追跡できます。

この 2 つは混同しやすいので注意してください。CloudTrail は「誰がどの API 呼び出しを行ったか」に答える、アクションの監査ログです。

CloudWatch は「システムはどのように動作しているか」に答える、運用状態に関するメトリクス、ログ、アラームを提供します。CloudTrail から CloudWatch Logs にイベントを送信することはできますが、目的は異なります。

設定を誤った単一リージョンの trail では、攻撃者が監視されていないリージョンで活動して悪用できる死角が生まれます。

multi-region trail を有効にすると、すべての場所のアクティビティを 1 か所に確実に収集できます。AWS は、どのリージョンも監査対象から漏らさないための基本対策として、これを推奨しています。

ログを削除できる攻撃者は、痕跡を隠せます。log file validation（ダイジェストファイルによってログが変更されていないことを証明します）で CloudTrail を保護し、厳格なポリシーと Object Lock によって S3 の保存先を制限してください。

ワークロードが侵害されてもログに到達できないよう、ログは別のアカウントに保存します。

trail のイベントを CloudWatch Logs に配信すると、ほぼリアルタイムで対応できます。メトリクスフィルターとアラームによって、セキュリティグループの変更や root ログインなど、特定のアクションを検知できます。

これにより監査ログとアクティブな監視がつながり、過去の記録をリアルタイムの検出に変えられます。

trail は通常、API 呼び出しから約 15 minutes 以内にイベントを S3 へ配信します。永続性と信頼性には優れていますが、即時ではありません。

より迅速に対応するには、アラームがほぼリアルタイムで作動できる CloudWatch Logs にストリーミングします。CloudTrail はまず監査記録を目的とするものであり、単独でミリ秒単位のアラートを提供するシステムではないことを理解しておいてください。

CloudTrailは、検知、調査、コンプライアンスを支える基盤です。SCS-C02では、CloudTrailを正しく有効化し、ログを保護し、何が起きたかを確認するためにログを検索する方法が問われることが多くあります。

リソースを削除した人物や、ポリシーを変更した人物を特定する方法を問う問題では、ほぼ必ずCloudTrailが答えの一部になります。

CloudTrailの用途を理解しているか確認しましょう。

AWS CloudTrailはアカウントの監査証跡であり、呼び出し元のID、操作、時刻、送信元IP、パラメータを含むすべてのAPI呼び出しを記録します。デフォルトではEvent historyに管理イベントを90日間保持します。長期間保存でき、検索も可能なログを作成するには、S3へのmulti-region trailを作成します。CloudWatchがパフォーマンスを扱うのに対し、CloudTrailは誰が何をしたかを明らかにします。検証、Object Lock、別アカウントを使ってログを保護し、リアルタイムアラート用にCloudWatch Logsへストリーミングします。