Mengumpulkan Log ke dalam CloudWatch

Amazon CloudWatch Logs ialah perkhidmatan terurus yang mengumpul, menyimpan dan mencari data log daripada sumber serta aplikasi AWS Anda. Daripada membiarkan log berada pada pelayan individu sehingga boleh hilang apabila sesuatu tika ditamatkan, log tersebut dialirkan ke tempat berpusat yang tahan lama. Bagi jurutera keselamatan, pemusatan ini ialah tujuan utamanya: Anda tidak boleh mengesan atau menyiasat perkara yang tidak dapat dilihat.

Kumpulan log ialah bekas yang menyimpan data log berkaitan dan mentakrifkan tetapan bersama. Biasanya, satu kumpulan log mewakili satu aplikasi atau perkhidmatan, seperti /aws/lambda/my-function. Dua tetapan paling penting untuk keselamatan ialah tempoh pengekalan, yang mengawal tempoh log disimpan sebelum dipadam secara automatik, dan kunci KMS pilihan yang digunakan untuk menyulitkan data semasa tidak digunakan.

Dalam kumpulan log, strim log ialah jujukan peristiwa daripada satu sumber, seperti satu tika EC2 atau satu persekitaran seruan Lambda. Peristiwa tiba bersama cap masa dan mesej. Pengasingan berdasarkan strim memastikan sumber kekal berasingan supaya Anda boleh menjejak aktiviti kembali kepada asal tertentu, sambil mengumpulkan semuanya secara logik di bawah satu kumpulan log.

Tika EC2 dan pelayan di premis tidak menghantar log secara automatik. ejen CloudWatch bersepadu dipasang pada hos untuk menghantar fail log sistem pengendalian, aplikasi dan tersuai ke CloudWatch Logs. Ejen ini juga mengumpulkan metrik tambahan seperti penggunaan memori dan cakera yang tidak dapat dilihat oleh hipervisors. Ejen tersebut memerlukan peranan IAM yang memberikannya kebenaran untuk menulis log.

Banyak perkhidmatan AWS merekod terus ke CloudWatch tanpa sebarang ejen. Lambda menulis keluaran fungsi, VPC Flow Logs boleh menyasarkan kumpulan log, dan Route 53 boleh merekod pertanyaan DNS. CloudTrail juga boleh menghantar peristiwa ke CloudWatch Logs selain ke S3. Mengetahui sumber yang tidak memerlukan ejen berbanding sumber berasaskan ejen ialah perbezaan yang lazim dalam peperiksaan.

Secara lalai, kumpulan log menyimpan data selama-lamanya, yang boleh meningkatkan bil Anda tanpa disedari. Anda menetapkan pengekalan bagi setiap kumpulan log, daripada satu hari hingga sepuluh tahun. Keselamatan dan pematuhan sering memerlukan pengekalan yang lama untuk jejak audit, manakala log nyahpepijat yang bising boleh luput dengan cepat. Mengimbangi kedua-duanya memuaskan hati juruaudit dan pasukan kewangan Anda.

CloudWatch Logs menyulitkan data semasa tidak digunakan secara lalai, tetapi Anda boleh mengaitkan kunci KMS terurus pelanggan dengan kumpulan log untuk kawalan yang lebih ketat. Ini membolehkan Anda mengawal dengan tepat pihak yang boleh membaca log melalui dasar kunci, serta menghasilkan rekod penggunaan kunci yang boleh diaudit. Log sensitif yang mengandungi bukti kelayakan atau PII paling mendapat manfaat daripada langkah ini.

Penapis langganan menstrim peristiwa log yang sepadan hampir dalam masa nyata ke destinasi lain seperti Lambda, Kinesis Data Streams atau Amazon OpenSearch. Pasukan keselamatan menggunakan ciri ini untuk menghantar log ke SIEM atau akaun pengelogan pusat sebaik sahaja peristiwa tiba, bukannya mengeksportnya secara berkumpulan kemudian. Ciri ini menjadikan CloudWatch Logs sebagai saluran paip langsung.

Untuk pengarkiban jangka panjang yang berkos rendah, Anda boleh mengeksport data log ke Amazon S3. S3 menawarkan storan yang lebih murah, peraturan kitar hayat ke Glacier dan Object Lock untuk ketidakbolehubahan. Corak yang lazim ialah pengekalan singkat dalam CloudWatch untuk carian pantas, diikuti eksport ke baldi S3 yang dikunci ketat sebagai rekod pematuhan selama bertahun-tahun.

CloudWatch Logs Insights ialah bahasa pertanyaan khusus untuk mencari kumpulan log secara interaktif. Anda boleh menapis, mengagregat dan mengisih jumlah data yang sangat besar tanpa mengeksport apa-apa. Semasa penyiasatan, ciri ini membolehkan Anda menjawab soalan seperti alamat IP yang mencetuskan paling banyak ralat dengan cepat, menjadikannya langkah pertama yang pantas sebelum beralih kepada Athena untuk analisis lebih mendalam.

Saluran paip pengelogan itu sendiri ialah sasaran. Berikan peranan ejen CloudWatch hanya logs:CreateLogStream dan logs:PutLogEvents, dan jangan berikan kebenaran yang luas. Lindungi kumpulan log supaya penyerang tidak boleh memadamkannya untuk menyembunyikan aktiviti, dan hantarkan log kritikal ke akaun berasingan dengan segera. Log yang Anda kawal dari awal hingga akhir ialah bukti yang boleh dipercayai.

CloudWatch Logs memusatkan data log ke dalam kumpulan log yang terdiri daripada strim log. EC2 dan hos di premis memerlukan ejen bersepadu, manakala banyak perkhidmatan berintegrasi secara asli. Tetapkan pengekalan untuk mengawal kos, lampirkan kunci KMS untuk data sensitif, dan gunakan penapis langganan atau eksport S3 untuk menyalurkan data kepada SIEM atau mengarkibkannya. Mengunci saluran paip dengan ketat memastikan bukti Anda boleh dipercayai.