Administrasjons-, data- og innsiktshendelser

CloudTrail fanger opp tre kategorier av hendelser, og det er avgjørende til eksamen å kjenne forskjellen: administrasjonshendelser, datahendelser og Insights-hendelser.

De skiller seg fra hverandre med hensyn til hva de registrerer, om de er aktivert som standard, og hvor mye de koster — forskjeller som påvirker enhver loggingsstrategi.

Administrasjonshendelser registrerer operasjoner i kontrollplanet — handlinger som administrerer ressurser, for eksempel å opprette en instans, tilordne en policy eller endre en sikkerhetsgruppe.

De logges som standard og er vanligvis kostnadsfrie for den første kopien. Det er disse hendelsene de fleste sikkerhetsundersøkelser baserer seg på for å se konfigurasjons- og tilgangsendringer.

Datahendelser registrerer operasjoner i dataplanet — handlinger med høyt volum på dataene inne i ressurser, for eksempel S3 GetObject/PutObject eller påkallinger av Lambda-funksjoner.

De er deaktivert som standard og medfører ekstra kostnader på grunn av volumet. De aktiveres selektivt der innsyn på objektnivå er viktig.

Én enkelt applikasjon kan utføre millioner av kall mot S3-objekter per dag, langt flere enn antallet administrasjonshandlinger.

Det er nyttig å logge alle for kriminalteknisk analyse — De kan se nøyaktig hvilket objekt som ble lest — men volumet driver kostnadene opp. Begrens datahendelser til sensitive bøtter i stedet for å aktivere dem overalt.

CloudTrail Insights oppdager automatisk uvanlige mønstre i API-aktivitet, for eksempel en plutselig økning i et kall som vanligvis forekommer sjelden.

Tjenesten etablerer en referanse for normal atferd og oppretter en Insights-hendelse når aktiviteten avviker — slik avvik som en plutselig serie med ressursslettinger, som kan tyde på et angrep, blir synlige.

En nyttig mental modell er at administrasjonshendelser gjelder kontrollplanet (administrasjon av ressursen), mens datahendelser gjelder dataplanet (bruk av ressursen).

Å opprette en S3-bøtte er administrasjon; å lese et objekt fra den er data. Dette skillet viser på en pålitelig måte hvilken hendelsestype og hvilket kostnadsnivå som gjelder.

De kan begrense loggingen til skrivebeskyttede, skrivebaserte eller alle hendelser.

Skrivehendelser registrerer endringer (det vanlige sikkerhetsfokuset), mens lesehendelser registrerer tilgang. Filtrering reduserer støy og kostnader — for eksempel ved å logge bare administrasjonshendelser som gjelder skriving, samt datahendelser for de mest sensitive bøttene.

Avanserte hendelsesvelgere lar Dem filtrere datahendelser detaljert — etter ressurs-ARN, hendelsesnavn eller andre felt — i stedet for å måtte velge mellom logging av alt eller ingenting.

De kan for eksempel bare logge GetObject for én sensitiv bøtte og dermed kontrollere både kostnader og støy. Denne presisjonen gjør logging av datahendelser praktisk i stor skala.

Uansett hvilke hendelsestyper De aktiverer, sendes postene til S3-bøtten for trail-et og eventuelt til CloudWatch Logs.

Insights-hendelser havner også i et separat S3-prefiks. Det er viktig å kjenne destinasjonene når De skal forespørre data med Athena, konfigurere alarmer og beskytte loggene — det er på destinasjonen bevisene faktisk ligger.

En fornuftig standard er å aktivere et multi-region trail som fanger opp alle administrasjonshendelser for skriveoperasjoner, legge til datahendelser bare for bøtter og funksjoner som håndterer sensitive data, og aktivere Insights for avviksdeteksjon.

Dette balanserer grundig sikkerhetsinnsyn mot kostnadene ved logging av datahendelser med høyt volum.

SCS-C02 tester ofte om De kan knytte et behov til riktig hendelsestype: sporing av tilgang på objektnivå betyr datahendelser; konfigurasjonsendringer betyr administrasjonshendelser; uvanlige økninger i aktivitet betyr Insights.

Husk at datahendelser er deaktivert som standard og koster ekstra — en vanlig avledningsmanøver i eksamenssvar.

CloudTrail registrerer tre hendelsestyper. Administrasjonshendelser logger endringer i kontrollplanet og er aktivert som standard; datahendelser logger tilgang i dataplanet med høyt volum, for eksempel S3 GetObject, og er deaktivert som standard med ekstra kostnader; Insights-hendelser oppdager avvikende mønstre i API-aktivitet. Bruk modellen med kontrollplan kontra dataplan, filtrer etter lese- og skriveoperasjoner for å redusere støy, og aktiver datahendelser bare for sensitive ressurser for å balansere innsyn og kostnader.