Lese en CloudTrail-hendelsespost

En CloudTrail-hendelse er en JSON-post med et fast sett med felt. Når De lærer å lese den, kan De rekonstruere nøyaktig hva som skjedde under en undersøkelse.

Hver post beskriver ett API-kall: hvem som foretok det, hva de gjorde, når og hvorfra det ble gjort, og hva resultatet var.

Det viktigste feltet for sikkerhet er userIdentity. Det beskriver prinsipalen som foretok kallet — typen (IAMUser, AssumedRole, Root, AWSService), kontoen og ARN-en (Amazon Resource Name).

Slik kan De med sikkerhet knytte en handling til en bestemt person, rolle eller tjeneste.

eventName er API-handlingen som ble kalt, for eksempel DeleteBucket eller RunInstances, og eventSource er tjenesten den tilhører, for eksempel s3.amazonaws.com.

Sammen forteller de nøyaktig hvilken operasjon som fant sted, noe som er selve kjernen i forståelsen av enhver hendelse.

Tidsstempelet eventTime (i UTC), awsRegion og sourceIPAddress plasserer kallet i tid og rom.

Et kall fra en uventet region eller en ukjent IP-adresse er et klassisk faresignal. Feltet for brukeragent viser i tillegg hvordan kallet ble utført — via konsollen, CLI eller SDK.

requestParameters viser inndataene til kallet — hvilken bøtte, hvilken instans og hvilken policy — mens responseElements viser hva AWS returnerte, for eksempel ID-en til en nyopprettet ressurs.

Disse feltene lar Dem se nøyaktig hva som ble endret, og hvilket resultat det fikk, ikke bare at noe skjedde.

Hvis et kall ble avvist, inneholder posten errorCode og errorMessage, for eksempel AccessDenied.

En serie med avviste kall fra én prinsipal betyr ofte at en angriper undersøker hva en stjålet legitimasjon kan brukes til. Mislykkede hendelser er like verdifulle i etterforskningen som vellykkede hendelser.

Når tilgangen går gjennom antatte roller, må De følge kjeden. userIdentity kan vise en økt for en antatt rolle, mens sessionContext viser den underliggende prinsipalen som antok rollen.

Ved å spore denne kjeden kan De finne ut hvem som til slutt utførte en handling, selv når flere rollebytter er involvert.

Felter som readOnly og managementEvent forteller deg med et øyekast hva slags kall det er – om det endret noe, og om det er en kontrollplanoperasjon.

De hjelper deg med å filtrere raskt frem hendelsene som endret miljøet ditt når du går gjennom store mengder poster.

Det går fint å lese én post manuelt, men ikke millioner. Send logger til CloudWatch Logs, eller spør mot S3-arkivet med Athena ved hjelp av SQL.

Du kan filtrere på userIdentity, eventName, sourceIPAddress eller errorCode for å finne nøyaktig kallene som er relevante i en undersøkelse.

Feltet userAgent viser hvordan et kall ble utført – via AWS-konsollen, en bestemt CLI-versjon, en SDK eller et automatiseringsverktøy.

En uventet brukeragent kan tyde på verktøy brukt av en angriper. Et kall som vanligvis kommer fra konsollen, men plutselig kommer via en rå SDK fra en uvanlig IP-adresse, er en subtil avvikstype det er verdt å undersøke nærmere.

For å undersøke kombinerer du felter: hvem (userIdentity) gjorde hva (eventName) med hvilken ressurs (requestParameters), når (eventTime), fra hvor (sourceIPAddress), og med hvilket resultat (responseElements eller errorCode).

Dette helhetlige bildet, hentet fra én post, er selve kjernen i etterforskning av API-aktivitet i AWS.

En CloudTrail-hendelse er en JSON-post der nøkkelfeltene gir svar på en fullstendig undersøkelse: userIdentity (hvem, med ARN og rollekjede via sessionContext), eventName/eventSource (hva), eventTime/awsRegion/sourceIPAddress (når og hvor), og requestParameters/responseElements eller errorCode (endringen og resultatet). Mislykkede AccessDenied-hendelser er verdifulle signaler, og Athena lar deg spørre mot poster i stor skala.