Event-driven monitoring met CloudTrail

CloudTrail registreert gebeurtenissen als JSON-records. Deze records bevatten gegevens zoals:

• Wie het verzoek heeft gedaan (gebruiker of rol)
• Welke actie is uitgevoerd (bijvoorbeeld RunInstances, PutObject)
• Wanneer de actie plaatsvond
• Vanaf welk IP-adres
• Welke AWS-service erbij betrokken was

CloudTrail deelt gebeurtenissen op in twee hoofdtypen. Beheergebeurtenissen leggen bewerkingen van het besturingsvlak op je AWS-resources vast.

• Een EC2-instantie maken of verwijderen.
• Beveiligingsgroepen configureren.
• Een S3-bucketbeleid bijwerken.

Deze gebeurtenissen geven inzicht in beheerbewerkingen.

Gegevensgebeurtenissen registreren resourcebewerkingen die op of binnen een resource worden uitgevoerd. Dit zijn vaak activiteiten met een groot volume.

Voorbeelden zijn:

• API-activiteit op objectniveau in S3 (GetObject, PutObject, DeleteObject).
• Het aanroepen van Lambda-functies.

Gegevensgebeurtenissen kunnen veel gegevens genereren en het registreren ervan is optioneel.

Elk AWS-account heeft automatisch Event History ingeschakeld. Hiermee kun je in de CloudTrail-console de afgelopen 90 dagen aan beheergebeurtenissen bekijken.

Dit is een snelle manier om recente activiteit te zoeken, te bekijken en te downloaden zonder een speciaal trail in te stellen.

Voor langdurige opslag, geavanceerde filtering en integratie met andere services maak je een CloudTrail-trail.

Een trail is een configuratie waarmee CloudTrail logbestanden kan bezorgen in een Amazon S3-bucket die je opgeeft. Je kunt één trail maken die voor alle regio's geldt, of trails voor specifieke regio's.

Wanneer je een trail maakt, bezorgt CloudTrail logbestanden aan de door jou gekozen S3-bucket. Deze logbestanden worden versleuteld en georganiseerd per regio en datum.

Logs opslaan in S3 biedt duurzame, goedkope opslag die ideaal is voor naleving en vereisten voor langdurige auditing.

Voor realtime bewaking en waarschuwingen kan CloudTrail worden geconfigureerd om gebeurtenissen naar Amazon CloudWatch Logs te sturen.

Met deze integratie kun je:

• Alarms maken op basis van specifieke API-aanroepen.
• Dashboards bouwen om activiteitspatronen te visualiseren.
• Logs van meerdere AWS-services centraliseren.

Je hebt geleerd dat AWS CloudTrail essentieel is voor het handhaven van beveiliging, het bereiken van naleving en het uitvoeren van operationele probleemoplossing binnen je AWS-account.

Door beheer- en gegevensgebeurtenissen naar S3 te registreren en te integreren met CloudWatch Logs, krijg je diepgaand inzicht in alle activiteiten. Zo weet je wie wat, wanneer en waar heeft gedaan.