Een CloudTrail-eventrecord lezen

Een CloudTrail-gebeurtenis is een JSON-record met een vaste reeks velden. Als je leert dit te lezen, kun je tijdens een onderzoek precies reconstrueren wat er is gebeurd.

Elk record beschrijft één API-aanroep: wie deze heeft gedaan, wat diegene heeft gedaan, wanneer en vanaf waar, en wat het resultaat was.

Het belangrijkste veld voor beveiliging is userIdentity. Het beschrijft de principal die de aanroep heeft gedaan — het type (IAMUser, AssumedRole, Root, AWSService), het account en de ARN (Amazon Resource Name).

Zo kun je een actie met zekerheid toeschrijven aan een specifieke persoon, rol of service.

eventName is de API-actie die is aangeroepen, zoals DeleteBucket of RunInstances, en eventSource is de service waartoe deze behoort, zoals s3.amazonaws.com.

Samen vertellen ze precies welke bewerking heeft plaatsgevonden. Dat vormt de kern van het begrijpen van elke gebeurtenis.

De tijdstempel eventTime (in UTC), awsRegion en sourceIPAddress plaatsen de aanroep in tijd en ruimte.

Een aanroep vanuit een onverwachte regio of een onbekend IP-adres is een klassiek alarmsignaal. Het veld voor de gebruikersagent laat bovendien zien hoe de aanroep is gedaan — via de console, CLI of SDK.

requestParameters tonen de invoer voor de aanroep — welke bucket, welke instance en welk beleid — en responseElements tonen wat AWS heeft teruggegeven, zoals de ID van een nieuw gemaakte resource.

Hiermee zie je precies wat er is gewijzigd en wat het resultaat was, niet alleen dat er iets is gebeurd.

Als een aanroep is geweigerd, bevat het record errorCode en errorMessage, zoals AccessDenied.

Een reeks geweigerde aanroepen vanaf één principal betekent vaak dat een aanvaller onderzoekt wat er met een gestolen referentie kan worden gedaan. Mislukte gebeurtenissen zijn voor onderzoek net zo waardevol als geslaagde gebeurtenissen.

Wanneer toegang via aangenomen rollen verloopt, volg je de keten. In userIdentity kan een sessie met een aangenomen rol staan en sessionContext onthult de onderliggende principal die de rol heeft aangenomen.

Door deze keten te volgen, kun je achterhalen wie uiteindelijk een actie heeft uitgevoerd, zelfs wanneer er meerdere rolwisselingen bij betrokken zijn.

Velden zoals readOnly en managementEvent laten in één oogopslag zien wat voor soort aanroep dit is — of er iets is gewijzigd en of het om een bewerking op het besturingsvlak gaat.

Zo kunt u snel filteren op de gebeurtenissen die uw omgeving hebben gewijzigd wanneer u door een stortvloed aan records zoekt.

Eén record handmatig lezen is prima, maar miljoenen records doorzoeken niet. Stuur logboeken naar CloudWatch Logs of doorzoek het S3-archief met Athena via SQL.

U kunt filteren op userIdentity, eventName, sourceIPAddress of errorCode om precies de aanroepen te vinden die voor een onderzoek van belang zijn.

Het veld userAgent laat zien hoe een aanroep is gedaan — via de AWS-console, een specifieke CLI-versie, een SDK of een automatiseringstool.

Een onverwachte user agent kan wijzen op hulpmiddelen van een aanvaller. Als een aanroep normaal uit de console komt maar plotseling via een onbewerkte SDK vanaf een vreemd IP-adres wordt gedaan, is dat een subtiele afwijking die nader onderzoek verdient.

Combineer voor uw onderzoek de velden: wie (userIdentity) wat deed (eventName) met welke resource (requestParameters), wanneer (eventTime), vanaf waar (sourceIPAddress) en met welk resultaat (responseElements of errorCode).

Dat volledige beeld, afkomstig uit één record, vormt de kern van forensisch onderzoek naar API-activiteit op AWS.

Een CloudTrail-gebeurtenis is een JSON-record waarvan de belangrijkste velden antwoord geven op een volledig onderzoek: userIdentity (wie, met ARN en de rolketen via sessionContext), eventName/eventSource (wat), eventTime/awsRegion/sourceIPAddress (wanneer en waar) en requestParameters/responseElements of errorCode (de wijziging en het resultaat). Mislukte AccessDenied-gebeurtenissen zijn waardevolle signalen en met Athena kunt u records op grote schaal opvragen.