Co rejestruje CloudTrail

Każde działanie w AWS jest wywołaniem API — niezależnie od tego, czy zostało wykonane z konsoli, CLI, SDK czy przez inną usługę. AWS CloudTrail rejestruje te wywołania.

Jest to ślad audytowy odpowiadający na podstawowe pytania związane z bezpieczeństwem: kto, co, kiedy, skąd i dla którego zasobu zrobił — stanowi więc fundament rozliczalności na koncie.

Każde zdarzenie CloudTrail rejestruje szczegółowe informacje: identity, która wykonała wywołanie, działanie (nazwę zdarzenia), czas, źródłowy adres IP, parametry i odpowiedź.

To wystarcza, aby dokładnie odtworzyć przebieg incydentu i przypisać każdą zmianę konkretnemu podmiotowi.

CloudTrail automatycznie rejestruje aktywność związaną ze zdarzeniami zarządzania z ostatnich 90 dni w Event history, bez konieczności konfiguracji.

Aby przechowywać dane dłużej i uzyskać pełną kontrolę, należy utworzyć trail, który będzie stale dostarczać zdarzenia do S3. Na egzaminie należy znać różnicę między domyślną 90-dniową historią a skonfigurowanym trail.

trail przechwytuje zdarzenia i dostarcza je do bucketa S3 w celu długoterminowego przechowywania, a opcjonalnie także do CloudWatch Logs na potrzeby analizy w czasie rzeczywistym.

Zwykle tworzy się trail obejmujący wiele regionów i całą organizację, aby żadna aktywność w żadnym regionie nie pozostała poza rejestrowaniem. Jest to trwały i możliwy do przeszukiwania zapis, na podstawie którego bada się incydenty.

Element userIdentity wiąże każde wywołanie z podmiotem — użytkownikiem IAM, przyjętą rolą, użytkownikiem root lub usługą AWS.

Podczas badania incydentu jest to niezwykle cenna informacja: pozwala prześledzić podejrzane działanie aż do konkretnych poświadczeń i sesji, które je wykonały, nawet gdy poświadczenia zostały uzyskane w ramach łańcucha ról.

Łatwo pomylić te dwie usługi. CloudTrail odpowiada na pytanie „kto wykonał które wywołanie API” — jest dziennikiem audytowym działań.

CloudWatch odpowiada na pytanie „jak działa mój system” — dostarcza metryki, logi i alarmy dotyczące kondycji operacyjnej. CloudTrail może wysyłać zdarzenia do CloudWatch Logs, ale cele obu usług są różne.

Nieprawidłowo skonfigurowany trail obejmujący tylko jeden region pozostawia luki, które atakujący może wykorzystać, działając w niemonitorowanym regionie.

Włączenie multi-region trail zapewnia przechwytywanie aktywności ze wszystkich miejsc w jednym miejscu. AWS zaleca takie rozwiązanie jako podstawę, aby żaden region nie pozostał bez audytu.

Atakujący, który może usuwać logi, może ukryć swoje ślady. Należy chronić CloudTrail za pomocą log file validation (pliki skrótów potwierdzają, że logi nie zostały zmienione) oraz zabezpieczyć docelowy bucket S3 za pomocą restrykcyjnych zasad i funkcji Object Lock.

Logi należy przechowywać na oddzielnym koncie, aby przejęcie obciążenia nie umożliwiło dostępu do nich.

Dostarczanie zdarzeń trail do CloudWatch Logs umożliwia reakcję niemal w czasie rzeczywistym: filtry metryk i alarmy mogą reagować na określone działania, takie jak zmiana grupy zabezpieczeń lub logowanie użytkownika root.

Łączy to rejestrowanie audytowe z aktywnym monitorowaniem, przekształcając historyczny zapis w mechanizm bieżącego wykrywania.

Trail zazwyczaj dostarcza zdarzenia do S3 w ciągu około 15 minut od wywołania API. Jest trwały i niezawodny, ale nie działa natychmiast.

Aby reagować szybciej, należy przesyłać dane do CloudWatch Logs, gdzie alarmy mogą uruchamiać się niemal w czasie rzeczywistym. Należy pamiętać, że CloudTrail przede wszystkim tworzy zapis audytowy, a sam w sobie nie jest systemem alarmowym o opóźnieniu rzędu milisekund.

CloudTrail stanowi podstawę wykrywania zagrożeń, prowadzenia dochodzeń i zapewniania zgodności. Wiele scenariuszy SCS-C02 opiera się na jego prawidłowym włączeniu, ochronie logów i odpytywaniu ich w celu ustalenia, co się wydarzyło.

Jeśli pytanie dotyczy ustalenia, kto usunął zasób lub zmienił politykę, CloudTrail niemal zawsze jest częścią odpowiedzi.

Proszę wiedzieć, do czego służy CloudTrail.

AWS CloudTrail to dziennik audytowy Państwa konta, który rejestruje każde wywołanie API wraz z tożsamością wywołującego, operacją, czasem, źródłowym adresem IP i parametrami. Domyślnie przechowuje 90 dni zdarzeń zarządzania w sekcji Event history; aby uzyskać trwałe logi, które można odpytywać, należy utworzyć multi-region trail w S3. CloudTrail różni się od CloudWatch (wydajność), ponieważ odpowiada na pytanie, kto wykonał daną operację. Logi należy chronić za pomocą walidacji, Object Lock i oddzielnego konta, a także przesyłać je do CloudWatch Logs na potrzeby alertów w czasie rzeczywistym.