Odczytywanie rekordu zdarzenia CloudTrail

Zdarzenie CloudTrail jest rekordem JSON o spójnym zestawie pól. Umiejętność jego odczytywania pozwala dokładnie odtworzyć przebieg zdarzeń podczas dochodzenia.

Każdy rekord opisuje jedno wywołanie API: kto je wykonał, co zrobił, kiedy i skąd, a także jaki był rezultat.

Najważniejszym z punktu widzenia bezpieczeństwa polem jest userIdentity. Opisuje ono podmiot, który wykonał wywołanie — jego typ (IAMUser, AssumedRole, Root, AWSService), konto i ARN (Amazon Resource Name).

W ten sposób można z pewnością przypisać działanie konkretnej osobie, roli lub usłudze.

eventName to wywołana operacja API, na przykład DeleteBucket lub RunInstances, a eventSource to usługa, do której ona należy, na przykład s3.amazonaws.com.

Razem informują dokładnie, jaka operacja się odbyła — to podstawa zrozumienia dowolnego zdarzenia.

Znacznik czasu eventTime (w UTC), awsRegion i sourceIPAddress umieszczają wywołanie w czasie i przestrzeni.

Wywołanie z nieoczekiwanego regionu lub nieznanego adresu IP to klasyczny sygnał ostrzegawczy. Pole user agent dodatkowo pokazuje sposób wykonania wywołania — za pomocą konsoli, CLI lub SDK.

Pole requestParameters pokazuje dane wejściowe wywołania — który zasobnik, która instancja lub która polityka — a responseElements pokazuje odpowiedź AWS, na przykład identyfikator nowo utworzonego zasobu.

Dzięki nim można dokładnie sprawdzić, co zostało zmienione i jaki był rezultat, a nie tylko stwierdzić, że coś się wydarzyło.

Jeśli wywołanie zostało odrzucone, rekord zawiera pola errorCode i errorMessage, na przykład AccessDenied.

Seria odrzuconych wywołań z jednego podmiotu często oznacza, że atakujący sprawdza możliwości skradzionych danych uwierzytelniających. Nieudane zdarzenia są równie wartościowe podczas dochodzenia jak zdarzenia zakończone powodzeniem.

Gdy dostęp odbywa się za pośrednictwem przyjętych ról, należy prześledzić cały łańcuch. Pole userIdentity może wskazywać sesję przyjętej roli, a sessionContext ujawnia bazowy podmiot, który ją przyjął.

Prześledzenie tego łańcucha pozwala ustalić, kto ostatecznie wykonał działanie, nawet gdy wykorzystano kilka kolejnych przejść między rolami.

Pola takie jak readOnly i managementEvent od razu informują o charakterze wywołania — o tym, czy spowodowało ono jakieś zmiany i czy jest operacją w płaszczyźnie zarządzania.

Ułatwiają szybkie odfiltrowanie zdarzeń, które zmieniły środowisko, podczas przeglądania dużej liczby rekordów.

Ręczne odczytanie jednego rekordu nie stanowi problemu, ale przeszukiwanie milionów rekordów już tak. Należy wysyłać dzienniki do CloudWatch Logs albo odpytywać archiwum w S3 za pomocą Athena i języka SQL.

Można filtrować według pól userIdentity, eventName, sourceIPAddress lub errorCode, aby dokładnie wskazać wywołania istotne w toku dochodzenia.

Pole userAgent pokazuje, w jaki sposób wykonano wywołanie — za pomocą konsoli AWS, konkretnej wersji CLI, zestawu SDK lub narzędzia do automatyzacji.

Nieoczekiwany user agent może wskazywać na narzędzia używane przez atakującego. Wywołanie, które zwykle pochodzi z konsoli, a nagle przychodzi za pośrednictwem surowego SDK z nietypowego adresu IP, jest subtelną anomalią wartą dokładniejszego sprawdzenia.

Aby przeprowadzić dochodzenie, należy połączyć pola: kto (userIdentity) wykonał jaką czynność (eventName), wobec którego zasobu (requestParameters), kiedy (eventTime), skąd (sourceIPAddress) i z jakim wynikiem (responseElements lub errorCode).

Ten pełny obraz, odczytany z jednego rekordu, stanowi istotę analizy kryminalistycznej aktywności API w AWS.

Znajdź pole wskazujące źródło wywołania.

Zdarzenie CloudTrail to rekord JSON, którego kluczowe pola pozwalają przeprowadzić pełne dochodzenie: userIdentity (kto, wraz z ARN i łańcuchem ról dostępnym przez sessionContext), eventName/eventSource (co), eventTime/awsRegion/sourceIPAddress (kiedy i gdzie) oraz requestParameters/responseElements lub errorCode (zmiana i wynik). Nieudane zdarzenia AccessDenied są cennymi sygnałami, a Athena umożliwia odpytywanie rekordów na dużą skalę.