Criando Tabelas sobre Dados do CloudTrail

O Athena não pode consultar arquivos brutos do S3 até que você informe como lê-los. Uma tabela associa os arquivos JSON do CloudTrail no seu bucket do S3 a colunas nomeadas e seus tipos. Depois que a tabela existe, a estrutura detalhada dos eventos do CloudTrail pode ser acessada com SQL comum.

O CloudTrail entrega eventos em JSON, com cada registro descrevendo uma chamada de API e contendo campos aninhados como userIdentity, eventName, sourceIPAddress e requestParameters. O esquema da tabela deve espelhar esse aninhamento, incluindo tipos struct para objetos, para que as consultas possam acessar campos como userIdentity.arn.

Você não precisa escrever o esquema manualmente. A AWS publica uma instrução padrão CREATE TABLE para o CloudTrail, e o console do CloudTrail e o Athena podem gerá-la para você. Usar a DDL fornecida garante que todos os campos, inclusive os profundamente aninhados, sejam mapeados corretamente, para que suas consultas não deixem dados de fora.

Um SerDe (serializador/desserializador) informa ao Athena como analisar cada arquivo. As tabelas do CloudTrail usam um SerDe projetado para o formato JSON do CloudTrail, que entende a matriz de registros e as estruturas aninhadas. Escolher o SerDe correto é essencial; o incorreto gera erros de análise ou colunas nulas.

A cláusula LOCATION da tabela aponta para o prefixo do S3 onde o CloudTrail armazena os registros, normalmente um caminho que inclui o ID da conta e a região. Acertar esse prefixo é importante: se for amplo demais, você analisará dados irrelevantes; se for restrito demais, perderá eventos que pretendia consultar.

Com a tabela criada, você consulta campos aninhados usando a notação por pontos, como userIdentity.arn ou requestParameters.bucketName. As funções SQL ajudam a separar matrizes e strings JSON. É nesse aspecto que o Athena se destaca em investigações: você pode filtrar precisamente pelo nome do evento, pela entidade principal e pelos parâmetros de qualquer chamada de API.

Em vez de DDL manual, um rastreador do AWS Glue pode analisar os dados do S3 e inferir automaticamente um esquema no Catálogo de Dados. Para formatos conhecidos, como o CloudTrail, o DDL fornecido geralmente é mais limpo, mas os rastreadores são úteis para formatos de registros personalizados ou em evolução, quando você prefere não escrever o esquema manualmente.

O JSON do CloudTrail tem campos que são, por sua vez, strings JSON, como requestParameters, quando os valores variam conforme o serviço. Muitas vezes, você os analisa no momento da consulta com funções JSON. Saber que algumas colunas são strings a serem analisadas, e não colunas pré-estruturadas, evita confusão quando um campo não se comporta como uma coluna normal.

Em uma trilha da organização, os registros de todas as contas são armazenados em um único bucket, com prefixos específicos de cada conta. Você pode criar uma única tabela sobre todo o prefixo para consultar todas as contas de uma vez ou tabelas por conta para obter isolamento. Uma tabela unificada é poderosa para buscar ameaças em toda a organização com uma única consulta.

Depois de criar a tabela, execute um SELECT rápido com um LIMIT pequeno para confirmar que as linhas são retornadas e que as colunas são preenchidas conforme o esperado. Se as colunas forem nulas, é provável que o SerDe, a localização ou o esquema estejam incorretos. Essa verificação de integridade evita que você baseie investigações em uma tabela silenciosamente defeituosa.

Quando a tabela do CloudTrail está correta, você tem uma trilha de auditoria consultável que abrange todo o histórico registrado. Cada login no console, chamada de API e erro passa a ser uma linha que você pode filtrar e agregar. Essa tabela é a base para as consultas de incidentes que você escreverá a seguir.

Teste seus conhecimentos sobre a criação de tabelas.

Para consultar o CloudTrail no Athena, você cria uma tabela que mapeia os arquivos JSON para colunas, usando o CREATE TABLE DDL fornecido pela AWS, o SerDe correto e a LOCATION correta do S3. Consulte campos aninhados com a notação por pontos, analise colunas de strings JSON no momento da consulta e verifique o resultado com um SELECT pequeno. Uma trilha da organização pode ser representada por uma única tabela para a busca de ameaças em toda a organização.