Eventos de Gerenciamento, Dados e Insights

O CloudTrail captura três categorias de eventos, e saber a diferença é fundamental para a prova: eventos de gerenciamento, eventos de dados e eventos do Insights.

Eles diferem no que registram, em estarem ou não habilitados por padrão e no custo — distinções que orientam toda estratégia de registro.

Eventos de gerenciamento registram operações do plano de controle — ações que gerenciam recursos, como criar uma instância, anexar uma política ou alterar um grupo de segurança.

Eles são registrados por padrão e geralmente são gratuitos na primeira cópia. São os eventos dos quais a maioria das investigações de segurança depende para identificar alterações de configuração e de acesso.

Eventos de dados registram operações do plano de dados — ações de alto volume realizadas nos dados dentro dos recursos, como GetObject/PutObject do S3 ou invocações de funções do Lambda.

Eles ficam desabilitados por padrão e geram custo adicional devido ao volume. Habilite-os seletivamente onde a visibilidade no nível de objeto for importante.

Uma única aplicação pode fazer milhões de chamadas a objetos do S3 por dia, superando em muito a quantidade de ações de gerenciamento.

Registrar todas elas é poderoso para perícia — você pode ver exatamente qual objeto foi lido —, mas o volume aumenta o custo. Delimite os eventos de dados a buckets confidenciais em vez de habilitá-los em todos os lugares.

O CloudTrail Insights detecta automaticamente padrões incomuns de atividade de API, como um aumento repentino em uma chamada normalmente rara.

Ele estabelece uma linha de base do comportamento normal e gera um evento do Insights quando a atividade se desvia dela, revelando anomalias como uma onda de exclusões de recursos que pode indicar um ataque.

Um modelo mental simples: eventos de gerenciamento são o plano de controle (gerenciamento do recurso), enquanto eventos de dados são o plano de dados (uso do recurso).

Criar um bucket do S3 é uma operação de gerenciamento; ler um objeto dele é uma operação de dados. Essa distinção indica com segurança qual tipo de evento e perfil de custo se aplicam.

Você pode delimitar o registro a eventos de somente leitura, de somente gravação ou a todos os eventos.

Eventos de gravação capturam alterações (o foco habitual da segurança), enquanto eventos de leitura capturam acessos. A filtragem reduz o ruído e o custo — por exemplo, registrando apenas eventos de gerenciamento de gravação e eventos de dados nos seus buckets mais confidenciais.

Os seletores avançados de eventos permitem filtrar eventos de dados com precisão — por ARN do recurso, nome do evento ou outros campos — em vez de usar um registro do tipo tudo ou nada.

Você pode registrar apenas GetObject em um bucket confidencial específico, controlando o custo e o ruído. É essa precisão que torna prático registrar eventos de dados em grande escala.

Independentemente dos tipos de eventos habilitados, os registros são enviados ao bucket do S3 da sua trilha e, opcionalmente, ao CloudWatch Logs.

Os eventos do Insights também são armazenados em um prefixo separado do S3. Conhecer os destinos é importante para fazer consultas com o Athena, configurar alarmes e proteger os registros — é no destino que suas evidências realmente ficam.

Um padrão sensato é habilitar uma trilha de várias regiões que capture todos os eventos de gravação de gerenciamento, adicionar eventos de dados apenas aos buckets e funções que lidam com dados confidenciais e ativar o Insights para detectar anomalias.

Isso equilibra uma visibilidade de segurança abrangente com o custo do registro de eventos de dados de alto volume.

O SCS-C02 testa com frequência se você consegue associar uma necessidade ao tipo correto de evento: rastrear acesso no nível de objeto significa eventos de dados; alterações de configuração significam eventos de gerenciamento; aumentos incomuns de atividade significam Insights.

Lembre-se de que os eventos de dados ficam desabilitados por padrão e têm custo adicional — uma distração frequente nas respostas da prova.

Associe a necessidade ao tipo de evento.

O CloudTrail registra três tipos de eventos. Eventos de gerenciamento registram alterações no plano de controle e ficam habilitados por padrão; eventos de dados registram acessos de alto volume no plano de dados, como GetObject do S3, e ficam desabilitados por padrão com custo adicional; eventos do Insights detectam padrões anômalos de atividade de API. Use o modelo de plano de controle versus plano de dados, filtre por leitura/gravação para reduzir o ruído e habilite eventos de dados apenas em recursos confidenciais para equilibrar visibilidade e custo.