Lendo um Registro de Evento do CloudTrail

Um evento do CloudTrail é um registro JSON com um conjunto consistente de campos. Aprender a lê-lo permite reconstruir exatamente o que aconteceu durante uma investigação.

Cada registro descreve uma chamada de API: quem a fez, o que fez, quando, de onde e qual foi o resultado.

O campo mais importante para a segurança é userIdentity. Ele descreve o principal que fez a chamada — seu tipo (IAMUser, AssumedRole, Root, AWSService), sua conta e seu ARN (Amazon Resource Name).

É assim que você atribui uma ação com segurança a uma pessoa, função ou serviço específico.

eventName é a ação de API chamada, como DeleteBucket ou RunInstances, e eventSource é o serviço ao qual ela pertence, como s3.amazonaws.com.

Juntos, eles informam precisamente qual operação ocorreu, o que é essencial para compreender qualquer evento.

O carimbo de data e hora eventTime (em UTC), awsRegion e sourceIPAddress situam a chamada no tempo e no espaço.

Uma chamada de uma região inesperada ou de um IP desconhecido é um sinal de alerta clássico. O campo do agente do usuário acrescenta como a chamada foi feita — console, CLI ou SDK.

requestParameters mostram as entradas da chamada — qual bucket, qual instância, qual política — e responseElements mostram o que a AWS retornou, como o ID de um recurso recém-criado.

Eles permitem ver exatamente o que foi alterado e qual foi o resultado, não apenas que algo aconteceu.

Se uma chamada foi negada, o registro inclui errorCode e errorMessage, como AccessDenied.

Uma sequência de chamadas negadas de um único principal geralmente significa que um invasor está testando o que uma credencial roubada pode fazer. Eventos malsucedidos são tão valiosos para a investigação quanto os bem-sucedidos.

Quando o acesso ocorre por meio de funções assumidas, siga a cadeia. O userIdentity pode mostrar uma sessão de função assumida, e sessionContext revela o principal subjacente que a assumiu.

Rastrear essa cadeia permite descobrir quem realizou a ação em última instância, mesmo quando há várias transições entre funções.

Campos como readOnly e managementEvent informam rapidamente a natureza da chamada — se ela alterou alguma coisa e se é uma operação do plano de controle.

Eles ajudam você a filtrar rapidamente os eventos que alteraram seu ambiente ao examinar uma grande quantidade de registros.

Ler um registro manualmente é simples; examinar milhões deles, não. Envie os registros para o CloudWatch Logs ou consulte o arquivo no S3 com o Athena, usando SQL.

Você pode filtrar por userIdentity, eventName, sourceIPAddress ou errorCode para identificar exatamente as chamadas relevantes em uma investigação.

O campo userAgent revela como uma chamada foi feita — pelo console da AWS, por uma versão específica da CLI, por um SDK ou por uma ferramenta de automação.

Um agente do usuário inesperado pode indicar o uso de ferramentas por um invasor. Uma chamada que normalmente vem do console e, de repente, chega por um SDK bruto a partir de um IP incomum é o tipo de anomalia sutil que merece uma segunda análise.

Para investigar, combine os campos: quem (userIdentity) fez o quê (eventName), em qual recurso (requestParameters), quando (eventTime), de onde (sourceIPAddress) e com qual resultado (responseElements ou errorCode).

Essa visão completa, obtida a partir de um único registro, é a essência da perícia de atividades de API na AWS.

Encontre o campo de atribuição.

Um evento do CloudTrail é um registro JSON cujos campos principais respondem a uma investigação completa: userIdentity (quem, com ARN e a cadeia de funções por meio de sessionContext), eventName/eventSource (o quê), eventTime/awsRegion/sourceIPAddress (quando e onde) e requestParameters/responseElements ou errorCode (a alteração e o resultado). Eventos AccessDenied malsucedidos são sinais valiosos, e o Athena permite consultar registros em grande escala.