Трассы CloudTrail и история событий

AWS CloudTrail записывает каждый вызов API, выполненный в Вашем аккаунте AWS, независимо от того, был ли он сделан через Console, CLI, SDK или другой сервис AWS. Каждая такая запись называется событием CloudTrail и содержит действие API, сведения о личности отправителя запроса, исходный IP-адрес, параметры запроса и ответ. CloudTrail является основой аудита безопасности AWS, обеспечения соответствия требованиям и расследования операционных проблем. На экзамене SAA-C03 это правильный ответ, когда в вопросе спрашивается: «Кто внёс это изменение?»

По умолчанию каждый аккаунт AWS имеет доступ к истории событий CloudTrail — скользящей записи событий управления за 90 дней, которую можно просматривать в Console или запрашивать через CLI. Вы можете фильтровать события по имени ресурса, типу ресурса, имени события или имени пользователя. История событий бесплатна, не требует настройки и доступна сразу. Это самый быстрый способ расследовать недавние изменения, но для более длительного хранения или более мощных запросов необходимо создать Trail.

Trail — это конфигурация CloudTrail, которая непрерывно доставляет события в корзину S3 (и, при необходимости, в CloudWatch Logs). Вы платите за хранение в S3 и передачу данных. Trail можно ограничить одним регионом или настроить как мультирегиональный Trail, который собирает события из всех текущих и будущих регионов Вашего аккаунта. На экзамене SAA-C03 всегда рекомендуется мультирегиональный Trail: Trail одного региона не фиксирует активность в других регионах и считается пробелом в безопасности.

CloudTrail записывает две категории событий: события управления (также называемые событиями плоскости управления) фиксируют операции с ресурсами — создание экземпляра EC2, изменение группы безопасности, присоединение политики IAM. Они включены по умолчанию в каждом Trail без дополнительной платы за отдельное событие. События данных фиксируют операции на уровне объектов — S3 GetObject, PutObject, DeleteObject или Invoke Lambda. Объём событий данных может быть очень большим, и за них взимается дополнительная плата, поэтому их необходимо явно включать для каждого ресурса или типа ресурсов.

Доставка событий CloudTrail в CloudWatch Logs позволяет в реальном времени оповещать об активности API. Вы можете создать фильтры метрик для группы журналов CloudTrail, чтобы подсчитывать определённые события — например, вызовы DeleteBucket или CreateUser, — а затем настроить оповещения CloudWatch, которые уведомят команду безопасности в течение нескольких минут после подозрительного действия. Это основной шаблон в CIS AWS Foundations Benchmark, на который часто ссылается экзамен SAA-C03.

Некоторые сервисы AWS, в частности IAM, STS, Route 53 и CloudFront, являются глобальными и записывают вызовы API как события глобальных сервисов. Эти события всегда записываются в регионе us-east-1, независимо от того, где была инициирована операция. При создании Trail включите параметр --include-global-service-events, чтобы фиксировать создание пользователей IAM, изменения политик и принятие ролей STS. Если у Вас несколько Trail для отдельных регионов, включите события глобальных сервисов только в одном из них, чтобы избежать дублирования записей журналов.

CloudTrail требует специальную политику корзины S3, которая предоставляет субъекту сервиса CloudTrail (cloudtrail.amazonaws.com) разрешения на вызовы GetBucketAcl и PutObject для корзины. AWS запрещает публичный доступ к корзине и требует, чтобы для владения объектами был установлен режим Bucket Owner Enforced. Никогда не храните журналы CloudTrail в той же корзине, которую использует приложение: это создаёт циклическую зависимость, при которой доступ к журналам аудита будет нарушен, если доступ к корзине приложения ограничат.

В AWS Organisation Вы можете создать Trail организации из управляющего аккаунта, и он автоматически будет применяться ко всем аккаунтам-участникам — текущим и будущим. Аккаунты-участники не могут изменять или удалять Trail организации, поэтому избежать аудита невозможно. Trails организации доставляют журналы в централизованную корзину S3 с префиксами для отдельных аккаунтов, что позволяет команде безопасности запрашивать журналы аудита всех аккаунтов в одном месте с помощью Athena или инструмента SIEM.

Журналы CloudTrail, доставленные в S3, имеют формат JSON. Вы можете использовать интеграцию Amazon Athena в Console CloudTrail, чтобы автоматически создать таблицу Glue с разбиением по аккаунту, региону и дате. Это позволяет выполнять запросы к истории API за несколько месяцев с помощью стандартного SQL, не загружая данные в базу данных. В запросах выполняйте разбиение по дате (WHERE year='2024' AND month='01'), чтобы избежать полного сканирования таблицы и контролировать расходы Athena.

Есть два способа искать записи CloudTrail: История событий в консоли (последние 90 дней, только управленческие события, ограниченный набор фильтров) и журналы трейла в S3/Athena (неограниченное хранение, включая события данных, и полноценные возможности SQL). В заданиях экзамена: если требуется расследовать событие старше 90 дней или выполнить запрос к событиям плоскости данных (S3 GetObject, Lambda Invoke), всегда рекомендуйте запрашивать журналы трейла через Athena. Если требуется самый простой способ расследовать недавнее управленческое событие, достаточно использовать «Историю событий».

Запомните это для экзамена SAA-C03: CloudTrail не работает в реальном времени — доставка событий в S3 может занимать до 15 минут (для оповещений почти в реальном времени используйте CloudWatch Logs). История событий хранится 90 дней и содержит только управленческие события. События данных необходимо включать явно, и за них взимается дополнительная плата. Проверка файлов журналов использует хеши SHA-256 для обнаружения подделки. События глобальных сервисов (IAM, STS, Route 53) отображаются только в us-east-1. Организационные трейлы нельзя отключить из учетных записей участников.

Проверьте, насколько хорошо Вы понимаете концепции AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке Вы узнали, что «История событий» бесплатно предоставляет доступ к управленческим событиям за последние 90 дней, трейлы обеспечивают непрерывную доставку в S3 с настраиваемым сроком хранения и дополнительными событиями данных, а организационные трейлы применяются ко всем учетным записям участников и не могут быть отключены ими. Далее мы рассмотрим CloudTrail Insights и проверку целостности файлов журналов.