События управления, данных и аналитических сведений

CloudTrail фиксирует три категории событий, и умение различать их крайне важно для экзамена: management events, data events и Insights events.

Они различаются тем, что именно записывают, включены ли по умолчанию и сколько стоят — эти различия определяют любую стратегию ведения журналов.

Management events фиксируют операции плоскости управления — действия по управлению ресурсами, например создание экземпляра, присоединение политики или изменение группы безопасности.

Они записываются по умолчанию и обычно бесплатны для первой копии. Именно на эти события чаще всего опираются расследования безопасности при проверке изменений конфигурации и прав доступа.

Data events фиксируют операции плоскости данных — многочисленные действия с данными внутри ресурсов, например S3 GetObject/PutObject или вызовы функций Lambda.

По умолчанию они выключены и требуют дополнительной оплаты из-за большого объёма. Включайте их выборочно там, где важна видимость операций на уровне объектов.

Одно приложение может выполнять миллионы обращений к объектам S3 в день, что намного превышает число действий управления.

Запись всех таких обращений полезна для криминалистического анализа — можно точно увидеть, какой объект был прочитан, — но большой объём повышает стоимость. Ограничивайте область действия событий данных конфиденциальными корзинами, а не включайте их повсеместно.

CloudTrail Insights автоматически обнаруживает необычные шаблоны активности API, например внезапный всплеск редко выполняемого вызова.

Сервис формирует базовый уровень нормального поведения и создаёт событие Insights, когда активность отклоняется от него, выявляя аномалии, например серию удалений ресурсов, которая может указывать на атаку.

Удобная мысленная модель: события управления относятся к плоскости управления (управление ресурсом), а события данных — к плоскости данных (использование ресурса).

Создание корзины S3 — это управление, а чтение объекта из неё — работа с данными. Это различие надёжно подсказывает, какой тип события и какая стоимость применяются.

Вы можете ограничить ведение журналов событиями только для чтения, только для записи или всеми событиями.

События записи фиксируют изменения (обычно именно они интересуют специалистов по безопасности), а события чтения — доступ. Фильтрация уменьшает объём лишних данных и стоимость. Например, можно записывать только события управления, связанные с записью, а также события данных для наиболее конфиденциальных корзин.

Расширенные селекторы событий позволяют детально фильтровать события данных — по ARN ресурса, имени события или другим полям — вместо ведения журналов по принципу «всё или ничего».

Можно записывать только GetObject для одной конфиденциальной корзины, контролируя стоимость и объём лишних данных. Именно такая точность делает ведение журналов событий данных практичным в больших масштабах.

Независимо от включённых типов событий записи поступают в корзину S3 вашего журнала, а при необходимости — также в CloudWatch Logs.

События Insights тоже попадают в отдельный префикс S3. Знание мест назначения важно для выполнения запросов с помощью Athena, настройки тревог и защиты журналов: именно там находятся ваши фактические свидетельства.

Разумная стратегия по умолчанию: включите журнал для нескольких регионов, записывающий все события управления, связанные с записью, добавьте события данных только для корзин и функций, обрабатывающих конфиденциальные данные, и включите Insights для обнаружения аномалий.

Так вы уравновесите полноту видимости с точки зрения безопасности и стоимость ведения журналов большого объёма.

В SCS-C02 часто проверяется, умеете ли вы сопоставить потребность с правильным типом события: отслеживание доступа на уровне объектов означает события данных; изменения конфигурации — события управления; необычные всплески активности — Insights.

Помните: события данных по умолчанию выключены и требуют дополнительной оплаты — это любимый отвлекающий вариант в ответах на экзамене.

Сопоставьте потребность с типом события.

CloudTrail записывает три типа событий. Management events фиксируют изменения в плоскости управления и включены по умолчанию; data events фиксируют доступ к данным в плоскости данных, например S3 GetObject, и по умолчанию выключены, а их использование требует дополнительной оплаты; Insights events обнаруживают аномальные шаблоны активности API. Используйте модель плоскости управления и плоскости данных, фильтруйте операции чтения и записи для уменьшения лишних данных и включайте события данных только для конфиденциальных ресурсов, чтобы сбалансировать видимость и стоимость.