Чтение записи события CloudTrail

Событие CloudTrail — это запись JSON со стандартным набором полей. Научившись читать её, вы сможете точно восстановить ход событий во время расследования.

Каждая запись описывает один вызов API: кто его выполнил, что сделал, когда и откуда, а также каков был результат.

Самое важное с точки зрения безопасности поле — userIdentity. Оно описывает субъект, выполнивший вызов: его тип (IAMUser, AssumedRole, Root, AWSService), учётную запись и ARN (Amazon Resource Name).

Так можно с уверенностью связать действие с конкретным человеком, ролью или сервисом.

eventName — это вызванное действие API, например DeleteBucket или RunInstances, а eventSource — сервис, которому оно принадлежит, например s3.amazonaws.com.

Вместе они точно показывают, какая операция произошла, а это основа понимания любого события.

Метка времени eventTime (в UTC), awsRegion и sourceIPAddress указывают, когда и где был выполнен вызов.

Вызов из неожиданного региона или с неизвестного IP-адреса — классический тревожный сигнал. Поле агента пользователя дополнительно показывает, как был выполнен вызов: через консоль, CLI или SDK.

requestParameters показывают входные данные вызова — какую корзину, какой экземпляр или какую политику использовали, — а responseElements показывают, что вернул AWS, например ID недавно созданного ресурса.

Благодаря им можно увидеть, что именно изменилось и каков результат, а не только узнать, что что-то произошло.

Если вызов был отклонён, запись содержит errorCode и errorMessage, например AccessDenied.

Серия отклонённых вызовов от одного субъекта часто означает, что злоумышленник проверяет, что может сделать с украденными учётными данными. Неуспешные события не менее ценны для расследования, чем успешные.

Если доступ выполняется через предполагаемые роли, проследите всю цепочку. В userIdentity может отображаться сеанс предполагаемой роли, а sessionContext раскрывает исходный субъект, который её принял.

Отслеживание этой цепочки позволяет установить, кто в конечном счёте выполнил действие, даже если использовалось несколько переходов между ролями.

Такие поля, как readOnly и managementEvent, сразу показывают характер вызова: изменил ли он что-либо и относится ли к операциям плоскости управления.

Они помогают быстро отфильтровать события, изменившие вашу среду, когда Вы просматриваете поток записей.

Прочитать одну запись вручную несложно, но просматривать миллионы записей таким способом не получится. Отправляйте журналы в журналы CloudWatch или запрашивайте архив S3 с помощью Athena, используя SQL.

Можно фильтровать записи по userIdentity, eventName, sourceIPAddress или errorCode, чтобы точно найти вызовы, важные для расследования.

Поле userAgent показывает, каким способом был выполнен вызов: через консоль AWS, определённую версию CLI, SDK или инструмент автоматизации.

Неожиданное значение userAgent может указывать на инструменты злоумышленника. Вызов, который обычно выполняется из консоли, внезапно поступает через обычный SDK с необычного IP-адреса — это тонкая аномалия, которую стоит изучить внимательнее.

Для расследования объединяйте поля: кто (userIdentity) выполнил какое действие (eventName) над каким ресурсом (requestParameters), когда (eventTime), откуда (sourceIPAddress) и с каким результатом (responseElements или errorCode).

Эта полная картина, составленная по одной записи, и есть суть криминалистического анализа активности API в AWS.

Найдите поле, указывающее источник действия.

Событие CloudTrail — это запись JSON, ключевые поля которой позволяют провести полноценное расследование: userIdentity (кто, с ARN и цепочкой ролей через sessionContext), eventName/eventSource (что), eventTime/awsRegion/sourceIPAddress (когда и где), а также requestParameters/responseElements или errorCode (изменение и результат). Неудачные события AccessDenied — ценные сигналы, а Athena позволяет запрашивать записи в больших масштабах.