Management-, data- och insight-händelser

CloudTrail samlar in tre kategorier av händelser, och det är avgörande för provet att känna till skillnaden: management events, data events och Insights events.

De skiljer sig åt i vad de registrerar, om de är aktiverade som standard och hur mycket de kostar — skillnader som påverkar varje loggningsstrategi.

Management events registrerar åtgärder på kontrollplanet — åtgärder som hanterar resurser, till exempel att skapa en instans, koppla en policy eller ändra en säkerhetsgrupp.

De loggas som standard och den första kopian är vanligtvis kostnadsfri. Det är dessa händelser som de flesta säkerhetsutredningar förlitar sig på för att se konfigurations- och åtkomständringar.

Data events registrerar åtgärder på dataplanet — åtgärder med hög volym på data inuti resurser, till exempel S3 GetObject/PutObject eller anrop av Lambda-funktioner.

De är avstängda som standard och medför en extra kostnad på grund av den stora volymen. Aktivera dem selektivt där insyn på objektnivå är viktig.

Ett enda program kan göra miljontals S3-anrop för objekt per dag, vilket vida överstiger antalet hanteringsåtgärder.

Att logga alla dessa anrop är kraftfullt vid kriminaltekniska utredningar — ni kan se exakt vilket objekt som lästes — men volymen driver kostnaden. Begränsa data events till känsliga bucketar i stället för att aktivera dem överallt.

CloudTrail Insights identifierar automatiskt ovanliga mönster i API-aktiviteten, till exempel en plötslig ökning av ett anrop som normalt är sällsynt.

Funktionen etablerar en baslinje för normalt beteende och skapar en Insights-händelse när aktiviteten avviker — exempelvis en mängd borttagningar av resurser som kan tyda på en attack.

En tydlig mental modell är att management events hör till kontrollplanet (hantering av resursen), medan data events hör till dataplanet (användning av resursen).

Att skapa en S3-bucket är en hanteringsåtgärd, medan att läsa ett objekt från den hör till dataplanet. Denna skillnad visar på ett tillförlitligt sätt vilken händelsetyp och kostnadsnivå som gäller.

Ni kan begränsa loggningen till endast läsning, endast skrivning eller alla händelser.

Skrivhändelser registrerar ändringar (det vanliga fokuset för säkerhet), medan läshändelser registrerar åtkomst. Filtrering minskar brus och kostnader — till exempel genom att endast logga skrivande management events samt data events för era känsligaste bucketar.

Avancerade händelseväljare låter er finjustera filtreringen av data events — efter resurs-ARN, händelsenamn eller andra fält — i stället för att använda loggning som gäller allt eller inget.

Ni kan till exempel endast logga GetObject för en känslig bucket och därmed kontrollera både kostnader och brus. Det är denna precision som gör loggning av data events praktisk i stor skala.

Oavsett vilka händelsetyper ni aktiverar skickas posterna till trailens S3-bucket och eventuellt till CloudWatch Logs.

Insights events hamnar dessutom i ett separat S3-prefix. Det är viktigt att känna till destinationerna för att kunna efterfråga data med Athena, konfigurera larm och skydda loggarna — det är på destinationen som bevismaterialet faktiskt finns.

En rimlig standard är att aktivera en multi-region trail som samlar in alla management write-händelser, lägga till data events endast för bucketar och funktioner som hanterar känsliga data samt aktivera Insights för avvikelsedetektering.

Detta balanserar heltäckande säkerhetsinsyn mot kostnaden för loggning av data events med hög volym.

SCS-C02 testar ofta om ni kan koppla ett behov till rätt händelsetyp: spårning av åtkomst på objektnivå innebär data events, konfigurationsändringar innebär management events och ovanliga aktivitetstoppar innebär Insights.

Kom ihåg att data events är avstängda som standard och kostar extra — en vanlig distraktion bland provsvaren.

CloudTrail registrerar tre händelsetyper. Management events loggar ändringar på kontrollplanet och är aktiverade som standard. Data events loggar åtkomst på dataplanet med hög volym, till exempel S3 GetObject, och är avstängda som standard med en extra kostnad. Insights events identifierar avvikande mönster i API-aktiviteten. Använd modellen med kontrollplan kontra dataplan, filtrera efter läsning och skrivning för att minska brus och aktivera data events endast för känsliga resurser för att balansera insyn och kostnader.