Läs en CloudTrail-händelsepost

En CloudTrail-händelse är en JSON-post med en enhetlig uppsättning fält. När ni lär er att läsa den kan ni exakt återskapa vad som hände under en utredning.

Varje post beskriver ett API-anrop: vem som gjorde det, vad personen eller tjänsten gjorde, när och varifrån det gjordes samt vilket resultatet blev.

Det viktigaste fältet för säkerhet är userIdentity. Det beskriver det principal som gjorde anropet — dess typ (IAMUser, AssumedRole, Root, AWSService), konto och ARN (Amazon Resource Name).

Det är så ni med säkerhet kopplar en åtgärd till en viss person, roll eller tjänst.

eventName är API-åtgärden som anropades, till exempel DeleteBucket eller RunInstances, och eventSource är tjänsten som den tillhör, till exempel s3.amazonaws.com.

Tillsammans visar de exakt vilken åtgärd som utfördes, vilket är kärnan i att förstå en händelse.

Tidsstämpeln eventTime (i UTC), awsRegion och sourceIPAddress placerar anropet i tid och rum.

Ett anrop från en oväntad region eller en okänd IP-adress är en klassisk varningssignal. Fältet för användaragent visar dessutom hur anropet gjordes — via konsolen, CLI eller SDK.

requestParameters visar indata till anropet — vilken bucket, instans eller policy — och responseElements visar vad AWS returnerade, till exempel ID:t för en nyskapad resurs.

Med dessa fält kan ni se exakt vad som ändrades och vilket resultatet blev, inte bara att något hände.

Om ett anrop nekades innehåller posten errorCode och errorMessage, till exempel AccessDenied.

En mängd nekade anrop från ett och samma principal kan ofta betyda att en angripare undersöker vad en stulen autentiseringsuppgift kan användas till. Misslyckade händelser är lika värdefulla i utredningar som lyckade.

När åtkomsten går via antagna roller ska ni följa kedjan. userIdentity kan visa en session med en antagen roll, och sessionContext visar det underliggande principal som antog rollen.

Genom att spåra kedjan kan ni fastställa vem som slutligen utförde en åtgärd, även när flera rollhopp ingår.

Fält som readOnly och managementEvent visar direkt vilken typ av anrop det är – om det ändrade något och om det är en åtgärd på kontrollplanet.

De hjälper Er att snabbt filtrera fram de händelser som ändrade Er miljö när Ni går igenom stora mängder poster.

Det går bra att läsa en enskild post manuellt, men inte att gå igenom miljontals poster. Skicka loggar till CloudWatch Logs eller fråga S3-arkivet med Athena via SQL.

Ni kan filtrera på userIdentity, eventName, sourceIPAddress eller errorCode för att exakt hitta de anrop som är relevanta i en undersökning.

Fältet userAgent visar hur ett anrop gjordes – via AWS-konsolen, en viss CLI-version, ett SDK eller ett automatiseringsverktyg.

En oväntad user agent kan tyda på verktyg som används av en angripare. Om ett anrop som normalt kommer från konsolen plötsligt kommer via ett rått SDK från en ovanlig IP-adress är det en subtil avvikelse som är värd att granska närmare.

För att utreda kombinerar Ni fält: vem (userIdentity) gjorde vad (eventName) med vilken resurs (requestParameters), när (eventTime), varifrån (sourceIPAddress) och med vilket resultat (responseElements eller errorCode).

Den fullständiga bilden, hämtad från en enda post, är själva kärnan i kriminalteknisk analys av API-aktivitet i AWS.

En CloudTrail-händelse är en JSON-post vars nyckelfält besvarar de viktigaste frågorna i en fullständig undersökning: userIdentity (vem, med ARN och rollkedja via sessionContext), eventName/eventSource (vad), eventTime/awsRegion/sourceIPAddress (när och var), samt requestParameters/responseElements eller errorCode (ändringen och resultatet). Misslyckade AccessDenied-händelser är värdefulla signaler, och med Athena kan Ni fråga poster i stor skala.