การอ่านระเบียนเหตุการณ์ CloudTrail

เหตุการณ์ CloudTrail คือระเบียน JSONที่มีชุดฟิลด์สม่ำเสมอ การเรียนรู้วิธีอ่านระเบียนนี้ช่วยให้คุณสร้างลำดับเหตุการณ์ที่เกิดขึ้นระหว่างการสืบสวนได้อย่างแม่นยำ

ระเบียนแต่ละรายการอธิบายการเรียก API หนึ่งครั้ง ได้แก่ ใครเป็นผู้เรียก ดำเนินการอะไร เมื่อใด จากที่ใด และผลลัพธ์เป็นอย่างไร

ฟิลด์ที่สำคัญที่สุดด้านความปลอดภัยคือ userIdentity ฟิลด์นี้อธิบายผู้มีสิทธิ์ที่เรียกใช้งาน ได้แก่ ประเภท (IAMUser, AssumedRole, Root, AWSService) บัญชี และ ARN (ชื่อทรัพยากรของ Amazon)

ฟิลด์นี้ช่วยระบุได้อย่างมั่นใจว่าการดำเนินการเป็นของบุคคล บทบาท หรือบริการใดโดยเฉพาะ

eventName คือการดำเนินการของ API ที่ถูกเรียก เช่น DeleteBucket หรือ RunInstances ส่วน eventSource คือบริการที่การดำเนินการนั้นสังกัดอยู่ เช่น s3.amazonaws.com

เมื่อนำสองฟิลด์นี้มาดูร่วมกัน จะบอกได้อย่างแม่นยำว่าการดำเนินการใดเกิดขึ้น ซึ่งเป็นหัวใจสำคัญของการทำความเข้าใจเหตุการณ์ทุกประเภท

การประทับเวลา eventTime (ใน UTC), awsRegion และ sourceIPAddress ช่วยระบุว่าการเรียกเกิดขึ้นเมื่อใดและจากที่ใด

การเรียกจากภูมิภาคที่ไม่คาดคิดหรือ IP ที่ไม่คุ้นเคยเป็นสัญญาณเตือนสำคัญ ฟิลด์ตัวแทนผู้ใช้ยังบอกด้วยว่าการเรียกเกิดขึ้นผ่านช่องทางใด เช่น คอนโซล CLI หรือ SDK

requestParameters แสดงอินพุตของการเรียก เช่น บัคเก็ตใด อินสแตนซ์ใด หรือนโยบายใด ส่วน responseElements แสดงสิ่งที่ AWS ส่งกลับมา เช่น ID ของทรัพยากรที่เพิ่งสร้าง

ฟิลด์เหล่านี้ช่วยให้คุณเห็นอย่างชัดเจนว่าอะไรถูกเปลี่ยนแปลงและผลลัพธ์เป็นอย่างไร ไม่ใช่เพียงรู้ว่ามีบางสิ่งเกิดขึ้น

หากการเรียกถูกปฏิเสธ ระเบียนจะมี errorCode และ errorMessage เช่น AccessDenied

การเรียกที่ถูกปฏิเสธจำนวนมากจากผู้มีสิทธิ์รายเดียวมักหมายความว่าผู้โจมตีกำลังตรวจสอบว่าข้อมูลรับรองที่ขโมยมาสามารถทำอะไรได้บ้าง เหตุการณ์ที่ล้มเหลวมีคุณค่าต่อการสืบสวนไม่แพ้เหตุการณ์ที่สำเร็จ

เมื่อการเข้าถึงเกิดขึ้นผ่านบทบาทที่รับมา ให้ติดตามลำดับดังกล่าว ฟิลด์ userIdentity อาจแสดงเซสชันของบทบาทที่รับมา และ sessionContext จะแสดงผู้มีสิทธิ์ต้นทางที่รับบทบาทนั้นมา

การติดตามลำดับนี้ช่วยตอบได้ว่าใครเป็นผู้ดำเนินการในท้ายที่สุด แม้จะมีการเปลี่ยนผ่านหลายบทบาทก็ตาม

ฟิลด์อย่าง readOnly และ managementEvent ช่วยบอกลักษณะของการเรียกใช้ได้ทันทีว่า การเรียกใช้นั้นเปลี่ยนแปลงอะไรหรือไม่ และเป็นการดำเนินการบนระนาบควบคุมหรือไม่

ฟิลด์เหล่านี้ช่วยให้คุณกรองหาเหตุการณ์ที่เปลี่ยนแปลงสภาพแวดล้อมได้อย่างรวดเร็ว เมื่อต้องตรวจสอบระเบียนจำนวนมาก

การอ่านระเบียนเดียวด้วยตนเองนั้นทำได้ แต่การคัดกรองระเบียนนับล้านรายการไม่ใช่เรื่องเหมาะสม ให้ส่งบันทึกไปยัง CloudWatch Logs หรือสืบค้นคลังข้อมูลใน S3 ด้วย Athena โดยใช้ SQL

คุณสามารถกรองด้วย userIdentity, eventName, sourceIPAddress หรือ errorCode เพื่อระบุการเรียกใช้ที่เกี่ยวข้องกับการสืบสวนได้อย่างแม่นยำ

ฟิลด์ userAgent แสดงให้เห็นว่าการเรียกใช้เกิดขึ้นผ่านช่องทางใด เช่น คอนโซล AWS, CLI รุ่นใดรุ่นหนึ่ง, SDK หรือเครื่องมืออัตโนมัติ

ตัวระบุผู้ใช้ที่ไม่คาดคิดอาจเป็นเบาะแสถึงเครื่องมือของผู้โจมตี การเรียกใช้ที่ปกติมาจากคอนโซล แต่จู่ ๆ กลับมาจาก SDK โดยตรงผ่าน IP แปลก ๆ เป็นความผิดปกติเล็กน้อยที่ควรตรวจสอบเพิ่มเติม

ในการสืบสวน ให้รวมฟิลด์ต่าง ๆ เข้าด้วยกันว่าใคร (userIdentity) ทำอะไร (eventName) กับทรัพยากรใด (requestParameters) เมื่อใด (eventTime) จากที่ใด (sourceIPAddress) และได้ผลลัพธ์อย่างไร (responseElements หรือ errorCode)

ภาพรวมทั้งหมดจากระเบียนเดียวนี้คือหัวใจของการพิสูจน์หลักฐานกิจกรรม API บน AWS

เหตุการณ์ CloudTrail คือระเบียน JSON ที่มีฟิลด์สำคัญสำหรับตอบคำถามในการสืบสวนได้ครบถ้วน ได้แก่ userIdentity (ใคร โดยมี ARN และลำดับบทบาทผ่าน sessionContext), eventName/eventSource (ทำอะไร), eventTime/awsRegion/sourceIPAddress (เมื่อใดและจากที่ใด) และ requestParameters/responseElements หรือ errorCode (การเปลี่ยนแปลงและผลลัพธ์) เหตุการณ์ AccessDenied ที่ล้มเหลวเป็นสัญญาณที่มีค่า และ Athena ช่วยให้คุณสืบค้นระเบียนในระดับขนาดใหญ่ได้