Günlükleri CloudWatch'a Toplama

Amazon CloudWatch Logs, AWS kaynaklarınızdan ve uygulamalarınızdan günlük verilerini toplayan, depolayan ve aramanızı sağlayan yönetilen hizmettir. Günlüklerin, bir örnek sonlandırıldığında kaybolabilecekleri tek tek sunucularda durması yerine, merkezi ve kalıcı bir konuma aktarılırlar. Bir güvenlik mühendisi için bu merkezileştirmenin amacı açıktır: göremediğiniz bir şeyi tespit edemez veya inceleyemezsiniz.

Bir günlük grubu, ilgili günlük verilerini barındıran ve ortak ayarları tanımlayan bir kapsayıcıdır. Genellikle bir günlük grubu, /aws/lambda/my-function gibi tek bir uygulamayı veya hizmeti temsil eder. Güvenlik açısından iki ayar özellikle önemlidir: günlüklerin otomatik olarak silinmeden önce ne kadar süreyle saklanacağını belirleyen saklama süresi ve verileri bekleme hâlindeyken şifrelemek için isteğe bağlı olarak kullanılan KMS anahtarı.

Bir günlük grubunun içinde günlük akışı, tek bir EC2 örneği veya tek bir Lambda çağırma ortamı gibi tek bir kaynaktan gelen olaylar dizisidir. Olaylar bir zaman damgası ve iletiyle birlikte gelir. Akışlara ayırma, kaynakları birbirinden ayrı tutarak etkinliği belirli bir kaynağa kadar izlemenizi sağlar; aynı zamanda her şeyi tek bir günlük grubu altında mantıksal olarak gruplandırır.

EC2 örnekleri ve şirket içi sunucular günlükleri otomatik olarak göndermez. birleşik CloudWatch aracısı, işletim sistemi, uygulama ve özel günlük dosyalarını CloudWatch Logs'a aktarmak üzere ana bilgisayara kurulur. Ayrıca hipervizörün göremediği bellek ve disk kullanımı gibi ek ölçümleri de toplar. Aracının günlük yazma iznine sahip bir IAM rolüne ihtiyacı vardır.

Birçok AWS hizmeti, hiçbir aracıya ihtiyaç duymadan doğrudan CloudWatch'a günlük yazar. Lambda işlev çıktısını yazar, VPC Flow Logs bir günlük grubunu hedefleyebilir ve Route 53 DNS sorgularını günlüğe kaydedebilir. CloudTrail, S3'e ek olarak olayları CloudWatch Logs'a da gönderebilir. Hangi kaynakların aracısız, hangilerinin aracı tabanlı olduğunu bilmek, sınavlarda sık karşılaşılan bir ayrımdır.

Varsayılan olarak günlük grupları verileri sonsuza kadar saklar; bu da fark ettirmeden faturanızı büyütür. Saklama süresini her günlük grubu için bir günden on yıla kadar belirleyebilirsiniz. Güvenlik ve uyumluluk, denetim izleri için genellikle uzun saklama süreleri gerektirirken, çok gürültülü hata ayıklama günlüklerinin süresi hızla dolabilir. Bu ikisini dengelemek hem denetçilerinizi hem de mali işler ekibinizi memnun eder.

CloudWatch Logs, bekleme hâlindeki verileri varsayılan olarak şifreler; ancak daha sıkı denetim için bir günlük grubuyla müşteri tarafından yönetilen KMS anahtarını ilişkilendirebilirsiniz. Böylece anahtar politikası aracılığıyla günlükleri tam olarak kimin okuyabileceğini yönetebilir ve anahtar kullanımına ilişkin denetlenebilir bir kayıt oluşturabilirsiniz. Kimlik bilgileri veya PII içeren hassas günlükler bundan en çok yararlanır.

Bir abonelik filtresi, eşleşen günlük olaylarını neredeyse gerçek zamanlı olarak Lambda, Kinesis Data Streams veya Amazon OpenSearch gibi başka bir hedefe aktarır. Güvenlik ekipleri bunu, günlükleri daha sonra toplu olarak dışa aktarmak yerine olaylar gelir gelmez bir SIEM'e veya merkezi bir günlük hesabına iletmek için kullanır. Böylece CloudWatch Logs canlı bir veri akışına dönüşür.

Uzun süreli ve düşük maliyetli arşivleme için günlük verilerini Amazon S3'e dışa aktarabilirsiniz. S3 daha ucuz depolama, Glacier'a yaşam döngüsü kuralları ve değişmezlik için Object Lock sunar. Yaygın bir yaklaşım, hızlı arama için CloudWatch'ta kısa süreli saklama ve yıllar boyunca tutulacak uyumluluk kaydı için kilitlenmiş bir S3 klasörüne dışa aktarmayı birlikte kullanmaktır.

CloudWatch Logs Insights, günlük gruplarında etkileşimli arama yapmak için tasarlanmış özel bir sorgu dilidir. Hiçbir şeyi dışa aktarmadan çok büyük veri hacimlerini filtreleyebilir, toplulaştırabilir ve sıralayabilirsiniz. Bir inceleme sırasında hangi IP adresinin en çok hatayı tetiklediği gibi soruları hızla yanıtlamanızı sağlar; bu nedenle daha derin analiz için Athena'ya geçmeden önce hızlı bir ilk adımdır.

Günlükleme veri akışının kendisi de bir hedeftir. CloudWatch aracısı rolüne yalnızca logs:CreateLogStream ve logs:PutLogEvents izinlerini verin; geniş kapsamlı izinleri kesinlikle vermeyin. Saldırganların etkinliklerini gizlemek için günlük gruplarını silememesi amacıyla bu grupları koruyun ve kritik günlükleri hızla ayrı bir hesaba iletin. Baştan sona denetiminizde olan bir günlük, güvenebileceğiniz bir kanıttır.

CloudWatch Logs toplama konusundaki kavrayışınızı sınayın.

CloudWatch Logs, günlük verilerini günlük akışlarından oluşan günlük gruplarında merkezileştirir. EC2 ve şirket içi ana bilgisayarlar için birleşik aracı gerekirken birçok hizmet yerel olarak entegre olur. Maliyeti kontrol etmek için saklama süresini ayarlayın, hassas veriler için bir KMS anahtarı ilişkilendirin ve bir SIEM'e veri aktarmak veya arşiv oluşturmak için abonelik filtrelerini ya da S3 dışa aktarımını kullanın. Veri akışını sıkı biçimde korumak, kanıtlarınızın güvenilir kalmasını sağlar.