Yönetim, Veri ve İçgörü Olayları

CloudTrail üç olay kategorisini yakalar ve aralarındaki farkı bilmek sınav açısından kritik öneme sahiptir: yönetim olayları, veri olayları ve Insights olayları.

Bu olaylar kaydettikleri bilgiler, varsayılan olarak etkin olup olmadıkları ve maliyetleri bakımından farklıdır. Bu ayrımlar, her günlük kaydı stratejisinin temelini oluşturur.

Yönetim olayları, kontrol düzlemi işlemlerini; örneğin bir bulut sunucusu oluşturma, bir ilke ekleme veya bir güvenlik grubunu değiştirme gibi kaynakları yöneten eylemleri kaydeder.

Varsayılan olarak günlüğe kaydedilir ve ilk kopya için genellikle ücretsizdir. Güvenlik incelemeleri, yapılandırma ve erişim değişikliklerini görmek için çoğunlukla bu olaylara dayanır.

Veri olayları, veri düzlemi işlemlerini; kaynakların içindeki verilere yönelik S3 GetObject/PutObject veya Lambda işlevi çağrıları gibi yüksek hacimli eylemleri kaydeder.

Varsayılan olarak kapalıdır ve yüksek hacimleri nedeniyle ek maliyet oluşturur. Nesne düzeyinde görünürlüğün önemli olduğu yerlerde seçerek etkinleştirirsiniz.

Tek bir uygulama günde milyonlarca S3 nesne çağrısı yapabilir; bu sayı, yönetim eylemlerinin sayısını büyük ölçüde aşabilir.

Tümünü günlüğe kaydetmek adli inceleme açısından güçlüdür; hangi nesnenin okunduğunu tam olarak görebilirsiniz. Ancak hacim maliyeti artırır. Veri olaylarını her yerde etkinleştirmek yerine hassas klasörlerle sınırlandırın.

CloudTrail Insights, normalde nadir görülen bir çağrıda ani artış gibi olağandışı API etkinliği örüntülerini otomatik olarak tespit eder.

Normal davranış için bir temel oluşturur ve etkinlik bundan saptığında bir Insights olayı oluşturur. Böylece bir saldırıya işaret edebilecek kaynak silme patlamaları gibi anormallikleri görünür kılar.

Basit bir zihinsel model kullanın: yönetim olayları kontrol düzlemidir (kaynağı yönetir), veri olayları ise veri düzlemidir (kaynağı kullanır).

Bir S3 klasörü oluşturmak yönetim işlemidir; bu klasördeki bir nesneyi okumak ise veri işlemidir. Bu ayrım, hangi olay türünün ve maliyet profilinin geçerli olduğunu güvenilir biçimde gösterir.

Günlük kaydını yalnızca salt okunur, salt yazılır veya tüm olayları kapsayacak şekilde sınırlandırabilirsiniz.

Yazma olayları değişiklikleri, okuma olayları ise erişimi kaydeder. Filtreleme gürültüyü ve maliyeti azaltır; örneğin yalnızca yazma yönetim olaylarını ve en hassas klasörlerinizdeki veri olaylarını kaydedebilirsiniz.

Gelişmiş olay seçicileri, veri olaylarını tümünü ya da hiçbirini kaydetme yaklaşımı yerine kaynak ARN'si, olay adı veya diğer alanlara göre ayrıntılı biçimde filtrelemenizi sağlar.

Örneğin yalnızca hassas bir klasördeki GetObject işlemlerini kaydedebilir, böylece hem maliyeti hem de gürültüyü denetleyebilirsiniz. Veri olaylarının büyük ölçekte uygulanabilir olmasını sağlayan şey bu hassasiyettir.

Etkinleştirdiğiniz olay türleri ne olursa olsun kayıtlar, izinizin S3 klasörüne ve isteğe bağlı olarak CloudWatch Logs'a gider.

Insights olayları ayrıca ayrı bir S3 ön ekine yazılır. Hedefleri bilmek; Athena ile sorgulama, alarmlar oluşturma ve günlükleri koruma açısından önemlidir. Kanıtlarınız gerçekte hedefte bulunur.

Mantıklı bir varsayılan yaklaşım şudur: tüm yönetim yazma olaylarını yakalayan çok bölgeli bir iz etkinleştirin, veri olaylarını yalnızca hassas verileri işleyen klasör ve işlevlerde ekleyin ve anormallik tespiti için Insights'ı açın.

Bu yaklaşım, kapsamlı güvenlik görünürlüğü ile yüksek hacimli veri olaylarını kaydetmenin maliyeti arasında denge kurar.

SCS-C02, bir ihtiyacı doğru olay türüyle eşleştirip eşleştiremediğinizi sıkça sınar: nesne düzeyinde erişim takibi veri olayları anlamına gelir; yapılandırma değişiklikleri yönetim olayları anlamına gelir; olağandışı etkinlik artışları ise Insights anlamına gelir.

Veri olaylarının varsayılan olarak kapalı olduğunu ve ek ücret aldığını unutmayın. Bu, sınav yanıtlarında sık kullanılan bir yanıltıcı seçenektir.

İhtiyacı olay türüyle eşleştirin.

CloudTrail üç olay türünü kaydeder. Yönetim olayları kontrol düzlemi değişikliklerini kaydeder ve varsayılan olarak açıktır; veri olayları S3 GetObject gibi yüksek hacimli veri düzlemi erişimlerini kaydeder ve varsayılan olarak kapalıdır, ayrıca ek maliyet oluşturur; Insights olayları anormal API etkinliği örüntülerini tespit eder. Kontrol düzlemi ve veri düzlemi modelini kullanın, gürültüyü azaltmak için okuma/yazma filtresi uygulayın ve görünürlük ile maliyeti dengelemek üzere veri olaylarını yalnızca hassas kaynaklarda etkinleştirin.