CloudTrail Olay Kaydını Okuma

Bir CloudTrail olayı, tutarlı bir alan kümesine sahip bir JSON kaydıdır. Bu kaydı okumayı öğrenmek, bir inceleme sırasında tam olarak ne olduğunu yeniden oluşturmanızı sağlar.

Her kayıt tek bir API çağrısını açıklar: çağrıyı kimin yaptığı, ne yaptığı, ne zaman ve nereden yaptığı ve sonucun ne olduğu.

Güvenlik açısından en önemli alan userIdentity alanıdır. Çağrıyı yapan asıl kimliği; türünü (IAMUser, AssumedRole, Root, AWSService), hesabını ve ARN'sini (Amazon Resource Name) açıklar.

Bir eylemi belirli bir kişiye, role veya hizmete güvenilir biçimde atfetmenizi sağlayan şey budur.

eventName, DeleteBucket veya RunInstances gibi çağrılan API eylemidir; eventSource ise s3.amazonaws.com gibi eylemin ait olduğu hizmettir.

Birlikte, hangi işlemin tam olarak gerçekleştiğini gösterirler. Bu da herhangi bir olayı anlamanın merkezindedir.

eventTime zaman damgası (UTC cinsinden), awsRegion ve sourceIPAddress, çağrının zamanını ve konumunu belirler.

Beklenmeyen bir bölgeden veya tanınmayan bir IP'den gelen çağrı, klasik bir tehlike işaretidir. Kullanıcı aracısı alanı, çağrının konsol, CLI veya SDK aracılığıyla nasıl yapıldığını da gösterir.

requestParameters, çağrının girdilerini; hangi klasörün, hangi bulut sunucusunun veya hangi ilkenin kullanıldığını gösterir. responseElements ise AWS'nin yeni oluşturulan bir kaynak kimliği gibi döndürdüğü bilgileri gösterir.

Bunlar, yalnızca bir şeyin gerçekleştiğini değil, tam olarak neyin değiştirildiğini ve sonucun ne olduğunu görmenizi sağlar.

Bir çağrı reddedildiyse kayıt, AccessDenied gibi errorCode ve errorMessage alanlarını içerir.

Tek bir asıl kimlikten gelen çok sayıda reddedilmiş çağrı, çoğu zaman bir saldırganın ele geçirilmiş kimlik bilgilerinin neler yapabileceğini yokladığı anlamına gelir. Başarısız olaylar, başarılı olaylar kadar inceleme açısından değerlidir.

Erişim varsayılan roller üzerinden gerçekleştiğinde zinciri takip edin. userIdentity, varsayılan bir rol oturumunu gösterebilir; sessionContext ise bu rolü varsayan temel asıl kimliği ortaya çıkarır.

Bu zinciri izlemek, birden fazla rol geçişi söz konusu olsa bile bir eylemi nihai olarak kimin gerçekleştirdiğini ortaya çıkarır.

readOnly ve managementEvent gibi alanlar, çağrının niteliğini bir bakışta gösterir: herhangi bir değişiklik yapılıp yapılmadığını ve bunun kontrol düzlemi işlemi olup olmadığını belirtir.

Bu alanlar, çok sayıda kaydı incelerken ortamınızı değiştiren olaylara hızla filtre uygulamanıza yardımcı olur.

Tek bir kaydı elle okumak sorun değildir; milyonlarca kaydı bu şekilde incelemek öyle değildir. Kayıtları CloudWatch Logs'a gönderin veya S3 arşivini SQL kullanarak Athena ile sorgulayın.

Bir incelemede önemli olan çağrıları tam olarak belirlemek için userIdentity, eventName, sourceIPAddress veya errorCode alanlarına göre filtre uygulayabilirsiniz.

userAgent alanı, çağrının nasıl yapıldığını gösterir: AWS konsolu, belirli bir CLI sürümü, SDK veya bir otomasyon aracı.

Beklenmeyen bir kullanıcı aracısı, saldırganların kullandığı araçlara işaret edebilir. Normalde konsoldan gelen bir çağrının aniden alışılmadık bir IP adresinden ham bir SDK aracılığıyla gelmesi, daha yakından incelenmeye değer ince bir anormallik türüdür.

İnceleme yapmak için alanları bir araya getirin: kim (userIdentity), hangi işlemi (eventName), hangi kaynak üzerinde (requestParameters), ne zaman (eventTime), nereden (sourceIPAddress) ve hangi sonuçla (responseElements veya errorCode) gerçekleştirdi?

Tek bir kayıttan elde edilen bu bütünsel görünüm, AWS üzerindeki API etkinliklerinin adli incelemesinin temelini oluşturur.

CloudTrail olayı, temel alanlarıyla eksiksiz bir incelemeyi mümkün kılan bir JSON kaydıdır: userIdentity (ARN ve sessionContext üzerinden rol zinciriyle birlikte kim), eventName/eventSource (ne), eventTime/awsRegion/sourceIPAddress (ne zaman ve nerede) ve requestParameters/responseElements veya errorCode (değişiklik ve sonuç). Başarısız AccessDenied olayları değerli göstergelerdir; Athena ise kayıtları büyük ölçekte sorgulamanızı sağlar.