CloudTrail Neleri Kaydeder

AWS'deki her işlem, konsoldan, CLI'dan, bir SDK'dan veya başka bir hizmetten yapılmış olmasına bakılmaksızın bir API çağrısıdır. AWS CloudTrail bu çağrıları kaydeder.

Bu, temel güvenlik sorusunu yanıtlayan denetim izidir: kim, neyi, ne zaman, nereden ve hangi kaynak üzerinde yaptı? Hesabınızdaki hesap verebilirliğin temeli budur.

Her CloudTrail olayı ayrıntılı bilgiler kaydeder: çağrıyı yapan kimlik, işlem (olay adı), zaman, kaynak IP'si, parametreler ve yanıt.

Bu bilgiler, bir olay sırasında tam olarak ne olduğunu yeniden oluşturmak ve her değişikliği belirli bir sorumluya bağlamak için yeterlidir.

CloudTrail, herhangi bir kurulum gerektirmeden yönetim olayı etkinliğinin son 90 gününü otomatik olarak Event history içinde günlüğe kaydeder.

Daha uzun saklama ve tam denetim için olayları sürekli olarak S3'e ileten bir trail oluşturursunuz. Sınav, varsayılan 90 günlük geçmiş ile yapılandırılmış bir iz arasındaki farkı bilmenizi bekler.

Bir trail, olayları yakalar ve uzun süreli depolama için bir S3 paketine, isteğe bağlı olarak da gerçek zamanlı analiz için CloudWatch Logs'a iletir.

Genellikle çok bölgeli ve kuruluş genelinde bir iz oluşturursunuz; böylece hiçbir bölgedeki etkinlik günlük kaydının dışında kalmaz. Olayların incelendiği kalıcı ve sorgulanabilir kayıt budur.

userIdentity öğesi her çağrıyı bir sorumluya bağlar — bir IAM kullanıcısına, varsayılan bir role, kök kullanıcıya veya bir AWS hizmetine.

Bu, soruşturma sırasında çok değerlidir: şüpheli bir işlemi gerçekleştiren tam kimlik bilgisine ve oturuma kadar izlemenizi sağlar; role zinciri üzerinden alınan kimlik bilgileri için bile.

İkisini karıştırmak kolaydır. CloudTrail "hangi API çağrısını kim yaptı?" sorusunu yanıtlar — işlemlerin denetim günlüğüdür.

CloudWatch ise "sistemim nasıl çalışıyor?" sorusunu yanıtlar — operasyonel durumla ilgili ölçümler, günlükler ve alarmlar sağlar. CloudTrail olayları CloudWatch Logs'a gönderebilir; ancak amaçları farklıdır.

Yanlış yapılandırılmış tek bölgeli bir iz, saldırganın izlenmeyen bir bölgede faaliyet göstererek yararlanabileceği kör noktalar oluşturur.

Çok bölgeli bir izi etkinleştirmek, her yerdeki etkinliğin tek bir yerde yakalanmasını sağlar. AWS bunu temel bir uygulama olarak önerir; böylece hiçbir bölge denetim dışında kalmaz.

Günlükleri silebilen bir saldırgan izlerini gizleyebilir. CloudTrail'ı günlük dosyası doğrulaması ile koruyun (özet dosyaları günlüklerin değiştirilmediğini kanıtlar) ve S3 hedefini sıkı politikalar ve Object Lock ile kilitleyin.

Günlükleri ayrı bir hesapta depolayın; böylece iş yükündeki bir güvenlik ihlali bu günlüklerə erişemez.

İz olaylarını CloudWatch Logs'a ileterek gerçeğe yakın zamanlı tepki verebilirsiniz: ölçüm filtreleri ve alarmlar, güvenlik grubu değişikliği veya kök kullanıcıyla giriş gibi belirli işlemlerde tetiklenir.

Bu, denetim günlüğü kaydı ile etkin izlemeyi birleştirir ve geçmiş kaydını canlı algılamaya dönüştürür.

Bir iz, API çağrısından sonra olayları genellikle yaklaşık 15 dakika içinde S3'e iletir. Kalıcı ve güvenilirdir; ancak anlık değildir.

Daha hızlı tepki için alarmların gerçeğe yakın zamanlı tetiklenebildiği CloudWatch Logs'a akış sağlayın. CloudTrail'ın öncelikle bir denetim kaydı olduğunu, tek başına milisaniyelik gecikmeyle çalışan bir uyarı sistemi olmadığını bilin.

CloudTrail, tespit, inceleme ve uyumluluğun temelini oluşturur. Birçok SCS-C02 senaryosu, CloudTrail'in doğru şekilde etkinleştirilmesine, günlüklerinin korunmasına ve ne olduğunu bulmak için sorgulanmasına dayanır.

Bir soru, bir kaynağı kimin sildiğini veya bir ilkeyi kimin değiştirdiğini nasıl keşfedeceğinizi soruyorsa, yanıtın bir parçası neredeyse her zaman CloudTrail'dir.

CloudTrail'in ne amaçla kullanıldığını bilin.

AWS CloudTrail, hesabınızın denetim kaydıdır; çağrıyı yapanın kimliğini, eylemi, zamanı, kaynak IP'sini ve parametreleri içeren her API çağrısını kaydeder. Varsayılan olarak Event history bölümünde 90 günlük yönetim olayını tutar; kalıcı ve sorgulanabilir günlükler için S3'e bir multi-region trail oluşturun. CloudWatch'tan (performans) farklı olarak kimin ne yaptığını gösterir. Günlükleri doğrulama, Object Lock ve ayrı bir hesapla koruyun; gerçek zamanlı uyarılar için CloudWatch Logs'a aktarın.