将日志收集到 CloudWatch

Amazon CloudWatch Logs 是一项托管服务，用于收集、存储和搜索 AWS 资源及应用程序产生的日志数据。日志不再只是存放在单个服务器上，不会因实例终止而丢失，而是会流入一个集中且持久的位置。对于安全工程师来说，集中管理正是关键所在：看不见的内容，就无法检测或调查。

日志组是用于存放相关日志数据并定义共享设置的容器。通常，一个日志组代表一个应用程序或服务，例如 /aws/lambda/my-function。从安全角度看，最重要的有两项设置：保留期，用于控制日志在自动删除前保存多长时间；以及可选的 KMS 密钥，用于加密静态数据。

在日志组中，日志流是来自单个来源的一系列事件，例如一个 EC2 实例或一个 Lambda 调用环境。事件会带有时间戳和消息。按日志流拆分来源，可以将不同来源分开，这样您既能将所有内容逻辑上归入同一个日志组，又能追踪活动的具体来源。

EC2 实例和本地服务器不会自动发送日志。主机上安装的统一 CloudWatch 代理可以将操作系统日志、应用程序日志和自定义日志文件发送到 CloudWatch Logs。它还会收集虚拟机监控程序无法查看的额外指标，例如内存和磁盘使用情况。该代理需要一个授予其写入日志权限的 IAM 角色。

许多 AWS 服务无需任何代理即可直接记录到 CloudWatch。Lambda 会写入函数输出，VPC Flow Logs 可以指定日志组，Route 53 可以记录 DNS 查询。CloudTrail 除了 S3 之外，也可以将事件传送到 CloudWatch Logs。了解哪些来源无需代理、哪些来源需要代理，是考试中的常见考点。

默认情况下，日志组会永久保留数据，这会在不知不觉中增加费用。您可以为每个日志组设置保留期，范围从一天到十年。安全和合规要求通常需要长期保留审计记录，而嘈杂的调试日志则可以快速过期。平衡这两点，才能同时满足审计人员和财务团队的要求。

CloudWatch Logs 默认会加密静态数据，但您可以将客户托管的 KMS 密钥与日志组关联，以实现更严格的控制。这样，您可以通过密钥策略精确管理谁能够读取日志，并生成可审计的密钥使用记录。包含凭证或 PII 的敏感日志尤其适合采用这种方式。

订阅筛选器会将匹配的日志事件近乎实时地传送到其他目标，例如 Lambda、Kinesis Data Streams 或 Amazon OpenSearch。安全团队可以利用它在事件到达后立即将日志转发到 SIEM 或集中式日志账户，而不是稍后批量导出。它让 CloudWatch Logs 变成了实时数据管道。

对于长期、低成本的存档，您可以将日志数据导出到 Amazon S3。S3 提供更低廉的存储、将数据转入 Glacier 的生命周期规则，以及用于确保不可变性的对象锁定。常见做法是在 CloudWatch 中短期保留日志以便快速搜索，同时将日志导出到受严格限制的 S3 存储桶，作为长达数年的合规记录。

CloudWatch Logs Insights 是一种专门用于交互式搜索日志组的查询语言。您可以在不导出数据的情况下，对海量日志进行筛选、聚合和排序。在调查过程中，您可以用它快速回答诸如哪个 IP 触发了最多错误等问题，因此它通常是深入分析前使用 Athena 的快速第一步。

日志管道本身也是攻击目标。仅向 CloudWatch 代理角色授予 logs:CreateLogStream 和 logs:PutLogEvents 权限，绝不要授予过于宽泛的权限。保护日志组，防止攻击者删除日志来掩盖活动，并尽快将关键日志转发到单独的账户。完全由您掌控的日志，才是值得信任的证据。

检验您对 CloudWatch Logs 收集机制的掌握程度。

CloudWatch Logs 会将日志数据集中到由日志流组成的日志组中。EC2 和本地环境中的主机需要统一代理，而许多服务则支持原生集成。设置保留期来控制成本，为敏感数据关联KMS 密钥，并使用订阅筛选器或S3 导出将数据发送到 SIEM 或进行存档。锁定数据管道，才能保持证据的可信度。