CloudTrailとは

CloudTrailとは何か

CloudTrailは、AWSアカウント内で実行されたAPI呼び出しや管理操作を記録する監査ログサービスです。誰が、いつ、どのサービスに、どのAPIを実行し、どのリソースへ影響したかを追うために使います。

CloudTrailを見る場面は、障害対応とセキュリティ調査の両方にあります。Security Groupが変わった、IAM権限が増えた、S3バケットポリシーが変わった。そうした出来事を、管理画面の現在値だけで追うのは危ういです。

現在の設定ではなく、変更が起きた時刻と実施主体を確認する。それがCloudTrailの役割です。

管理イベントとデータイベント

CloudTrailには、管理イベントとデータイベントがあります。管理イベントは、EC2、IAM、VPC、CloudFrontなどの管理操作を追う基本のログです。データイベントは、S3オブジェクト操作やLambda実行など、件数が多くなりやすい操作を対象にします。

すべてを細かく取れば安心に見えますが、ログ量と料金、検索負荷が増えます。監査で必要な対象、インシデント時に追いたい対象、通常運用で見る対象を分けて設計します。

• 管理イベントを全リージョンで有効化する。
• S3やLambdaのデータイベントは対象を絞って有効化する。
• 読み取りイベントと書き込みイベントの扱いを決める。

保存先と改ざん対策

CloudTrailのログは、イベント履歴で短期的に確認できます。長期保管や監査用途では、Trailを作成してS3へ保存します。必要に応じてCloudWatch Logs、EventBridge、CloudTrail Lake、Athena検索と組み合わせます。

監査ログは、攻撃者や誤操作を調べるための記録です。保存先S3バケットの権限、暗号化、ログファイル検証、削除防止、別アカウント保管を確認します。調査対象と同じ権限で消せるログは、証跡として弱くなります。

• S3保存先、暗号化、保持期間を記録する。
• ログ削除やTrail停止を検知するアラートを用意する。
• 監査アカウントなど分離した保管先を検討する。

調査で見る項目

CloudTrailの調査では、eventTime、eventSource、eventName、userIdentity、sourceIPAddress、requestParameters、responseElementsを見ます。IAMロール経由の操作では、AssumeRoleの元利用者まで追わないと、実施者を取り違えます。

ネットワーク変更ならAuthorizeSecurityGroupIngress、ReplaceRoute、AssociateAddressなどを検索します。権限変更ならAttachRolePolicy、PutRolePolicy、CreateAccessKeyなどを追います。

• eventNameだけでなくuserIdentityとsourceIPAddressを見る。
• AssumeRoleの前後を同じ時刻帯で追う。
• 変更後のリソース現在値とCloudTrailの時刻を突合する。

誤解しやすい点

CloudTrailは万能な操作録画ではありません。OS内のコマンド、アプリケーションログ、EC2内のファイル変更、通信内容までは記録しません。AWS APIとして見える操作を追うログです。

また、ログの配信には遅延があります。調査時には、CloudTrail、CloudWatch Logs、VPC Flow Logs、ALBログ、アプリログを同じタイムラインに並べます。単一のログだけで断定すると、原因と結果を逆に読むことがあります。

• AWS API操作とOS内操作を分ける。
• 配信遅延を考慮して時刻帯を広めに見る。
• Trail停止やログ保存失敗も監視対象にする。

関連語

同じ主要カテゴリの用語

クラウドの学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能