【ガイドライン】AWS CloudTrail

作成日: 2023/12/20, 更新日: 2023/12/30

AWS CloudTrail は、AWSアカウントのアクティビティを監視するサービスです。
本記事では、AWS CloudTrail を組織で導入する際に検討すべきポイントを記載いたしました。

AWS CloudTrail とは？
導入検討
ガイドライン策定
1. ① 取得するイベントは何にするか？
2. ② どのAWSアカウント/リージョンで取得するか？
関連ドキュメント

AWS CloudTrail とは？

AWS CloudTrail (以下略：CloudTrail) は、AWS アカウントで行われたアクションを記録するサービスです。

管理イベント、データイベント、インサイトイベントの 3 種類のイベントを記録します。
- 管理イベントとしては、AWS マネジメントコンソール、AWS SDK、AWS CLI、AWS API などを使用して AWS リソースを変更する API コールを記録します。
- データイベントとしては、S3 バケット内のオブジェクトへのアクセスや、Lambda 関数の実行などのイベントを記録します。
- インサイトイベントとしては、AWS アカウントのセキュリティとパフォーマンスに関するインサイトを記録します。

導入検討

前提として、CloudTrail は AWS アカウントを作成した時点で有効になっています。
- 参考： AWS CloudTrail とは? - AWS CloudTrail

ただし、AWS アカウントを作成した時点で有効では「証跡」は作成されていません。AWS マネジメントコンソール上で 90 日間分のイベントを確認することができますが、ログファイルとしては出力されていないため Athena や CloudWatch ログで分析することができません。イベントの保管期間を伸ばしたい場合は S3 バケットか CloudWatch Logs へ出力する設定を行う必要があります。
- 参考： CloudTrail の仕組み - AWS CloudTrail

以下のいずれかの要件がある場合は、CloudTrail の証跡を作成する必要があります。
1. 90 日以上の管理イベントを記録する必要がある
2. Athena もしくは CloudWatch Logs Insights でイベントを分析したい
3. データイベントもしくはインサイトイベントを記録する必要がある

監査ログは 1 年間以上は保管することが一般的なため、基本的に管理イベントを記録する証跡は作成することを強くおすすめします。
- 参考：「結局アクセスログってどれくらい保存しておけばいいの？」に答える関係法令 - Qiita

ガイドライン策定

① 取得するイベントは何にするか？

前述した通り、CloudTrail は管理イベント、データイベント、インサイトイベントの 3 種類のイベントを記録可能です。
CloudTrail の料金はイベントの種類によって異なります。とりあえず全部取っておこうと設定してしまうと、料金が高くなってしまうので、取得するイベントを検討する必要があります。
- 参考： AWS CloudTrail の料金 - AWS CloudTrail

イベント名	料金(10万イベント当たり)
管理イベント *1	2.00 USD
データイベント	0.10 USD
インサイトイベント *2	0.35 USD

1: 管理イベントは１つ目の管理イベントを S3 バケットへ配信する料金は無償です。２つ目以降の管理イベントを S3 バケットへ配信する場合は、S3 バケットへの配信料金が発生します。 2: 管理イベントおよびデータイベントは S3 バケットへ配信された場合に料金が発生するのに対し、インサイトイベントは分析するイベント数に応じて料金が発生します。

管理イベント

管理イベントは監査ログとしてユーザーの操作履歴を記録できるため、基本的には取得することを推奨します。
CloudTrail は AWS アカウントを作成時にアクティブになっておりますが、S3 バケットやロググループへの配信は無効になっているため、証跡を新しく作成して配信を有効化する必要があります。

データイベント

データイベントは、S3 バケット内のオブジェクトへのアクセスや、Lambda 関数の実行など様々なリソースに対するアクセスイベントを記録可能です。
管理イベントでもオブジェクトを操作するAPIは記録されますが、AWSアカウント外からのアクセスは記録することができません。データイベントとしてイベントを取得することで、AWSアカウント外からのアクセスも記録することができます。
以下のリソースのうち、選択したリソースのデータイベントを記録することが可能です。
- 参考：データイベントをログ記録する - AWS CloudTrail

AWS::CloudTrail::Channel
AWS::CodeWhisperer::Customization
AWS::CodeWhisperer::Profile
AWS::Cognito::IdentityPool
AWS::DynamoDB::Stream
AWS::DynamoDB::Table
AWS::EC2::Snapshot
AWS::EMRWAL::Workspace
AWS::FinSpace::Environment
AWS::Glue::Table
AWS::GuardDuty::Detector
AWS::KendraRanking::ExecutionPlan
AWS::KinesisVideo::Stream
AWS::Lambda::Function
AWS::ManagedBlockchain::Network
AWS::ManagedBlockchain::Node
AWS::MedicalImaging::Datastore
AWS::PCAConnectorAD::Connector
AWS::S3::AccessPoint
AWS::S3::Object
AWS::S3ObjectLambda::AccessPoint
AWS::S3Outposts::Object
AWS::SageMaker::Endpoint
AWS::SageMaker::ExperimentTrialComponent
AWS::SageMaker::FeatureGroup
AWS::SNS::PlatformEndpoint
AWS::SNS::Topic
AWS::SSMMessages::ControlChannel
AWS::Timestream::Database
AWS::Timestream::Table
AWS::VerifiedPermissions::PolicyStore

リソースによって記録する目的は異なるので、必要に応じて選択するのが良いと思います。
- 例えば、S3 バケットのデータイベントを記録することで、S3 バケット内のオブジェクトの変更履歴を取得することができます。

ちなみに、データイベントの記録は完全性があるものの、S3 のサーバーアクセスログは完全性が担保されておりません。
- 参考： S3 のサーバーアクセスログで一部アクセスがログに記録されていないときの対処方法 | DevelopersIO

一方で、Control Tower で作成された Config や CloudTrail のログを出力するバケットではサーバーアクセスログが採用されていたり、AWS Foundational Security Best Practices ではサーバーアクセスログの出力を推奨していたりと、AWS ではサーバーアクセスログが推奨されているケースもあります。
- 参考： AWS Foundational Security Best Practices (FSBP) 標準 - AWS Security Hub

完全性が担保されないというのは懸念事項となるポイントかもしれませんが、データイベントは意外と料金が高くなりがちなため、完全性が担保されないことを許容しサーバーアクセスログを採用するのも一つの選択肢かもしれません。

インサイトイベント

インサイトイベントは、管理イベントを機械学習で分析し、通常と異なる挙動が起きている場合に異常アクティビティとして検出してくれます。
- Write イベントは、API コール数が多い場合に異常アクティビティとして検出します。
- Write / Read イベントは、API エラー率が高い場合に異常アクティビティとして検出します。

異常アクティビティが検出される主な理由として、以下のようなものがあります。悪意のある API アクセスは他のセキュリティ設計で防ぐことも可能ですが、アプリケーションのバグや権限設定ミスによるアクセス拒否はシステムに変更を加える場合に発生する可能性があります。AWS アカウントを Organizations の組織間で移動させる場合など、大規模な権限変更を行う場合に活用できるかもしれません。
- 悪意のある API アクセス
- アプリケーションのバグ
- IAM ロール、SCP などの権限設定ミスによるアクセス拒否

インサイトイベントは他のイベントと比較して料金が高めなため、慎重に有効化することを検討する必要があります。
前述した通り、商用環境においてシステムに変更を加える頻度が高い場合はインサイトイベントが発生する可能性もあるため、インサイトイベントを有効化することを検討いただければと存じます。

② どのAWSアカウント/リージョンで取得するか？

CloudTrail は監査ログとして必要となる会社が多く、基本的に利用可能な AWS アカウント全てで証跡を作成することをおすすめします。
ただし、SCP により利用可能なリージョンを制限していたり、管理アカウントのように変更を加える頻度が低いアカウントでは証跡を作成しない選択肢もあります。