將AWS CloudTrail引入公司組織/系統【的指南】注意事項

📅 發布日: 2025/05/05, 更新日: 2025/05/05 ⏱️ 預計閱讀時間約5分鐘 (2,030字)

AWS CloudTrail是一項監控AWS帳戶活動的服務。
在企業組織/系統中實施安全措施時，透過引入AWS CloudTrail獲取審計日誌至關重要。
本文介紹了在組織中引入AWS CloudTrail時需要考慮的要點。

什麼是 AWS CloudTrail？
實施注意事項
設計考慮因素
1. 1. 應該收集哪些事件？
2. 2. 哪些 AWS 賬戶/區域應收集事件？
相關檔案

什麼是 AWS CloudTrail？

AWS CloudTrail（以下簡稱“CloudTrail”）是一項 記錄您在 AWS 賬戶中執行的操作 的服務。
它記錄三種型別的事件：管理事件、資料事件和洞察事件。
管理事件記錄使用 AWS 管理控制檯、AWS 開發工具包、AWS CLI、AWS API 等修改 AWS 資源的 API 呼叫。
資料事件記錄活動，例如訪問 S3 儲存桶中的物件和執行 Lambda 函式。
Insight 事件記錄與您的 AWS 賬戶的安全性和效能相關的發現結果。

實施注意事項

預設情況下，建立 AWS 賬戶時會啟用 CloudTrail。
參考：【什麼是AWS CloudTrail？- AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html)
但是，預設情況下不會建立“軌跡”。您可以在 AWS 管理控制檯中檢視最多 90 天的事件，但由於不輸出日誌檔案，因此您無法使用 Athena 或 CloudWatch Logs 分析它們。如果您想延長保留期，則需要配置輸出到 S3 儲存桶或 CloudWatch Logs。
參考： CloudTrail 的工作原理 - AWS CloudTrail
如果滿足以下任一條件，您需要建立 CloudTrail 跟蹤：

您需要記錄超過90天的管理事件
您想要使用 Athena 或 CloudWatch Logs Insights 分析事件
您需要記錄資料事件或洞察事件

由於審計日誌保留一年以上的情況很常見，因此強烈建議建立跟蹤來記錄管理事件。

設計考慮因素

1. 應該收集哪些事件？

如上所述，CloudTrail 可以記錄三種型別的事件：管理事件、資料事件和洞察事件。
CloudTrail 定價因事件型別而異。 如果您將其配置為收集所有事件，成本可能會增加，因此您需要仔細考慮收集哪些事件。
參考： AWS CloudTrail 定價

活動名稱	價格（每 100,000 個事件）
管理活動*1	2.00 美元
資料事件	0.10 美元
洞察事件*2	0.35 美元

1：傳送到 S3 儲存桶的第一個管理事件是免費的。從傳送到 S3 儲存桶的第二個管理事件開始，將收取傳送費用。
2：對於管理和資料事件，在傳送到 S3 儲存桶時收費，而對於洞察事件，根據分析事件的數量收費。

管理活動

建議收集管理事件，因為它們可以將使用者活動歷史記錄作為稽核日誌。
雖然在建立 AWS 賬戶時啟用了 CloudTrail，但預設情況下會禁用向 S3 儲存桶或日誌組的傳送，因此您需要建立新跟蹤並啟用傳送。

資料事件

資料事件可以記錄對各種資源的訪問，例如S3儲存桶物件和Lambda函式執行。
管理事件還記錄對物件進行操作的 API，但無法記錄來自 AWS 賬戶外部的訪問。透過收集資料事件，您還可以記錄來自 AWS 賬戶外部的訪問。
您可以從以下選項中選擇要記錄哪些資源的資料事件：
參考：使用 CloudTrail 記錄資料事件

- AWS::CloudTrail::Channel
- AWS::CodeWhisperer::Customization
- AWS::CodeWhisperer::Profile
- AWS::Cognito::IdentityPool
- AWS::DynamoDB::Stream
- AWS::DynamoDB::Table
- AWS::EC2::Snapshot
- AWS::EMRWAL::Workspace
- AWS::FinSpace::Environment
- AWS::Glue::Table
- AWS::GuardDuty::Detector
- AWS::KendraRanking::ExecutionPlan
- AWS::KinesisVideo::Stream
- AWS::Lambda::Function
- AWS::ManagedBlockchain::Network
- AWS::ManagedBlockchain::Node
- AWS::MedicalImaging::Datastore
- AWS::PCAConnectorAD::Connector
- AWS::S3::AccessPoint
- AWS::S3::Object
- AWS::S3ObjectLambda::AccessPoint
- AWS::S3Outposts::Object
- AWS::SageMaker::Endpoint
- AWS::SageMaker::ExperimentTrialComponent
- AWS::SageMaker::FeatureGroup
- AWS::SNS::PlatformEndpoint
- AWS::SNS::Topic
- AWS::SSMMessages::ControlChannel
- AWS::Timestream::Database
- AWS::Timestream::Table
- AWS::VerifiedPermissions::PolicyStore

錄製的目的因資源而異，因此請根據需要進行選擇。
例如，透過記錄S3儲存桶的資料事件，您可以獲取儲存桶中物件的更改歷史記錄。
請注意，雖然資料事件保證完整性，但 S3 伺服器訪問日誌卻不能。
參考：【如何處理S3伺服器訪問日誌中丟失的訪問日誌|DevelopersIO](https://dev.classmethod.jp/articles/tsnote-the-s3-server-access-log-Detected-an-unlogged-access/)
另一方面，伺服器訪問日誌有時用於輸出 Control Tower 建立的 Config 或 CloudTrail 日誌的儲存桶，AWS 基礎安全最佳實踐建議輸出伺服器訪問日誌。
參考： AWS 基礎安全最佳實踐 v1.0.0 (FSBP) 標準 - AWS Security Hub
缺乏保證的完整性可能是一個問題，但由於資料事件的成本可能很高，因此可以選擇接受缺乏完整性並使用伺服器訪問日誌。

洞察活動

洞察事件使用機器學習來分析管理事件並在行為偏離常態時檢測異常活動。
當有許多 API 呼叫時，寫入事件檢測異常活動。
當 API 錯誤率較高時，寫入/讀取事件檢測異常活動。
檢測到異常活動的主要原因包括：
惡意API訪問
應用程式錯誤
由於許可權配置錯誤（例如 IAM 角色或 SCP）而導致訪問被拒絕
由於洞察事件比其他事件更昂貴，因此您應該仔細考慮啟用它們。
如上所述，如果您在生產環境中經常對系統進行更改，則可能會生成洞察事件，因此請考慮根據需要啟用它們。

2. 哪些 AWS 賬戶/區域應收集事件？

由於經常需要 CloudTrail 作為稽核日誌，因此通常建議為所有可用的 AWS 賬戶建立跟蹤。
但是，您可以選擇不為由於 SCP 而限制區域的賬戶或不經常更改的管理賬戶建立跟蹤。