Mencatat panggilan API direktur keamanan AWS Shield jaringan dengan AWS CloudTrail

AWS Shield direktur keamanan jaringan terintegrasi dengan AWS CloudTrail untuk merekam semua panggilan API sebagai peristiwa. Integrasi ini menangkap panggilan yang dibuat dari konsol direktur keamanan jaringan, panggilan terprogram ke direktur keamanan jaringan APIs, dan panggilan yang dilakukan dari layanan lain AWS .

Dengan CloudTrail, Anda dapat melihat peristiwa terbaru dalam riwayat Acara atau membuat jejak untuk mengirimkan log yang sedang berlangsung ke bucket Amazon Simple Storage Service. Log ini memberikan rincian tentang setiap permintaan, termasuk identitas pemanggil, waktu, parameter permintaan, dan respons.

Untuk mempelajari selengkapnya CloudTrail, lihat Panduan AWS CloudTrail Pengguna.

informasi direktur keamanan jaringan di CloudTrail

CloudTrail diaktifkan secara otomatis di AWS akun Anda. Ketika aktivitas terjadi di direktur keamanan jaringan, itu dicatat sebagai peristiwa di CloudTrail. Untuk catatan peristiwa yang sedang berlangsung, buat jejak yang mengirimkan file log ke bucket Amazon S3.

Untuk informasi selengkapnya tentang membuat dan mengelola jalur, lihat:

• Membuat Jejak untuk AWS Akun Anda

• AWS Integrasi Layanan dengan CloudTrail Log

• Menerima File CloudTrail Log dari Beberapa Wilayah dan Akun

operasi API direktur keamanan jaringan dicatat oleh CloudTrail

Semua operasi API direktur keamanan jaringan dicatat oleh CloudTrail dan didokumentasikan dalam Referensi API. Operasi berikut termasuk:

• StartNetworkSecurityScan: Memulai pemindaian keamanan jaringan

• GetNetworkSecurityScan: Mengambil informasi tentang pemindaian keamanan jaringan

• ListResources: Daftar sumber daya yang tersedia di layanan

• GetResource: Mengambil informasi rinci tentang sumber daya tertentu

• ListFindings: Daftar temuan keamanan

• GetFinding: Mengambil informasi rinci tentang temuan tertentu

• UpdateFinding: Memperbarui status atau atribut lain dari temuan

• ListRemediations: Daftar rekomendasi remediasi untuk temuan

• ListInsights: Daftar wawasan berdasarkan temuan dan sumber daya

Memahami entri file log direktur keamanan jaringan

CloudTrail entri log berisi informasi tentang siapa yang membuat permintaan, kapan dibuat, dan parameter apa yang digunakan. Berikut adalah contoh StartNetworkSecurityScan tindakan:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AIDACKCEVSQ6C2EXAMPLE",
        "arn": "arn:aws:iam::111122223333:user/janedoe",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "janedoe"
    },
    "eventTime": "2023-11-28T22:02:58Z",
    "eventSource": "network-director.amazonaws.com",
    "eventName": "StartNetworkSecurityScan",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.9.19 Python/3.9.11 Linux/5.15.0-1031-aws botocore/2.4.5",
    "requestParameters": {},
    "responseElements": {
        "scan": {
            "state": "RESCANNING",
            "startTime": "2023-11-28T22:02:58Z"
        }
    },
    "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
    

Dan inilah contoh GetNetworkSecurityScan tindakan:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AIDACKCEVSQ6C2EXAMPLE",
        "arn": "arn:aws:iam::111122223333:user/janedoe",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "janedoe"
    },
    "eventTime": "2023-11-28T22:03:15Z",
    "eventSource": "network-director.amazonaws.com",
    "eventName": "GetNetworkSecurityScan",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.9.19 Python/3.9.11 Linux/5.15.0-1031-aws botocore/2.4.5",
    "requestParameters": {},
    "responseElements": {
        "scan": {
            "state": "COMPLETE",
            "startTime": "2023-11-28T22:02:58Z",
            "completionTime": "2023-11-28T22:03:15Z"
        }
    },
    "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE33333",
    "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE44444",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
    

Memantau CloudTrail log dengan Amazon CloudWatch

Anda dapat menggunakan Amazon CloudWatch untuk memantau dan memperingatkan aktivitas API tertentu di CloudTrail log. Ini membantu Anda mendeteksi upaya akses yang tidak sah, perubahan konfigurasi, atau pola aktivitas yang tidak biasa.

Untuk mengatur CloudWatch pemantauan:

1. Konfigurasikan CloudTrail jejak Anda untuk mengirim log ke CloudWatch Log

2. Buat filter metrik untuk mengekstrak informasi spesifik dari peristiwa log

3. Buat alarm berdasarkan metrik ini

Untuk petunjuk terperinci, lihat Memantau File CloudTrail Log dengan CloudWatch Log Amazon.

Praktik terbaik untuk CloudTrail dengan direktur keamanan jaringan

Untuk memaksimalkan keamanan dan auditabilitas dengan CloudTrail:

• Aktifkan CloudTrail di semua wilayah untuk cakupan yang komprehensif

• Aktifkan validasi integritas file log untuk mendeteksi modifikasi yang tidak sah

• Gunakan IAM untuk mengontrol akses ke CloudTrail log mengikuti prinsip hak istimewa paling sedikit

• Mengatur peringatan untuk peristiwa penting menggunakan alarm CloudWatch

• Tinjau CloudTrail log secara teratur untuk mengidentifikasi aktivitas yang tidak biasa