Registrazione delle chiamate API di AWS Shield Network Security Director con AWS CloudTrail

AWS Shield network security director si integra con AWS CloudTrail per registrare tutte le chiamate API come eventi. Questa integrazione acquisisce le chiamate effettuate dalla console di Network Security Director, le chiamate programmatiche al Network Security Director APIs e le chiamate effettuate da altri servizi. AWS

Con CloudTrail, puoi visualizzare gli eventi recenti nella cronologia degli eventi o creare un percorso per inviare log continui a un bucket Amazon Simple Storage Service. Questi log forniscono dettagli su ogni richiesta, tra cui l'identità del chiamante, l'ora, i parametri della richiesta e la risposta.

Per ulteriori informazioni CloudTrail, consulta la Guida per l'AWS CloudTrail utente.

informazioni sul direttore della sicurezza di rete in CloudTrail

CloudTrail viene abilitato automaticamente sul tuo AWS account. Quando si verifica un'attività in Network Security Director, viene registrata come evento in CloudTrail. Per una registrazione continua degli eventi, crea un percorso che distribuisca i file di log a un bucket Amazon S3.

Per ulteriori informazioni sulla creazione e la gestione dei percorsi, consulta:

• Creazione di un percorso per il tuo AWS account

• AWS Integrazioni di servizi con log CloudTrail

• Ricezione di file di CloudTrail registro da più regioni e account

operazioni API del direttore della sicurezza di rete registrate da CloudTrail

Tutte le operazioni API di Network Security Director vengono registrate CloudTrail e documentate nell'API Reference. Sono incluse le seguenti operazioni:

• StartNetworkSecurityScan: avvia una scansione di sicurezza della rete

• GetNetworkSecurityScan: recupera informazioni su una scansione di sicurezza della rete

• ListResources: elenca le risorse disponibili nel servizio

• GetResource: recupera informazioni dettagliate su una risorsa specifica

• ListFindings: elenca i risultati di sicurezza

• GetFinding: recupera informazioni dettagliate su un risultato specifico

• UpdateFinding: aggiorna lo stato o altri attributi di un risultato

• ListRemediations: elenca i consigli di correzione per un risultato

• ListInsights: elenca gli approfondimenti basati su risultati e risorse

Comprensione delle voci dei file di registro di Network Security Director

CloudTrail le voci di registro contengono informazioni su chi ha effettuato la richiesta, quando è stata effettuata e quali parametri sono stati utilizzati. Ecco un esempio di StartNetworkSecurityScan azione:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AIDACKCEVSQ6C2EXAMPLE",
        "arn": "arn:aws:iam::111122223333:user/janedoe",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "janedoe"
    },
    "eventTime": "2023-11-28T22:02:58Z",
    "eventSource": "network-director.amazonaws.com",
    "eventName": "StartNetworkSecurityScan",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.9.19 Python/3.9.11 Linux/5.15.0-1031-aws botocore/2.4.5",
    "requestParameters": {},
    "responseElements": {
        "scan": {
            "state": "RESCANNING",
            "startTime": "2023-11-28T22:02:58Z"
        }
    },
    "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
    

Ecco un esempio di GetNetworkSecurityScan azione:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AIDACKCEVSQ6C2EXAMPLE",
        "arn": "arn:aws:iam::111122223333:user/janedoe",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "janedoe"
    },
    "eventTime": "2023-11-28T22:03:15Z",
    "eventSource": "network-director.amazonaws.com",
    "eventName": "GetNetworkSecurityScan",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.9.19 Python/3.9.11 Linux/5.15.0-1031-aws botocore/2.4.5",
    "requestParameters": {},
    "responseElements": {
        "scan": {
            "state": "COMPLETE",
            "startTime": "2023-11-28T22:02:58Z",
            "completionTime": "2023-11-28T22:03:15Z"
        }
    },
    "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE33333",
    "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE44444",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
    

Monitoraggio CloudTrail dei log con Amazon CloudWatch

Puoi utilizzare Amazon CloudWatch per monitorare e inviare avvisi su attività API specifiche nei CloudTrail log. Questo ti aiuta a rilevare tentativi di accesso non autorizzati, modifiche alla configurazione o modelli di attività insoliti.

Per configurare il CloudWatch monitoraggio:

1. Configura il tuo CloudTrail percorso per inviare i log ai CloudWatch Logs

2. Crea filtri metrici per estrarre informazioni specifiche dagli eventi di registro

3. Crea allarmi basati su queste metriche

Per istruzioni dettagliate, consulta Monitoraggio dei file di CloudTrail registro con Amazon CloudWatch Logs.

Le migliori pratiche per CloudTrail With Network Security Director

Per massimizzare la sicurezza e la verificabilità con: CloudTrail

• Abilita CloudTrail in tutte le aree geografiche per una copertura completa

• Abilita la convalida dell'integrità dei file di registro per rilevare modifiche non autorizzate

• Usa IAM per controllare l'accesso ai CloudTrail log seguendo i principi del privilegio minimo

• Imposta avvisi per eventi critici utilizzando gli allarmi CloudWatch

• Esamina regolarmente CloudTrail i registri per identificare attività insolite