CloudTrail 워크플로

이 섹션에서는 CloudTrail 특성 및 이러한 특성에 대해 수행할 수 있는 작업에 대한 정보를 제공합니다.

이벤트 기록

AWS 계정에 대한 이벤트 기록을 확인

CloudTrail 콘솔에서 CloudTrail에 의해 또는 AWS CLI를 사용하여 기록된 최근 90일 동안의 이벤트를 보거나 검색할 수 있습니다. 자세한 내용은 CloudTrail 이벤트 기록 다루기 단원을 참조하세요.

이벤트 다운로드

AWS 계정에 대한 최대 지난 90일의 CloudTrail 이벤트가 포함된 CSV 또는 JSON 파일을 다운로드할 수 있습니다. 자세한 내용은 이벤트 다운로드 섹션을 참조하세요.

CloudTrail Lake

CloudTrail Lake 활성화

CloudTrail Lake를 사용하면 AWS 소스 및 AWS 외부 소스 모두에서의 이벤트에 대해 세분화된 SQL 기반 쿼리를 실행할 수 있습니다. 이벤트는 이벤트 데이터 스토어로 집계되며, 이벤트 데이터 스토어는 고급 이벤트 선택기를 적용하여 선택한 기준을 기반으로 하는 변경 불가능한 이벤트 컬렉션입니다. 1년 연장 가능 보존 요금 옵션을 선택하는 경우 최대 3,653일(약 10년), 7년 보존 요금 옵션을 선택하는 경우 최대 2,557일(약 7년) 동안 이벤트 데이터를 이벤트 데이터 스토어에 보관할 수 있습니다. CloudTrail Lake는 보안 조사 및 문제 해결을 수행하는 데 도움이 되는 감사 솔루션의 일부입니다. 자세한 내용은 AWS CloudTrail 호수와 함께 일하기 섹션을 참조하세요.

이벤트 데이터 스토어 만들기

CloudTrail Lake에서 이벤트 데이터 스토어를 생성할 때 이벤트 데이터 스토어에 포함할 이벤트의 유형을 선택합니다. 자세한 내용은 이벤트 데이터 스토어 만들기 섹션을 참조하세요.

Lake 대시보드 보기

CloudTrail Lake 대시보드를 사용하여 이벤트 데이터 스토어의 이벤트를 시각화할 수 있습니다. 여러 다양한 대시보드 유형 중에서 선택할 수 있습니다. 자세한 내용은 Lake 대시보드 보기 섹션을 참조하세요.

관리 이벤트 및 데이터 이벤트 로깅

읽기 전용, 쓰기 전용 또는 모든 관리 이벤트와 데이터 이벤트를 로깅하도록 이벤트 데이터 스토어를 구성합니다. 기본적으로 이벤트 데이터 스토어는 로그 관리 이벤트를 로그합니다. 자세한 내용은 이벤트용 CloudTrail 이벤트 데이터 저장소 생성, 관리 이벤트 로깅, 데이터 이벤트 로깅 단원을 참조하세요.

Insights 이벤트 로그

관리 API 호출과 관련된 비정상적인 활동을 식별하고 이에 대응할 수 있도록 Insights 이벤트를 로그하도록 이벤트 데이터 스토어를 구성합니다. 자세한 정보는 CloudTrail Insights 이벤트를 위한 이벤트 데이터 저장소를 생성하세요. 및 Insights 이벤트 로깅 섹션을 참조하십시오.

Insights 이벤트 적용에는 추가 요금이 부과됩니다. 추적과 이벤트 데이터 스토어 모두에 대해 Insights를 활성화하면 요금이 별도로 부과됩니다. 자세한 내용은 AWS CloudTrail 요금을 참조하십시오.

트레일 이벤트를 CloudTrail Lake에 복사

기존 트레일 이벤트를 CloudTrail Lake 이벤트 데이터 스토어에 복사하여 트레일에 기록된 이벤트의 특정 시점 스냅샷을 생성할 수 있습니다. 자세한 내용은 추적 이벤트를 이벤트 데이터 스토어에 복사 섹션을 참조하세요.

이벤트 데이터 스토어에서 페더레이션 활성화

이벤트 데이터 스토어를 페더레이션하여 AWS Glue 데이터 카탈로그의 이벤트 데이터 스토어와 연결된 메타데이터를 확인하고 Amazon Athena를 사용하여 이벤트 데이터에 대해 SQL 쿼리를 실행할 수 있습니다. Athena 쿼리 엔진은 AWS Glue 데이터 카탈로그에 저장된 테이블 메타데이터를 통해 쿼리하려는 데이터를 찾고, 읽고, 처리할 방법을 파악합니다. 자세한 내용은 이벤트 데이터 스토어 페더레이션 섹션을 참조하세요.

이벤트 데이터 스토어에서 이벤트 수집 중단 또는 시작

CloudTrail 관리 및 데이터 이벤트 또는 AWS Config 구성 항목을 수집하는 이벤트 데이터 스토어에 대한 이벤트 수집을 중지하고 시작할 수 있습니다. CloudTrail 콘솔에서 이벤트 수집을 중지하는 방법에 대한 자세한 내용은 이벤트 모으기 중지 및 시작 섹션을 참조하세요. AWS CLI를 사용하여 이벤트 수집을 중지하는 방법에 대한 자세한 내용은 AWS CLI로 이벤트 데이터 스토어에서 모으기 중지 섹션을 참조하세요.

AWS 외부 이벤트 소스와의 통합 생성

CloudTrail Lake 통합을 사용하면 AWS 외부, 즉 온프레미스 또는 클라우드에서 호스팅되는 사내 또는 SaaS 애플리케이션, 가상 머신 또는 컨테이너와 같은 하이브리드 환경의 모든 소스에서 사용자 활동 데이터를 로깅 및 저장할 수 있습니다. CloudTrail 콘솔에서의 통합 생성에 대한 자세한 내용은 AWS 외부 이벤트 소스와의 통합 생성 섹션을 참조하세요. AWS CLI를 사용하여 통합을 생성하는 방법에 대한 자세한 내용은 AWS CLI로 AWS 외부에서 이벤트를 로깅하기 위한 통합 생성 섹션을 참조하세요.

CloudTrail 콘솔에서 Lake 샘플 쿼리 보기

CloudTrail 콘솔은 쿼리 작성을 시작하는 데 도움이 되는 여러 샘플 쿼리를 제공합니다. 자세한 내용은 CloudTrail 콘솔에서 샘플 쿼리 보기 섹션을 참조하세요.

쿼리 생성 또는 편집

CloudTrail의 쿼리는 SQL로 작성됩니다. 처음부터 SQL로 쿼리를 작성하거나 저장된 쿼리 또는 샘플 쿼리를 열어서 CloudTrail Lake 편집기(Editor) 탭에서 쿼리를 빌드할 수 있습니다. 자세한 정보는 쿼리 생성 또는 편집 및 CloudTrail 레이크 SQL 제약 조건 섹션을 참조하십시오.

CloudTrail Lake 쿼리 결과를 Amazon S3 버킷에 저장

쿼리 실행 시 S3 버킷으로 쿼리 결과를 저장할 수 있습니다. 자세한 내용은 쿼리 실행 및 쿼리 결과 저장 섹션을 참조하세요.

저장된 쿼리 결과 다운로드

저장된 CloudTrail Lake 쿼리 결과가 포함된 CSV 파일을 다운로드할 수 있습니다. 자세한 내용은 저장된 CloudTrail Lake 쿼리 결과 다운로드 섹션을 참조하세요.

저장된 쿼리 결과 검증

CloudTrail이 S3 버킷에 쿼리 결과를 전달한 후 쿼리 결과가 수정, 삭제 또는 변경되지 않았는지 확인하는 데 CloudTrail 쿼리 결과 무결성 검증을 사용할 수 있습니다. 자세한 내용은 저장된 쿼리 결과 검증 섹션을 참조하세요.

사용자 권한 관리

AWS Identity and Access Management(IAM)을 사용하여 이벤트 데이터 스토어 및 채널을 생성, 구성 또는 삭제할 권한을 가진 사용자를 관리하고, 이벤트 수집을 시작 및 중지하고, 추적 이벤트를 이벤트 데이터 스토어에 복사할 수 있습니다. 자세한 내용은 관리 권한 부여 CloudTrail 섹션을 참조하세요.

위임된 관리자를 등록하여 조직의 CloudTrail 리소스 관리

위임된 관리자를 등록하여 조직의 CloudTrail 이벤트 데이터 스토어를 관리할 수 있습니다. 자세한 내용은 조직 위임된 관리자 섹션을 참조하세요.

파트너 솔루션으로 작업

CloudTrail과 통합되는 파트너 솔루션을 사용하여 CloudTrail 출력을 분석합니다. 파트너 솔루션은 변경 추적, 문제 해결, 보안 분석 등 광범위한 기능을 제공합니다. 자세한 내용은 AWS CloudTrail 파트너 페이지를 참조하세요.

추적

추적 생성

CloudTrail은 추적을 사용하여 Amazon S3 버킷으로 로그 파일을 전송할 수 있습니다. 콘솔에서 추적을 생성하면 기본적으로 모든 리전에 추적이 적용됩니다. 추적은 AWS 파티션에 있는 모든 리전의 이벤트를 로깅하고 지정된 S3 버킷으로 로그 파일을 전송합니다. 자세한 내용은 AWS 계정에 대한 추적 생성 섹션을 참조하세요.

관리 이벤트 및 데이터 이벤트 로깅

읽기 전용, 쓰기 전용 또는 모든 관리 이벤트와 데이터 이벤트를 로깅하도록 추적을 구성합니다. 기본적으로 추적은 관리 이벤트를 로깅합니다. 자세한 정보는 관리 이벤트 로깅 및 데이터 이벤트 로깅 섹션을 참조하십시오.

Insights 이벤트 로그

관리 API 호출과 관련된 비정상적인 활동을 식별하고 이에 대응할 수 있도록 Insights 이벤트를 로그하도록 추적을 구성합니다. 자세한 내용은 Insights 이벤트 로깅 섹션을 참조하세요.

Insights 이벤트 적용에는 추가 요금이 부과됩니다. 추적과 이벤트 데이터 스토어 모두에 대해 Insights를 활성화하면 요금이 별도로 부과됩니다. 자세한 내용은 AWS CloudTrail 요금을 참조하십시오.

Insights 이벤트 보기

추적에서 CloudTrail Insights를 사용 설정한 후 CloudTrail 콘솔 또는 AWS CLI를 사용하여 최대 90일 동안의 Insights 이벤트를 확인할 수 있습니다. 자세한 내용은 추적의 CloudTrail Insights 이벤트 보기 섹션을 참조하세요.

Insights 이벤트 다운로드

추적에서 CloudTrail Insights를 사용 설정한 후 추적에 대한 최대 지난 90일의 Insights 이벤트가 포함된 CSV 또는 JSON 파일을 다운로드할 수 있습니다. 자세한 내용은 Insights 이벤트 다운로드 섹션을 참조하세요.

트레일 이벤트를 CloudTrail Lake에 복사

기존 트레일 이벤트를 CloudTrail Lake 이벤트 데이터 스토어에 복사하여 트레일에 기록된 이벤트의 특정 시점 스냅샷을 생성할 수 있습니다. 자세한 내용은 트레일 이벤트를 CloudTrail Lake에 복사 섹션을 참조하세요.

Amazon SNS 주제 생성 및 구독

주제를 구독하면 로그 파일이 버킷으로 전송될 때 해당 로그 파일에 대한 알림을 수신할 수 있습니다. Amazon SNS는 Amazon Simple Queue Service를 통한 프로그래밍 방식을 포함하여 여러 가지 방법으로 사용자에게 알릴 수 있습니다. 자세한 내용은 CloudTrail에 대한 Amazon SNS 알림 구성 단원을 참조하세요.

참고

모든 리전의 로그 파일을 전송할 때 SNS 알림을 수신하려면, 추적에 대해 SNS 주제를 하나만 지정하세요. 프로그래밍 방식으로 모든 이벤트를 처리하고 싶은 경우에는 CloudTrail Processing Library 사용를 참조하십시오.

로그 파일 보기

Amazon S3를 사용하여 로그 파일을 검색할 수 있습니다. 자세한 내용은 CloudTrail 로그 파일 가져오기 및 보기 단원을 참조하세요.

CloudWatch Logs로 이벤트 모니터링

CloudWatch Logs로 이벤트를 전송하도록 추적을 구성할 수 있습니다. 그런 다음, CloudWatch Logs를 사용하여 계정에서 특정 API 호출 및 이벤트가 발생했는지 모니터링할 수 있습니다. 자세한 내용은 Amazon CloudWatch Logs로 CloudTrail 로그 파일 모니터링 단원을 참조하세요.

참고

CloudWatch Logs 로그 그룹으로 이벤트를 전송하도록 모든 리전에 적용되는 추적을 구성하면 CloudTrail이 모든 리전의 이벤트를 단일 로그 그룹으로 전송합니다.

로그 암호화 활성화

로그 파일 암호화는 로그 파일에 대한 추가 보안 계층을 제공합니다. 자세한 내용은 AWS KMS 키를 사용하여 CloudTrail 로그 파일 암호화 (SSE-KMS) 단원을 참조하세요.

로그 파일 무결성 활성화

로그 파일 무결성 검증을 사용하면 CloudTrail이 로그 파일을 전송한 후 해당 파일이 변경되지 않았는지 확인할 수 있습니다. 자세한 내용은 CloudTrail 로그 파일 무결성 검증 섹션을 참조하세요.

다른 AWS 계정과 로그 파일 공유

계정 간에 로그 파일을 공유할 수 있습니다. 자세한 내용은 AWS 계정 간 CloudTrail 로그 파일 공유 단원을 참조하세요.

여러 계정의 로그 취합

여러 계정의 로그 파일을 단일 버킷에 취합할 수 있습니다. 자세한 내용은 여러 계정에서 CloudTrail 로그 파일 받기 섹션을 참조하세요.

사용자 권한 관리

AWS Identity and Access Management(IAM)를 사용하면 추적을 생성, 구성 또는 삭제하고, 로깅을 시작 및 중지하고, 로그 파일이 포함된 버킷에 액세스할 수 있는 권한이 있는 사용자를 관리할 수 있습니다. 자세한 내용은 관리 권한 부여 CloudTrail 섹션을 참조하세요.

위임된 관리자를 등록하여 조직의 CloudTrail 리소스 관리

위임된 관리자를 등록하여 조직의 CloudTrail 추적을 관리할 수 있습니다. 자세한 내용은 조직 위임된 관리자 섹션을 참조하세요.

파트너 솔루션으로 작업

CloudTrail과 통합되는 파트너 솔루션을 사용하여 CloudTrail 출력을 분석합니다. 파트너 솔루션은 변경 추적, 문제 해결, 보안 분석 등 광범위한 기능을 제공합니다. 자세한 내용은 AWS CloudTrail 파트너 페이지를 참조하세요.