민감한 데이터 검색 작업에 대한 로그 이벤트 이해 - Amazon Macie
작업의 로그 이벤트 스키마작업의 로그 이벤트 유형

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

민감한 데이터 검색 작업에 대한 로그 이벤트 이해

민감한 데이터 검색 작업을 모니터링하는 데 도움이 되도록 Amazon Macie는 Amazon CloudWatch Logs에 작업에 대한 로깅 데이터를 자동으로 게시합니다. 이러한 로그의 데이터는 작업의 진행 상황 또는 상태에 대한 변경 기록을 제공합니다. 예를 들어 데이터를 사용하여 작업이 실행되기 시작했거나 실행이 완료된 정확한 날짜와 시간을 확인할 수 있습니다. 또한 데이터는 작업이 실행되는 동안 발생할 수 있는 특정 유형의 오류에 대한 세부 정보를 제공합니다. 이 데이터는 Macie가 원하는 데이터를 분석하지 못하게 하는 오류를 식별, 조사 및 해결하는 데 도움이 될 수 있습니다.

작업 실행을 시작하면 Macie는 모든 작업에 대한 이벤트를 로깅하기 위해 CloudWatch 로그에서 적절한 리소스를 자동으로 생성하고 구성합니다. 그러면 Macie는 작업이 실행될 때 해당 리소스에 이벤트 데이터를 자동으로 게시합니다. 자세한 내용은 작업 로깅 작동 방식 단원을 참조하십시오.

그런 다음 CloudWatch 로그를 사용하여 작업에 대한 로그 데이터를 쿼리하고 분석할 수 있습니다. 예를 들어 집계 데이터를 검색하고 필터링하여 특정 시간 범위 동안 모든 작업에서 발생한 특정 유형의 이벤트를 식별할 수 있습니다. 또는 특정 작업에 대해 발생한 모든 이벤트를 대상으로 검토할 수 있습니다. CloudWatch 로그는 로그 데이터를 모니터링하고, 지표 필터를 정의하고, 사용자 지정 경보를 생성하는 옵션도 제공합니다. 예를 들어 작업이 실행될 때 특정 유형의 이벤트가 발생하는 경우 알리도록 CloudWatch 로그를 구성할 수 있습니다. 자세한 내용은 Amazon CloudWatch Logs 사용 설명서 를 참조하세요.

민감한 데이터 검색 작업에 대한 로그 이벤트 스키마

민감한 데이터 검색 작업에 대한 각 로그 이벤트는 표준 필드 세트를 포함하고 Amazon CloudWatch Logs 이벤트 스키마를 준수하는 JSON 객체입니다. 일부 유형의 이벤트에는 해당 유형의 이벤트에 특히 유용한 정보를 제공하는 추가 필드가 있습니다. 예를 들어 계정 수준 오류에 대한 이벤트에는 영향을 받는 AWS 계정의 계정 ID가 포함됩니다. 버킷 수준 오류에 대한 이벤트에는 영향을 받는 Amazon Simple Storage Service(Amazon S3) 버킷의 이름이 포함됩니다.

다음 예에서는 민감한 데이터 검색 작업에 대한 로그 이벤트 스키마를 보여줍니다. 이 예제에서 이벤트는 Amazon S3가 버킷에 대한 액세스를 거부했기 때문에 Amazon MacieAmazon S3 버킷의 객체를 분석할 수 없다고 보고합니다. S3 

{
    "adminAccountId": "123456789012",
    "jobId": "85a55dc0fa6ed0be5939d0408example",
    "eventType": "BUCKET_ACCESS_DENIED",
    "occurredAt": "2024-04-14T17:11:30.574809Z",
    "description": "Macie doesn’t have permission to access the affected S3 bucket.",
    "jobName": "My_Macie_Job",
    "operation": "ListObjectsV2",
    "runDate": "2024-04-14T17:08:30.345809Z",
    "affectedAccount": "111122223333",
    "affectedResource": {
        "type": "S3_BUCKET_NAME",
        "value": "amzn-s3-demo-bucket"
    }
}

이전 예제에서 Macie는 Amazon S3 의 ListObjectsV2 작업을 사용하여 버킷의 객체를 나열하려고 시도했습니다API. Macie가 Amazon S3에 요청을 보냈을 때 Amazon S3는 버킷에 대한 액세스를 거부했습니다.

다음 필드는 민감한 데이터 검색 작업의 모든 로그 이벤트에 공통적으로 사용됩니다.

  • adminAccountId - 작업을 생성한 AWS 계정 의 고유 식별자입니다.

  • jobId – 작업의 고유 식별자입니다.

  • eventType – 발생한 이벤트의 유형입니다.

  • occurredAt – 이벤트가 발생한 날짜 및 시간을 Coordinated Universal Time(UTC) 및 확장 ISO 8601 형식으로 표시합니다.

  • description – 이벤트에 대한 간단한 설명입니다.

  • jobName - 작업의 이름입니다.

이벤트의 유형과 특성에 따라 로그 이벤트에는 다음 필드도 포함될 수 있습니다.

  • affectedAccount - 영향을 받는 리소스를 소유한 사람의 AWS 계정 에 대한 고유 식별자입니다.

  • affectedResource - 영향을 받는 리소스에 대한 세부 정보를 제공하는 JSON 객체입니다. 객체에서 필드는 리소스에 대한 메타데이터를 저장하는 type 필드를 지정합니다. value 필드는 필드(type)의 값을 지정합니다.

  • operation - Macie가 수행하려고 시도하여 오류를 일으킨 작업입니다.

  • runDate – 해당 작업 또는 작업 실행이 시작된 Coordinated Universal Time(UTC) 및 확장 ISO 8601 형식의 날짜 및 시간입니다.

민감한 데이터 검색 작업에 대한 로그 이벤트 유형

Amazon Macie는 민감한 데이터 검색 작업에서 발생할 수 있는 세 가지 이벤트 범주에 대한 로그 이벤트를 게시합니다.

  • 작업 상태 이벤트: 작업 또는 작업 실행의 상태 또는 진행 상황에 대한 변경 사항을 기록합니다.

  • Macie가 특정 에 대한 Amazon S3 데이터를 분석하지 못하게 하는 오류를 기록하는 계정 수준 오류 이벤트입니다 AWS 계정.

  • 버킷 수준 오류 이벤트: Macie가 특정 S3 버킷의 데이터를 분석하지 못하게 하는 오류를 기록합니다.

이 섹션의 항목에서는 Macie가 각 범주에 게시하는 이벤트 유형을 나열하고 설명합니다.

작업 상태 이벤트

작업 상태 이벤트는 작업 또는 작업 실행의 상태 또는 진행 상황에 대한 변경 사항을 기록합니다. 정기 작업의 경우 Macie는 전체 작업과 개별 작업 실행 모두에 대해 이러한 이벤트를 기록하고 게시합니다.

다음 예제에서는 샘플 데이터를 사용하여 작업 상태 이벤트의 필드 구조와 특성을 보여줍니다. 이 예제에서 SCHEDULED_RUN_COMPLETED 이벤트는 정기 작업의 예약된 실행이 완료되었음을 나타냅니다. 필드에 표시된 UTC대로 2024년 4월 14일 17:09:30에 실행이 시작되었습니다runDate. 필드에 표시된 UTC대로 2024년 4월 14일 17:16:30에 실행이 완료되었습니다occurredAt.

{
    "adminAccountId": "123456789012",
    "jobId": "ffad0e71455f38a4c7c220f3cexample",
    "eventType": "SCHEDULED_RUN_COMPLETED",
    "occurredAt": "2024-04-14T17:16:30.574809Z",
    "description": "The scheduled job run finished running.",
    "jobName": "My_Daily_Macie_Job",
    "runDate": "2024-04-14T17:09:30.574809Z"
}

다음 표에서는 Macie가 로그에 로깅하고 게시하는 작업 상태 이벤트의 유형을 나열하고 설명합니다 CloudWatch . 이벤트 유형 열에는 이벤트의 eventType 필드에 나타나는 각 이벤트의 이름이 표시됩니다. 설명 열은 이벤트 description 필드에 나타나는 이벤트에 대한 간략한 설명을 제공합니다. 추가 정보는 이벤트가 적용되는 작업 유형에 대한 정보를 제공합니다. 테이블은 먼저 이벤트가 발생할 수 있는 일반적인 연대순으로 정렬된 다음 이벤트 유형별 알파벳 오름차순으로 정렬됩니다.

이벤트 유형 설명 추가 정보

JOB_CREATED

작업이 생성되었습니다.

일회성 및 정기 작업에 적용됩니다.
ONE_TIME_JOB_STARTED

작업이 실행되기 시작했습니다.

일회성 작업에만 적용됩니다.

SCHEDULED_RUN_STARTED

스케줄링된 작업 실행이 시작되었습니다.

정기 작업에만 적용됩니다. 일회성 작업의 시작을 로깅하기 위해 Macie는 이 유형의 이벤트가 아닌 ONE_TIME_JOB_STARTED 이벤트를 게시합니다.

BUCKET_MATCHED_THE_CRITERIA

영향을 받은 버킷이 작업에 지정된 버킷 기준과 일치했습니다.

런타임 버킷 기준을 사용하여 분석할 S3 버킷을 결정하는 일회성 및 주기적 작업에 적용됩니다.

affectedResource 객체는 기준과 일치하고 작업 분석에 포함된 버킷의 이름을 지정합니다.

NO_BUCKETS_MATCHED_THE_CRITERIA

작업이 실행되기 시작했지만 현재 작업에 지정된 버킷 기준과 일치하는 버킷이 없습니다. 작업에서 데이터를 분석하지 않았습니다.

런타임 버킷 기준을 사용하여 분석할 S3 버킷을 결정하는 일회성 및 주기적 작업에 적용됩니다.
SCHEDULED_RUN_COMPLETED

예약된 작업 실행이 완료되었습니다.

정기 작업에만 적용됩니다. 일회용 작업의 완료를 로깅하기 위해 Macie는 이 유형의 이벤트가 아닌 JOB_COMPLETED 이벤트를 게시합니다.

JOB_PAUSED_BY_USER

사용자가 작업을 일시 중지했습니다.

일시적으로 중지(일시 중지)한 일회성 및 정기 작업에 적용됩니다.

JOB_RESUMED_BY_USER

사용자가 작업을 재개했습니다.

일시 중지(일시 중지)했다가 나중에 재개한 일회성 및 정기 작업에 적용됩니다.

JOB_PAUSED_BY_MACIE_SERVICE_QUOTA_MET

Macie가 작업을 일시 중지했습니다. 작업을 완료하면 해당 계정의 월 할당량을 초과할 수 있습니다.

Macie가 일시적으로 중지(일시 중지)한 일회성 및 정기 작업에 적용됩니다.

Macie는 작업 또는 작업 실행으로 인한 추가 처리가 해당 작업에서 데이터를 분석하는 하나 이상의 계정에 대한 월간 민감한 데이터 검색 할당량을 초과할 경우 자동으로 작업을 일시 중지합니다. 이 문제를 방지하려면 영향을 받는 계정의 할당량을 늘리는 것이 좋습니다.

JOB_RESUMED_BY_MACIE_SERVICE_QUOTA_LIFTED

Macie가 작업을 재개했습니다. 영향을 받은 계정의 월간 서비스 할당량이 해제되었습니다.

Macie가 일시적으로 중지(일시 중지)했다가 나중에 재개한 일회성 및 정기 작업에 적용됩니다.

Macie가 일회성 작업을 자동으로 일시 중지한 경우, Macie는 다음 달이 시작되거나 영향을 받는 모든 계정에 대해 월별 민감한 데이터 검색 할당량이 늘어나는 시점(둘 중 먼저 발생하는 날짜)에 자동으로 작업을 재개합니다. Macie가 정기 작업을 자동으로 일시 중지한 경우 Macie는 다음 실행이 시작되거나 다음 달이 시작될 때(둘 중 먼저 발생하는 날짜) 작업을 자동으로 재개합니다.

JOB_CANCELLED

 작업이 취소되었습니다.

영구적으로 중지(취소), 한 번 또는 일시 중지되었다가 30일 이내에 재개되지 않은 1회성 및 정기 작업에 적용됩니다.

Macie를 일시 중지하거나 비활성화한 경우 이러한 유형의 이벤트는 Macie를 일시 중지하거나 비활성화했을 때 활성 상태였거나 일시 중지된 작업에도 적용됩니다. 리전에서 Macie를 일시 중지하거나 비활성화 AWS 리전 하면 Macie는 에서 작업을 자동으로 취소합니다.

JOB_COMPLETED

작업 실행이 완료되었습니다.

일회성 작업에만 적용됩니다. 주기적 작업에 대한 작업 실행 완료를 로깅하기 위해 Macie는 이 유형의 이벤트가 아닌 SCHEDULED_RUN_COMPLETED 이벤트를 게시합니다.

계정 수준 오류 이벤트

계정 수준 오류 이벤트는 Macie가 특정 가 소유한 S3 버킷의 객체를 분석하지 못하게 하는 오류를 기록합니다 AWS 계정. 각 이벤트의 affectedAccount 필드는 해당 계정의 계정 ID를 지정합니다.

다음 예시에서는 샘플 데이터를 사용하여 계정 수준 오류 이벤트의 필드 구조와 특성을 보여줍니다. 이 예제에서 ACCOUNT_ACCESS_DENIED 이벤트는 Macie가 계정 444455556666에서 소유한 S3 버킷의 객체를 분석할 수 없었음을 나타냅니다.

{
    "adminAccountId": "123456789012",
    "jobId": "85a55dc0fa6ed0be5939d0408example",
    "eventType": "ACCOUNT_ACCESS_DENIED",
    "occurredAt": "2024-04-14T17:08:30.585709Z",
    "description": "Macie doesn’t have permission to access S3 bucket data for the affected account.",
    "jobName": "My_Macie_Job",
    "operation": "ListBuckets",
    "runDate": "2024-04-14T17:05:27.574809Z",
    "affectedAccount": "444455556666"
}

다음 표에서는 Macie가 로그에 로깅하고 게시하는 계정 수준 오류 이벤트의 유형을 나열하고 설명합니다 CloudWatch . 이벤트 유형 열에는 이벤트의 eventType 필드에 나타나는 각 이벤트의 이름이 표시됩니다. 설명 열은 이벤트 description 필드에 나타나는 이벤트에 대한 간략한 설명을 제공합니다. 추가 정보 열에는 발생한 오류를 조사하거나 해결하는 데 필요한 모든 관련 팁이 제공됩니다. 테이블은 이벤트 유형별로 알파벳 오름차순으로 정렬됩니다.

이벤트 유형 설명 추가 정보

ACCOUNT_ACCESS_DENIED

Macie는 영향을 받는 계정의 S3 버킷 데이터에 액세스할 권한이 없습니다.

이는 일반적으로 해당 계정이 소유한 버킷에 제한적인 버킷 정책이 있기 때문에 발생합니다. 이 문제를 해결하는 방법에 대한 자세한 내용은 Macie가 S3 버킷 및 객체에 액세스할 수 있도록 허용을(를) 참조하세요.

이벤트의 operation 필드 값은 어떤 권한 설정으로 인해 Macie가 계정의 S3 데이터에 액세스하지 못했는지 확인할 수 있습니다. 이 필드는 오류가 발생했을 때 Macie가 수행하려고 시도한 Amazon S3 작업을 나타냅니다.
ACCOUNT_DISABLED

작업이 영향을 받은 계정에서 소유한 리소스를 건너뛰었습니다. Macie는 계정에 사용할 수 없게 되었습니다.

이 문제를 해결하려면 같은 AWS 리전에서 해당 계정의 Macie를 다시 활성화하세요.
ACCOUNT_DISASSOCIATED

작업이 영향을 받은 계정에서 소유한 리소스를 건너뛰었습니다. 이 계정은 더 이상 Macie 관리자 계정과 멤버 계정으로 연결되지 않습니다.

이는 조직의 Macie 관리자로서 멤버 계정의 데이터를 분석하도록 작업을 구성하고 나중에 조직에서 계정이 제거되는 경우에 발생합니다.

이 문제를 해결하려면 영향을 받은 계정을 멤버 계정인 Macie 관리자 계정과 다시 연결하세요. 자세한 내용은 다중 계정 관리 단원을 참조하십시오.

ACCOUNT_ISOLATED

작업이 영향을 받은 계정에서 소유한 리소스를 건너뛰었습니다. 가 격리 AWS 계정 되었습니다.

–

ACCOUNT_REGION_DISABLED

작업이 영향을 받은 계정에서 소유한 리소스를 건너뛰었습니다. AWS 계정 는 현재 에서 활성화되지 않습니다 AWS 리전.

–

ACCOUNT_SUSPENDED

작업이 취소되었거나 영향을 받은 계정이 소유한 리소스를 건너뛰었습니다. Macie는 계정에 대해 일시 중지되었습니다.

지정한 계정이 본인 계정인 경우, 같은 리전에서 Macie를 일시 중지하면 Macie가 자동으로 작업을 취소한 것입니다. 문제를 해결하려면 해당 리전에서 Macie를 다시 활성화하세요.

지정된 계정이 멤버 계정인 경우 동일한 리전의 해당 계정에 대해 Macie를 다시 활성화하세요.

ACCOUNT_TERMINATED

작업이 영향을 받은 계정에서 소유한 리소스를 건너뛰었습니다. 이 종료 AWS 계정 되었습니다.

–

버킷 수준 오류 이벤트

버킷 수준 오류 이벤트는 Macie가 특정 S3 버킷의 객체를 분석하지 못하게 하는 오류를 기록합니다. 각 이벤트의 affectedAccount 필드는 버킷을 소유 AWS 계정 한 의 계정 ID를 지정합니다. 각 이벤트의 affectedResource 객체는 버킷 이름을 지정합니다.

다음 예제에서는 샘플 데이터를 사용하여 버킷 수준 오류 이벤트의 필드 구조와 특성을 보여줍니다. 이 예제에서 BUCKET_ACCESS_DENIED 이벤트는 Macie가 amzn-s3-demo-bucket라는 S3 버킷의 어떤 객체도 분석할 수 없었음을 나타냅니다. Macie가 Amazon S3 의 ListObjectsV2 작업을 사용하여 버킷의 객체를 나열하려고 하면 API Amazon S3는 버킷에 대한 액세스를 거부했습니다.

{
    "adminAccountId": "123456789012",
    "jobId": "85a55dc0fa6ed0be5939d0408example",
    "eventType": "BUCKET_ACCESS_DENIED",
    "occurredAt": "2024-04-14T17:11:30.574809Z",
    "description": "Macie doesn’t have permission to access the affected S3 bucket.",
    "jobName": "My_Macie_Job",
    "operation": "ListObjectsV2",
    "runDate": "2024-04-14T17:09:30.685209Z",
    "affectedAccount": "111122223333",
    "affectedResource": {
        "type": "S3_BUCKET_NAME",
        "value": "amzn-s3-demo-bucket"
    }
}

다음 표에서는 Macie가 로그에 로깅하고 게시하는 버킷 수준 오류 이벤트의 유형을 나열하고 설명합니다 CloudWatch . 이벤트 유형 열에는 이벤트의 eventType 필드에 나타나는 각 이벤트의 이름이 표시됩니다. 설명 열은 이벤트 description 필드에 나타나는 이벤트에 대한 간략한 설명을 제공합니다. 추가 정보 열에는 발생한 오류를 조사하거나 해결하는 데 필요한 모든 관련 팁이 제공됩니다. 테이블은 이벤트 유형별로 알파벳 오름차순으로 정렬됩니다.

이벤트 유형 설명 추가 정보

BUCKET_ACCESS_DENIED

Macie는 영향을 받는 S3 버킷에 액세스할 수 있는 권한이 없습니다.

이는 일반적으로 버킷에 제한적인 버킷 정책이 있기 때문에 발생합니다. 이 문제를 해결하는 방법에 대한 자세한 내용은 Macie가 S3 버킷 및 객체에 액세스할 수 있도록 허용을(를) 참조하세요.

이벤트의 operation 필드 값은 어떤 권한 설정으로 인해 Macie가 버킷에 액세스하지 못했는지 확인할 수 있습니다. 이 필드는 오류가 발생했을 때 Macie가 수행하려고 시도한 Amazon S3 작업을 나타냅니다.

BUCKET_DETAILS_UNAVAILABLE

일시적인 문제로 인해 Macie가 버킷 및 버킷 객체에 대한 세부 정보를 검색하지 못했습니다.

이는 일시적인 문제로 인해 Macie가 버킷 객체를 분석하는 데 필요한 버킷 및 객체 메타데이터를 검색하지 못한 경우에 발생합니다. 예를 들어 Macie가 버킷에 액세스할 수 있는지 확인하려고 할 때 Amazon S3 예외가 발생했습니다.

일회성 작업의 문제를 해결하려면 버킷의 객체를 분석하기 위한 새로운 일회성 작업을 만들고 실행하는 것을 고려해 보세요. 예약된 작업의 경우 Macie는 다음 작업 실행 중에 메타데이터 검색을 다시 시도합니다.
BUCKET_DOES_NOT_EXIST

영향을 받은 S3 버킷은 더 이상 존재하지 않습니다.

이는 일반적으로 버킷이 삭제되었기 때문에 발생합니다.

BUCKET_IN_DIFFERENT_REGION

영향을 받은 S3 버킷이 다른 AWS 리전으로 이동되었습니다.

–
BUCKET_OWNER_CHANGED

영향을 받은 S3 버킷의 소유자가 변경되었습니다. Macie는 더 이상 버킷에 액세스할 수 있는 권한이 없습니다.

이는 일반적으로 버킷의 소유권이 조직의 일부가 아닌 로 이전 AWS 계정 된 경우에 발생합니다. 이벤트의 affectedAccount 필드는 이전에 버킷을 소유한 계정의 계정 ID를 나타냅니다.