Registrando chamadas de API do diretor de segurança de AWS Shield rede com AWS CloudTrail

AWS Shield O diretor de segurança de rede se integra AWS CloudTrail para registrar todas as chamadas de API como eventos. Essa integração captura chamadas feitas do console do diretor de segurança de rede, chamadas programáticas para o diretor APIs de segurança de rede e chamadas feitas de outros AWS serviços.

Com CloudTrail, você pode visualizar eventos recentes no histórico de eventos ou criar uma trilha para entregar registros contínuos a um bucket do Amazon Simple Storage Service. Esses registros fornecem detalhes sobre cada solicitação, incluindo a identidade do chamador, a hora, os parâmetros da solicitação e a resposta.

Para saber mais sobre isso CloudTrail, consulte o Guia AWS CloudTrail do usuário.

informações do diretor de segurança de rede em CloudTrail

CloudTrail é ativado automaticamente em sua AWS conta. Quando a atividade ocorre no diretor de segurança da rede, ela é registrada como um evento em CloudTrail. Para um registro contínuo de eventos, crie uma trilha que entregue arquivos de log para um bucket do Amazon S3.

Para obter mais informações sobre como criar e gerenciar trilhas, consulte:

• Criando uma trilha para sua AWS conta

• AWS Integrações de serviços com registros CloudTrail

• Recebendo arquivos de CloudTrail log de várias regiões e contas

operações de API do diretor de segurança de rede registradas por CloudTrail

Todas as operações da API do Network Security Director são registradas CloudTrail e documentadas na Referência da API. As seguintes operações estão incluídas:

• StartNetworkSecurityScan: inicia uma verificação de segurança de rede

• GetNetworkSecurityScan: recupera informações sobre uma verificação de segurança de rede

• ListResources: lista os recursos disponíveis no serviço

• GetResource: recupera informações detalhadas sobre um recurso específico

• ListFindings: Lista as descobertas de segurança

• GetFinding: recupera informações detalhadas sobre uma descoberta específica

• UpdateFinding: atualiza o status ou outros atributos de uma descoberta

• ListRemediations: lista as recomendações de remediação para uma descoberta

• ListInsights: lista insights com base em descobertas e recursos

Compreendendo as entradas do arquivo de log do Network Security Director

CloudTrail as entradas de registro contêm informações sobre quem fez a solicitação, quando ela foi feita e quais parâmetros foram usados. Aqui está um exemplo de StartNetworkSecurityScan ação:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AIDACKCEVSQ6C2EXAMPLE",
        "arn": "arn:aws:iam::111122223333:user/janedoe",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "janedoe"
    },
    "eventTime": "2023-11-28T22:02:58Z",
    "eventSource": "network-director.amazonaws.com",
    "eventName": "StartNetworkSecurityScan",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.9.19 Python/3.9.11 Linux/5.15.0-1031-aws botocore/2.4.5",
    "requestParameters": {},
    "responseElements": {
        "scan": {
            "state": "RESCANNING",
            "startTime": "2023-11-28T22:02:58Z"
        }
    },
    "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
    

E aqui está um exemplo de GetNetworkSecurityScan ação:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AIDACKCEVSQ6C2EXAMPLE",
        "arn": "arn:aws:iam::111122223333:user/janedoe",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "janedoe"
    },
    "eventTime": "2023-11-28T22:03:15Z",
    "eventSource": "network-director.amazonaws.com",
    "eventName": "GetNetworkSecurityScan",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "aws-cli/2.9.19 Python/3.9.11 Linux/5.15.0-1031-aws botocore/2.4.5",
    "requestParameters": {},
    "responseElements": {
        "scan": {
            "state": "COMPLETE",
            "startTime": "2023-11-28T22:02:58Z",
            "completionTime": "2023-11-28T22:03:15Z"
        }
    },
    "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE33333",
    "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE44444",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
    

CloudTrail Registros de monitoramento com a Amazon CloudWatch

Você pode usar CloudWatch a Amazon para monitorar e alertar sobre atividades específicas da API nos CloudTrail registros. Isso ajuda você a detectar tentativas de acesso não autorizado, alterações de configuração ou padrões de atividade incomuns.

Para configurar o CloudWatch monitoramento:

1. Configure sua CloudTrail trilha para enviar registros para o CloudWatch Logs

2. Crie filtros métricos para extrair informações específicas de eventos de log

3. Crie alarmes com base nessas métricas

Para obter instruções detalhadas, consulte Monitoramento de arquivos de CloudTrail log com Amazon CloudWatch Logs.

Melhores práticas para trabalhar CloudTrail com o diretor de segurança de rede

Para maximizar a segurança e a auditabilidade com CloudTrail:

• Habilite CloudTrail em todas as regiões uma cobertura abrangente

• Ative a validação da integridade do arquivo de log para detectar modificações não autorizadas

• Use o IAM para controlar o acesso aos CloudTrail registros seguindo os princípios de privilégios mínimos

• Configure alertas para eventos críticos usando CloudWatch alarmes

• Revise regularmente CloudTrail os registros para identificar atividades incomuns