AWS 安全事件响应中的日志记录和监控

监控是维护 AWS 安全事件响应和其他 AWS 解决方案的可靠性、可用性和性能的重要部分。AWS 安全事件响应目前支持以下 AWS 服务来监控您的组织及其内部发生的活动。

AWS CloudTrail：借助 CloudTrail，您可以捕获来自 AWS 安全事件响应控制台的 API 调用。例如，在用户进行身份验证时，CloudTrail 会记录请求中的 IP 地址、发出请求的人以及发出请求的时间等详细信息。

Amazon CloudWatch 指标 – 利用 CloudWatch 指标，您可以几乎实时地监控和报告，并在发生事件时采取自动措施。例如，您可以基于提供的指标创建 CloudWatch 控制面板来监控 AWS 安全事件响应使用情况，也可以基于提供的指标创建 CloudWatch 警报，以便在超过设定的阈值时接收通知。

该服务的命名空间是 AWS/Usage/ServiceName。可用的指标名称是 ActiveManagedCases 和 SelfManagedCases。

根据 AWS 服务条款，AWS 安全事件响应响应团队将有权访问您的 CloudTrail、VPC、DNS 和 S3 日志数据历史记录。当 AWS 安全事件响应服务门户中有案例开启时，可以在活动安全事件期间使用这些数据。