收集及處理日誌 - 導覽 AWS 上的 GDPR 合規

收集及處理日誌

CloudWatch Logs 可用於監控、儲存及存取來自 Amazon EC2 執行個體、AWS CloudTrail、Route 53 及其他來源的日誌檔。請參閲將日誌發佈至 CloudWatch Logs 的 AWS 服務文件頁面。

舉例來說，日誌資訊可能包括：

  • 對 Amazon S3 物件之存取的詳細記錄

  • VPC 流程日誌會提供網路中流程的詳細資訊

  • 規則型組態會依據 AWS Config 規則執行驗證及動作

  • 使用 CloudFront 中的 Web 應用程式防火牆 (WAF) 功能，篩選及監控對應用程式的 HTTP 存取

在 Amazon EC2 執行個體或內部部署伺服器上安裝 CloudWatch Agent，也可將自訂應用程式指標與日誌發佈至 CloudWatch Logs。

使用 CloudWatch Logs Insights，可以互動方式分析日誌，而執行查詢則能讓您更快更有效率地應變操作問題。

設定訂閲篩選條件，可以幾近即時地處理 CloudWatch Logs，並將其傳遞至其他服務，例如 Amazon OpenSearch Service (OpenSearch Service) 叢集、Amazon Kinesis 串流、Amazon Kinesis Data Firehose 串流，或是可用於自訂處理、分析或載入其他系統的 Lambda。

CloudWatch 指標篩選條件可用於在日誌檔資料中定義用來查看日誌資料的模式、將模式成 CloudWatch 的數字指標，以及依據您的商務要求設定警示。例如，若要遵循 AWS 建議，不使用根使用者執行日常任務，可以為 CloudTrail 日誌 (傳遞至 CloudWatch Logs) 設定特定的 CloudWatch 指標篩選條件，以建立自訂指標，以及設定警示，在有人使用根認證存取您的 AWS 帳戶時，通知相關利害關係人。

諸如 Amazon S3 伺服器存取日誌檔、Elastic Load Balancing 存取日誌檔、VPC 流程日誌檔，以及 AWS Global Accelerator 流程日誌檔等日誌檔，都可直接傳遞至 Amazon S3 儲存貯體。例如，當您啟用 Amazon Simple Storage Service 伺服器存取日誌時，可取得對 Amazon S3; 儲存貯體發出之請求的詳細資訊。存取日誌記錄包含請求的詳細資料，例如請求類型、請求中指定的資源，以及請求的處理時間與日期。如需日誌訊息的詳細資訊，請參閱《Amazon Simple Storage Service 開發人員指南》(Amazon Simple Storage Service Developer Guide) 中的 Amazon Simple Storage Service 伺服器存取日誌的格式 (Amazon Simple Storage Service Server Access Log Format)。因為伺服器存取日誌可以為儲存貯體擁有者，提供不在其控制下之用戶端所發請求的詳情，所以許多應用程式都會使用。根據預設，Amazon S3 不會收集服務存取日誌，但您如有啟用日誌，Amazon S3 就會在幾小時內，將存取日誌傳遞至您的儲存貯體。若您需要更快的傳遞方式，或需要將日誌傳遞到多個目的地，可考慮使用 CloudTrail 日誌，或並用 CloudTrail 日誌與 Amazon S3。靜態日誌可以加密，方法是在目的地儲存貯體中，設定預設物件加密。該物件會使用儲存於 AWS Key Management Service (AWS KMS) 中 Amazon S3 管理之金鑰 (SSE-S3) 或客戶主金鑰 (CMK) 的伺服器端加密進行加密。

儲存於 Amazon S3 儲存貯體中的日誌，可以使用 Amazon Athena 進行查詢及分析。Amazon Athena 是互動式查詢服務，可讓您使用標準 SQL 分析 S3 中的資料。您可以透過 Athena，使用 ANSI SQL 執行臨機操作查詢，無須彙總資料或將資料載入 Athena。Athena 可以處理非結構化、半結構化與結構化的資料集，並整合到 Amazon QuickSight 中，輕鬆產生圖表。

日誌檔也是自動化威脅偵測的實用資訊來源。Amazon GuardDuty 是持續執行的安全監控服務，可分析及處理來自幾個來源的事件，例如 VPC 流程日誌、CloudTrail 管理事件日誌、CloudTrail Amazon S3 資料事件日誌，以及 DNS 日誌。此服務使用威脅情報摘要 (例如惡意 IP 地址與網域的清單) 與機器學習，找出您 AWS 環境中，未預期且疑似未經授權的惡意活動。當您在某個地區啟用 GuardDuty 時，該功能會立即開始分析您的 CloudTrail 事件日誌。其透過獨立重複的事件串流，直接從 CloudTrail 取用 CloudTrail 管理與 Amazon S3 資料事件。