--- title: "AWS CloudTrail ログをモニタリングするためのベストプラクティス" description: "AWS CloudTrail 監査ログを最大限に活用し、これを使用してアプリケーションを保護する方法を学びます。" author: "Justin Massey, Jonathan Epstein" date: 2020-09-25 tags: ["log management", "security", "cloud siem", "aws", "aws cloudtrail", "monitoring", "audit logs"] blog_type_id: the-monitor locale: ja --- [AWS](https://aws.amazon.com/) でクラウドベースのアプリケーションを構築、スケーリング、管理するエンジニアリングチームは、ある時点で、アプリケーションとインフラストラクチャーが攻撃を受けることを知っています。ただし、アプリケーションが拡張され、新しい機能が追加されると、AWS 環境の全範囲を保護することはますます複雑なタスクになります。 可視性と監査可能性を追加するために、[AWS CloudTrail](https://aws.amazon.com/cloudtrail/) は、AWS 環境で発生するアクティビティの誰、何、どこ、いつを追跡し、このアクティビティを監査ログの形式で記録します。したがって、CloudTrail 監査ログには、AWS アカウント全体で実行されるアクションを監視し、悪意のある可能性がある行動を特定し、適切に構成されていない可能性のあるインフラストラクチャーの一部を明らかにするための鍵となる情報が含まれています。 このガイドでは、以下について説明します。 - [AWS CloudTrail 監査ログの構造](#understanding-aws-cloudtrail-audit-logs) - [監視する重要な CloudTrail ログ](#key-cloudtrail-audit-logs-to-monitor) - [Datadog が CloudTrail ログの収集と監視にどのように役立つか](#collect-and-analyze-cloudtrail-logs-with-datadog) しかしまずは、AWS CloudTrail が AWS アカウント内のアクティビティをどのように整理、監視するかを簡単に見てみましょう。 ## 明白な証跡 前述のように、AWS CloudTrail は、環境内で検出したアクティビティの各インスタンス (API リクエストやユーザーログインなど) を**イベント**として記録します。これは、アクティビティの詳細を指定する JSON オブジェクトで、 発生した時間、アクティビティを実行した人、アクティビティによって影響を受けたリソースなどが含まれます。AWS CloudTrail コンソールの[**イベント履歴**](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)ページですべてのイベントを表示、フィルタリングできます。これは、発生後最大 90 日間利用できます。 ![CloudTrail イベント履歴ウィンドウには、過去 90 日間にアカウント内で発生したすべてのイベントが表示されます。](https://web-assets.dd-static.net/42588/1776302457-monitoring-cloudtrail-logs-cloudtrail-event-history.png) AWS 大半のお客様は、すべての CloudTrail イベントに統合証跡を使用しています。ただし、イベントをフィルタリングするイベントストリームを作成することはできます。たとえば、ログの負荷を軽減するために、特定の AWS サービスまたはリソースに関連するアクティビティのみで構成されるイベントストリームを作成したい場合があります。これを行うには、[**証跡**を作成](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)するか、選択した AWS S3 バケットにイベントをログファイルとして送信するイベントストリームを作成します。このように、イベントは指定した保持ポリシーに従って利用することが可能で、重大な問題を見つけるためにすばやくフィルタリングでき、[Amazon CloudWatch](https://aws.amazon.com/cloudwatch/features/) または [Amazon Simple Notification Service (SNS)](https://aws.amazon.com/sns/) を使用してアラートを受け取ることができます。 CloudTrail は、監査ログを `gzip` アーカイブフォームで、証跡の作成時に指定した S3 バケットに保存します。ファイルの名前には、証跡作成者のアカウント番号、ログが記録されたリージョン、ファイルが作成された年月日が含まれます。CloudTrail ログファイルの検索の詳細については、[AWS ドキュメント](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-find-log-files.html)を参照してください。 デフォルトでは、証跡は[リージョンに依存しません](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-supported-regions.html)。つまり、証跡はすべてのリージョンの関連イベントをログに記録します。単一リージョンの証跡を作成して、単一リージョンのアクティビティに焦点を当てることもできますが、すべてリージョンの証跡を作成することをお勧めします。そうすることで、新しいリージョンがオンラインになったときに、より多くの可視性とデータを自動的に追跡できるようになります。 [AWS Organization](https://aws.amazon.com/organizations/) 内の AWS アカウントによって生成されたすべてのログを監視するように組織証跡を設定することもできます。AWS Organizations を使用すると、組織内のすべてのアカウントのユーザーのアクセス許可を一元管理でき、追加費用なしで[セットアップ](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_tutorials_basic.html#tutorial-orgs-step1)できます。チームが絶えず変化する環境を管理することで、さまざまな AWS アカウントを管理し、プライマリアカウントとメンバーアカウントに構成を適用する必要がある場合は、組織をお勧めします。 ## AWS CloudTrail 監査ログの理解 AWS CloudTrail は、ユーザーが AWS マネジメントコンソール、コマンドラインインターフェイス (CLI)、SDK/API で実行するアクション、および AWS によって実行される自動アクションに基づいて、[ほとんどの AWS サービス](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html)から 3 つの異なるタイプのイベントを記録します。CloudTrail によって追跡されないサービスのリストについては、[AWS ドキュメント](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-unsupported-aws-services.html)を参照してください。3 つのイベントタイプは次のとおりです。 - *管理イベント*: セキュリティグループのコンフィギュレーション変更、IAM ロールのアクセス許可の調整、[AWS Virtual Private Cloud (VPC) ネットワークの変更](https://aws.amazon.com/vpc/)など、AWS アカウントのリソースで実行される管理およびネットワーク ([コントロールプレーン](https://en.wikipedia.org/wiki/Control_plane)) 操作のエントリ。 - *データイベント*: AWS [データプレーン](https://en.wikipedia.org/wiki/Data_plane)リソースで実行されるデータリクエスト操作 (`Get`、` Delete`、`Put` API コマンドなど) のエントリ。 - *インサイトイベント*: 短期間の過剰な API 呼び出しなど、過去の API 使用状況と比較した AWS アカウントの異常なAPIアクティビティを反映するエントリ。 CloudTrail のイベントログの大部分は管理イベントとデータイベントで構成されているため、それらについて詳しく見ていきます。インサイトイベントを使用して AWS データの異常を追跡、検出する方法の詳細については、[AWS ドキュメント](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-insights-events-with-cloudtrail.html)を参照してください。 ### 管理イベント 管理イベントには、アカウント内のリソースに対して実行されるすべての管理操作と、[ほとんどの非 API アクション](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-non-api-events.html)が含まれます。非 API アクションには、AWS コンソールへのログイン (`AwsConsoleSignIn`) や、暗号化キーローテーションなどの自動サービスアクション (`AwsServiceEvent`) が含まれます。AWS CloudTrail は、デフォルトで管理イベントをログに記録します。 以下のサンプル管理イベントは、フィールド `eventType: AwsConsoleSignIn` で示されるコンソールログインを記録します。これは、`userName` Alice を持つ誰かが多要素認証なしで AWS コンソールに正常にサインインしたことを示しています。 ```json { "eventVersion": "1.05", "userIdentity": { "type": "IAMUser", "principalId": "AIDABBBBBBBBBBBBBBBBB", "arn": "arn:aws:iam::111111111111:user/alice", "accountId": "111111111111", "userName": "alice" }, "eventTime": "2020-09-23T09:09:56Z", "eventSource": "signin.amazonaws.com", "eventName": "ConsoleLogin", "awsRegion": "us-east-1", "sourceIPAddress": "1.2.3.4", "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/84.0.4147.135 Safari/537.36", "requestParameters": null, "responseElements": { "ConsoleLogin": "Success" }, "additionalEventData": { "LoginTo": "https://console.aws.amazon.com/console/home", "MobileVersion": "No", "MFAUsed": "No" }, "eventID": "6894a571-9f34-47b8-b75c-5f4ca34f281e", "eventType": "AwsConsoleSignIn", "recipientAccountId": "111111111111" } ``` ### データイベント データイベントは、[AWS IAM ロール](https://aws.amazon.com/iam/)、[Amazon EC2 インスタンス](https://aws.amazon.com/ec2/)、[Amazon S3 バケット](https://aws.amazon.com/s3/)、[AWS Lambda 関数](https://aws.amazon.com/lambda/)などのリソースまたはサービス上または内部で実行される操作の詳細を提供します。多くの場合、これらは大量のアクティビティであるため、データイベントは、証跡を作成するときにデフォルトで無効になっています。これを AWS CloudTrail で追跡するには、[リソースまたはリソースタイプを証跡に追加](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-data-events-with-cloudtrail.html)する必要があります。 以下の例は、ユーザー Alice が `example-bucket` というバケットで [PutObject](https://docs.aws.amazon.com/AmazonS3/latest/API/API_PutObject.html) Amazon S3 操作を正常に実行して、ファイル `exampleFile.txt` をアップロードしたことを示しています。 ```json { "eventVersion": "1.07", "userIdentity": { "type": "IAMUser", "principalId": "AIDAAAAAAAAAAAAAAAAAA", "arn": "arn:aws:iam::111111111111:user/Alice", "accountId": "111111111111", "accessKeyId": "AKIAAAAAAAAAAAAAAAAAA", "userName": "Alice" }, "eventTime": "2020-09-22T20:15:25Z", "eventSource": "s3.amazonaws.com", "eventName": "PutObject", "awsRegion": "us-east-1", "sourceIPAddress": "1.2.3.4", "userAgent": "[Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.102 Safari/537.36]", "requestParameters": { "X-Amz-Date": "20200922T201524Z", "bucketName": "example-bucket", "X-Amz-Algorithm": "AWS4-HMAC-SHA256", "x-amz-acl": "private", "X-Amz-SignedHeaders": "content-md5;content-type;host;x-amz-acl;x-amz-storage-class", "Host": "example-bucket.s3.us-east-1.amazonaws.com", "X-Amz-Expires": "300", "key": "exampleFile.txt", "x-amz-storage-class": "STANDARD" }, "responseElements": null, "additionalEventData": { "SignatureVersion": "SigV4", "CipherSuite": "ECDHE-RSA-AES128-GCM-SHA256", "bytesTransferredIn": 12, "AuthenticationMethod": "QueryString", "x-amz-id-2": "d2UncmUgaGlyaW5nIDopIGh0dHBzOi8vd3d3LmRhdGFkb2docS5jb20vY2FyZWVycy8K", "bytesTransferredOut": 0 }, "requestID": "EEEEEEEEEEEEEEEE", "eventID": "f378e059-d87f-44b7-aee2-7ebfa1beff93", "readOnly": false, "resources": [ { "type": "AWS::S3::Object", "ARN": "arn:aws:s3:::example-bucket/exampleFile.txt" }, { "accountId": "111111111111", "type": "AWS::S3::Bucket", "ARN": "arn:aws:s3:::example-bucket" } ], "eventType": "AwsApiCall", "managementEvent": false, "recipientAccountId": "111111111111", "eventCategory": "Data" } ``` ### CloudTrail ログの解釈 AWS CloudTrail ログには、AWS 環境全体のアクティビティを監視できる貴重な情報が含まれているため、調査を行うには、それらを解釈する方法を理解することが重要です。このセクションでは、CloudTrail ログファイルのサンプル管理イベントについて詳しく説明し、どのフィールドに注目する必要があるかを示します。 CloudTrail ログファイルは JSON 形式で記述され、各イベントは単一の JSON オブジェクトとして表示されます。すべてのイベントタイプのエントリには、アクションを実行した AWS ID のアクセスキー ID (`userIdentity` フィールド) や実行されたアクションの詳細 (`eventName` と `requestParameters`) など、同じ重要なフィールドがいくつか含まれています。管理およびデータイベントエントリは、アクションが正常に実行されたかどうかを判断するのに役立つ `responseElements` フィールドも提供します。 以下のスニペットでは、Alice (`userName`) という名前のユーザーが Bob (`requestParameters`) という名前の新しいユーザーを作成する (`eventName`) ために呼び出しを行ったことがわかります。 ```json { "eventVersion": "1.05", "userIdentity": { "type": "IAMUser", "principalId": "AIDAAAAAAAAAAAAAAAAAA", "arn": "arn:aws:iam::111111111111:user/Alice", "accountId": "111111111111", "accessKeyId": "AKIAAAAAAAAAAAAAAAAAA", "userName": "Alice" }, "eventTime": "2020-09-21T10:31:20Z", "eventSource": "iam.amazonaws.com", "eventName": "CreateUser", "awsRegion": "us-east-1", "sourceIPAddress": "1.2.3.4", "userAgent": "console.amazonaws.com", "requestParameters": { "userName": "bob", "tags": [] }, "responseElements": { "user": { "path": "/", "userName": "bob", "userId": "AIDABBBBBBBBBBBBBBBBB ", "arn": "arn:aws:iam::111111111111:user/bob", "createDate": "Sep 21, 2020 10:31:20 AM" } }, "requestID": "604e7549-4ea4-4185-83b0-acff4e462d27", "eventID": "600e50af-0a2c-4352-95a8-7b813c744072", "eventType": "AwsApiCall", "recipientAccountId": "111111111111" } ``` エントリは新しく作成されたユーザーの識別の詳細 (`responseElements`) を返しているため、コマンドが正常に実行されたことがわかります。そうでない場合、[AWS ドキュメント](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-log-file-examples.html#error-code-and-error-message)に示されているように、JSON 応答に `errorCode` および `errorMessage` 要素が含まれることになります。 監視する上で最も重要な CloudTrail ログを確認する前に、CloudTrail によって定義されたさまざまなユーザー ID タイプと、CloudTrail がアクションを実行したユーザーを識別する方法を理解することが大切です。 #### CloudTrail ID タイプ すべての CloudTrail イベントログには、アクションを実行したユーザーまたはサービスを説明する [userIdentity](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html) 要素が含まれています。この要素内の `type` フィールドは、リクエストを行ったユーザーまたはサービスの種類と、そのユーザーまたはサービスがリクエストを行うために使用した資格情報のレベルを示します。CloudTrail の `userIdentity` タイプには次のものがあります。 - Root: リクエストは、プライマリ AWS アカウントの認証情報を使用して行われました。AWS アカウントのエイリアスを設定すると、代わりにそのエイリアスがここに表示されます。 - IAMUser: リクエストは IAM ユーザーの認証情報を使用して行われました。 - FederatedUser: リクエストは、[フェデレーショントークン](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html)を通じて提供された一時的なセキュリティ認証情報を持つユーザーによって行われました。 - AWSAccount: リクエストはサードパーティの AWS アカウントによって行われました。 - AWSService: リクエストは AWS サービスアカウントによって行われました。多くの AWS サービスは、サービスアカウントを使用して、お客様に代わって自動アクションを実行します。 - AssumedRole: リクエストは、[AWS Security Token Service (STS)](https://docs.aws.amazon.com/STS/latest/APIReference/welcome.html) [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 操作を使用して取得した一時的な認証情報を使用して行われました。 これらの ID タイプのほとんどはかなり単純ですが、AssumedRoles はアクションを実行したユーザーの名前を難読化します。次のセクションでは、`AssumeRole` 呼び出しが実際にどのように機能するか、AssumedRole ID の背後にいるユーザーを特定する方法、および巧妙な攻撃者が AssumedRole セッションを使用して真の ID を隠す方法について説明します。 #### 'AssumedRole' CloudTrail ログの初期 ID の解釈 AWS のマルチアカウント設定で一般的なのは、単一の AWS アカウントですべてのユーザーを管理することです。これをアカウント A と呼びます。次に、セキュリティのベストプラクティスは、IAM ユーザーに直接関連付けられた IAM ポリシーがないことを確認することと、代わりにアクションを実行するための一時的な資格情報を提供することです。これを行うには、IAM ロールを含む独立したアカウント (アカウント B など) を作成します。各々には、IAM ポリシーで定義された一連の許可されたアクションがあります。これで、アカウント A のユーザーが、アクションを実行する必要があるときに、これらのロールを*引き受ける*ことを許可できます。 アカウント A のユーザーがアカウント B で有効になっているすべての AWS リージョンを一覧表示したいとします。最初に、ユーザーは `DescribeRegions` アクセス許可を持つアカウント B のロールに `AssumeRole` を入れ、`AssumeRole` コマンドによって返される一時的な認証情報を取得します。次に、それらを使用してコマンドを実行します。アカウント A (`accountId: 222222222222`) のユーザー (`userName: Alice`) がアカウント B (`accountId: 11111111111`) のロールを引き受ける CloudTrail ログは次のようになります。 ```json { "eventVersion": "1.05", "userIdentity": { "type": "IAMUser", "principalId": "AIDAAAAAAAAAAAAAAAAAA", "arn": "arn:aws:iam::222222222222:user/Alice", "accountId": "222222222222", "accessKeyId": "AKIAAAAAAAAAAAAAAAAAA", "userName": "Alice" }, "eventTime": "2020-09-22T16:23:50Z", "eventSource": "sts.amazonaws.com", "eventName": "AssumeRole", "awsRegion": "us-east-1", "sourceIPAddress": "1.2.3.4", "userAgent": "aws-sdk-go/1.16.8 (go1.12.7; linux; amd64)", "requestParameters": { "roleArn": "arn:aws:iam::111111111111:role/ExampleRole", "roleSessionName": "ExampleRoleSession", "externalId": "ffffffffffffffffffffffffffffffff", "durationSeconds": 3600 }, "responseElements": { "credentials": { "accessKeyId": "ASIADDDDDDDDDDDDDDDD", "expiration": "Sep 22, 2020 5:23:50 PM", "sessionToken": "d2UncmUgaGlyaW5nIDopIGh0dHBzOi8vd3d3LmRhdGFkb2docS5jb20vY2FyZWVycy8K" }, "assumedRoleUser": { "assumedRoleId": "AROAEEEEEEEEEEEEEEEEE:ExampleRoleSession", "arn": "arn:aws:sts::111111111111:assumed-role/ExampleRole/ExampleRoleSession" } }, "requestID": "4da64d92-6130-4355-86f2-1609a6eb53e1", "eventID": "ffef7974-b1a0-4e88-b27f-0b143965f30c", "resources": [ { "accountId": "111111111111", "type": "AWS::IAM::Role", "ARN": "arn:aws:iam::111111111111:role/ExampleRole" } ], "eventType": "AwsApiCall", "recipientAccountId": "111111111111", "sharedEventID": "4f61c867-6a49-4c41-a267-388c38e99866" } ``` `AssumeRole` コマンドは、ユーザー `Alice` がロールの委任されたアクションを実行するために使用できる `AccessKeyId` (`ASIADDDDDDDDDDDDDDDD`) を返します。次のイベントログでは、`AssumedRole` ユーザーがアクセスキー `ASIADDDDDDDDDDDDDDDD` を使用して `DescribeRegions` 操作を実行していることがわかります。したがって、ユーザー `Alice` がアクセスキーを使用したと推測できます。 ```json { "eventVersion": "1.05", "userIdentity": { "type": "AssumedRole", "principalId": "AROAEEEEEEEEEEEEEEEEE:ExampleRoleSession", "arn": "arn:aws:sts::111111111111:assumed-role/ExampleRole/ExampleRoleSession", "accountId": "111111111111", "accessKeyId": "ASIADDDDDDDDDDDDDDDD", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "AROAEEEEEEEEEEEEEEEEE", "arn": "arn:aws:iam::111111111111:role/ExampleRole", "accountId": "111111111111", "userName": "ExampleRole" }, "webIdFederationData": {}, "attributes": { "mfaAuthenticated": "false", "creationDate": "2020-09-22T15:58:31Z" } } }, "eventTime": "2020-09-22T16:26:02Z", "eventSource": "ec2.amazonaws.com", "eventName": "DescribeRegions", "awsRegion": "us-east-1", "sourceIPAddress": "1.2.3.4", "userAgent": "aws-sdk-go/1.16.8 (go1.12.7; linux; amd64)", "requestParameters": { "regionSet": {} }, "responseElements": null, "requestID": "0a857cb2-90c4-4f09-9624-1149fb27f8a1", "eventID": "26fe99a5-8ed5-4923-9cf7-b6cdf96fa5f3", "eventType": "AwsApiCall", "recipientAccountId": "111111111111" } ``` #### `AssumedRole` セッション名の制御 引き受けたロールを制御し、引き受けたロールを使用してアクションを実行するユーザーをより簡単に追跡するには、[ユーザーのセッション名を指定する](https://aws.amazon.com/blogs/security/easily-control-naming-individual-iam-role-sessions/)のが良い方法です。これを行うには、引き受けるロールの[信頼ポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#term_trust-policy)で許可されるセッション名を指定します。たとえば、次の信頼ポリシーでは、ロールを引き受けるために、ユーザーは自分のユーザー名にちなんでセッションに名前を付ける必要があると指定しています。そうしないと、`AssumeRole` コマンドは失敗します。 ```json { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "sts:AssumeRole", "Condition": { "StringLike": { "sts:RoleSessionName": "${aws:username}" } } } ] } ``` このコンフィギュレーションを使用すると、引き受ける各ロールセッションで実行されたアクションを簡単に追跡、フィルタリングできます。または、有効なセッション名を指定できなかったユーザーをキャッチできます。セッション名を制御するその他の例については、[関連する AWS ブログ投稿](https://aws.amazon.com/blogs/security/easily-control-naming-individual-iam-role-sessions/#:~:text=When%20an%20IAM%20user%20assumes,action%20with%20the%20IAM%20role.)を参照してください。 ## 監視する主要な CloudTrail 監査ログ AWS の IAM ポリシーは複雑で、AWS アカウント内のすべてのリソースにアクセスするためのアクセス許可をユーザーに提供できる可能性があります。つまり、セキュリティの構成ミスにより、誰かが環境を操作し、アセットへのアクセスを強化する可能性が十分にあります。監査ログを監視することで、ユーザーアクティビティと、ユーザーによるリソース操作の全体像を把握できます。これには、ユーザーが最初にその操作を実行する権限があるかどうかも含まれます。 攻撃者は、次のようなさまざまな AWS リソースで、過度に許容的な IAM アクセス許可や構成ミスを探すことがよくあります。 - IAM ユーザー/ロール - EC2 インスタンス - S3 バケット たとえば、S3 バケットには、アカウント内の認証済みユーザーだけでなく、すべての認証済みユーザーに**読み取り**アクセスを提供するポリシーがアタッチされている場合があります。攻撃者がこの脆弱性を発見した場合、そのバケット内に保存されているすべてのデータを読み取り、顧客またはビジネスの情報を漏洩させる可能性があります。 CloudTrail ログには、ユーザーアクティビティの信頼できる記録が含まれており、どのログに焦点を合わせるかがわかれば、環境を監視するために必要なすべての情報が提供されます。次のリソースベースのタイプのログは、脅威の大部分が発生する場所であるため、特に重要です。 - [ユーザーアカウント](#user-accounts) - [バケット](#buckets) - [ネットワークコンポーネント](#networking-components) これらのリソースベースの操作から生成されたサンプルログを以下で見ていきます。イベントログを読み取るときは、攻撃や構成ミスの可能性を見つけるのに役立つ JSON 属性に常に注意を払う必要があります。これには、呼び出しの応答 (つまり `responseElements`)、行われた API 呼び出し (つまり `eventName`)、コマンドを呼び出したユーザーやロールなどの識別情報 (つまり、`userIdentity` の下のさまざまなフィールド) などがあります。 ### ユーザーアカウント 攻撃者が環境に侵入する最も一般的な方法の 1 つは、公開された AWS シークレットアクセスキーを使用し、キーのアクセス許可を列挙することです。公開されたキーに広範な管理アクセス許可がある場合、攻撃者はセキュリティインフラストラクチャーを無効にしながら、自身にさらにアクセス許可を付与することができます。CloudTrail ログで次のアクティビティを監視すると、攻撃者がアクセス許可を検査し、環境内で[永続性の維持](https://attack.mitre.org/tactics/TA0003/)を試みている攻撃者について警告を受けることができます。 - [不正アクティビティ](https://docs.datadoghq.com/security_monitoring/default_rules/cloudtrail-aws-unauthorized-activity.md) 不正なユーザーアクティビティのログには、`responseElements` に次のエラーメッセージが含まれています。 ```json { [...], "errorCode": "Client.UnauthorizedOperation", "errorMessage": "You are not authorized to perform this operation.", "requestParameters": { "regionSet": {} }, "responseElements": null, "requestID": "0a857cb2-90c4-4f09-9624-1149fb27f8a1", "eventID": "26fe99a5-8ed5-4923-9cf7-b6cdf96fa5f3", "eventType": "AwsApiCall", "recipientAccountId": "111111111111" } ``` 不正アクティビティログが 1 つあるだけでは、必ずしも脅威を示しているわけではありません。たとえば、ユーザーが特定の AWS コンソールリソースを表示するために必要なアクセス許可を持っていないために、不正なアクションが発生した可能性があります。または、サービスがアクセス権のないリソースを呼び出そうとした結果である可能性があります。 ただし、IAM ユーザーが認証エラーを受け取るのがこれが初めての場合は、エラーの原因を調査する価値があるかもしれません。これは、攻撃者がアカウントまたはサービスを使用してリソースにさらにアクセスしようとした結果である可能性があります。たとえば、環境へのバックドアとして新しいユーザーまたはロールを作成しようとしたり、アクセスを取得したユーザーまたはロールにすでに関連付けられている IAM ポリシーを拡張しようとしたりする場合があります。 - [AWS GuardDuty DetectorDeleted](https://docs.datadoghq.com/security_monitoring/default_rules/cloudtrail-aws-guardduty-detector-deleted.md) 不正または悪意のあるアクションを実行するときに検出されないようにするために、攻撃者は AWS アカウントで実行されている [Amazon GuardDuty](https://docs.aws.amazon.com/guardduty/latest/ug/what-is-guardduty.html) 脅威検出システムを無効にしようとする可能性があります。[GuardDuty 検出システムの削除](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_DeleteDetector.html)のインスタンスを調査することは常に大切です。 ### バケット 攻撃者は、環境を侵害しようとするときに S3 バケットを標的にすることがよくあります。ユーザーアカウントと同様に、攻撃者はセキュリティの構成ミスや人為的エラーによりバケットのコンテンツにアクセスする可能性があります。CloudTrail ログを監視することで、次のバケットの列挙と変更の攻撃手法を見つけることができます。 - [AWS S3 バケットの列挙](https://docs.datadoghq.com/security_monitoring/default_rules/cloudtrail-aws-s3-buckets-enumerated.md) - [AWS S3 バケットポリシーの変更](https://docs.datadoghq.com/security_monitoring/default_rules/cloudtrail-aws-s3-bucket-policy-modified.md) 攻撃者が EC2 インスタンスにアクセスした場合、最初に行う可能性があるのは、関連する[インスタンスプロファイル](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/iam-roles-for-amazon-ec2.html#ec2-instance-profile)からアクセスできるすべての S3 バケットを列挙するか、バケットのアクセスポリシー全体を変更しようとすることです。ほとんどの自動化されたリソースは、必要なすべてのバケットにすでに直接アクセスできるため、通常、`ListBuckets` または `PutBucketPolicy` 呼び出しは調査する価値があります。 - [AWS S3 パブリックアクセスブロックの削除](https://docs.datadoghq.com/security_monitoring/default_rules/cloudtrail-aws-s3-public-access-block-removed.md) 同様に、S3 バケットにアタッチされている[パブリックアクセスブロック](https://docs.aws.amazon.com/AmazonS3/latest/dev/access-control-block-public-access.html)を削除しようとする試みは、調査が必要なイベントです。これは、正当なユーザーがデバッグメカニズムとしてセキュリティコントロールを削除することによってタスクを実行しようとしている可能性もありますが、攻撃者がバケットをパブリックインターネットに開こうとしている恐れもあります。`DeleteAccountPublicAccessBlock` イベントログはできるだけ早く調査することをお勧めします。 ### ネットワークコンポーネント 攻撃者は、VPC、ルートテーブル、ネットワークゲートウェイ、ネットワークアクセスコントロールリスト、セキュリティグループなど、構成ミスのあるネットワークリソースを介して環境にアクセスしようとする可能性もあります。CloudTrail ログは、次のタイプの考えられるネットワーク攻撃を特定し、違反を解決するための適切な手順を実行するのに役立ちます。 - [AWS VPC の作成または変更](https://docs.datadoghq.com/security_monitoring/default_rules/cloudtrail-aws-vpc-deleted.md) - [AWS ルートテーブルの作成または変更](https://docs.datadoghq.com/security_monitoring/default_rules/cloudtrail-aws-route-table-modified.md) - [AWS ネットワークゲートウェイの作成または変更](https://docs.datadoghq.com/security_monitoring/default_rules/cloudtrail-aws-network-gateway-modified.md) - [AWS ネットワークアクセスコントロールリストの作成または変更](https://docs.datadoghq.com/security_monitoring/default_rules/cloudtrail-aws-nacl-modified.md) - [AWS セキュリティグループの作成または変更](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_SecurityGroups.html) ネットワークリソースの体制をチェックし、それが安全に構成されていることを確認するには、Datadog の [Compliance Monitoring](https://www.datadoghq.com/blog/compliance-monitoring.md#continuously-check-the-configurations-of-cloud-resources-and-workloads) ツールを使用することをお勧めします。このツールは、AWS 環境をスキャンして構成ミスをリアルタイムで検出します。 ## Datadog を使用した CloudTrail ログの収集および分析 AWS インフラストラクチャーのログモニタリングプラットフォームとして Datadog を使用する利点は次のとおりです。 - ログのエクスポートプロセスを合理化する [AWS CloudTrail](https://app.datadoghq.com/account/settings?_gl=1*dhx3b9*_gcl_aw*R0NMLjE1OTg2NDA2NDcuRUFJYUlRb2JDaE1JNlBiUnVzaS02d0lWRnlDdEJoMnRvUXI2RUFBWUFTQUFFZ0pQWmZEX0J3RQ..&_ga=2.45079076.1010316357.1598548231-125132531.1591041460&_gac=1.195831064.1598640648.EAIaIQobChMI6PbRusi-6wIVFyCtBh2toQr6EAAYASAAEgJPZfD_BwE#integrations/amazon-cloudtrail)、[Amazon S3](https://app.datadoghq.com/account/settings?_gl=1*dhx3b9*_gcl_aw*R0NMLjE1OTg2NDA2NDcuRUFJYUlRb2JDaE1JNlBiUnVzaS02d0lWRnlDdEJoMnRvUXI2RUFBWUFTQUFFZ0pQWmZEX0J3RQ..&_ga=2.45079076.1010316357.1598548231-125132531.1591041460&_gac=1.195831064.1598640648.EAIaIQobChMI6PbRusi-6wIVFyCtBh2toQr6EAAYASAAEgJPZfD_BwE#integrations/amazon-s3)、[AWS Kinesis Firehose](https://aws.amazon.com/kinesis/data-firehose/?kinesis-blogs.sort-by=item.additionalFields.createdDate&kinesis-blogs.sort-order=desc)、[Amazon Lambda](https://app.datadoghq.com/account/settings?_gl=1*dhx3b9*_gcl_aw*R0NMLjE1OTg2NDA2NDcuRUFJYUlRb2JDaE1JNlBiUnVzaS02d0lWRnlDdEJoMnRvUXI2RUFBWUFTQUFFZ0pQWmZEX0J3RQ..&_ga=2.45079076.1010316357.1598548231-125132531.1591041460&_gac=1.195831064.1598640648.EAIaIQobChMI6PbRusi-6wIVFyCtBh2toQr6EAAYASAAEgJPZfD_BwE#integrations/amazon-lambda) との直接インテグレーション - [ログ処理パイプライン](https://docs.datadoghq.com/logs/processing/pipelines.md?_gl=1*nilars*_gcl_aw*R0NMLjE1OTg2NDA2NDcuRUFJYUlRb2JDaE1JNlBiUnVzaS02d0lWRnlDdEJoMnRvUXI2RUFBWUFTQUFFZ0pQWmZEX0J3RQ..&_ga=2.35116769.1910496625.1598826708-125132531.1591041460&_gac=1.52757404.1598640648.EAIaIQobChMI6PbRusi-6wIVFyCtBh2toQr6EAAYASAAEgJPZfD_BwE)を使用して AWS 環境からストリーミングされるすべての AWS CloudTrail ログの自動フィールドパース - Datadog の [Logging without Limits™](https://www.datadoghq.com/blog/logging-without-limits.md) を使用した**すべて**の CloudTrail ログの費用効果の高い収集とアーカイブ - [セキュリティ](https://www.datadoghq.com/blog/announcing-security-monitoring.md#enriching-your-events-with-security-context)および[コンプライアンス](https://www.datadoghq.com/blog/compliance-monitoring.md#continuously-check-the-configurations-of-cloud-resources-and-workloads)分析のログコンテキストのスコープの拡大 サービスの [AWS インテグレーション](https://docs.datadoghq.com/integrations/amazon_web_services.md)をセットアップし、Datadog にストリーミングする [CloudTrail ログ](https://docs.datadoghq.com/integrations/amazon_cloudtrail.md)を取得したら、カスタムダッシュボードを構築して、AWS 環境の健全性とセキュリティに関する高レベルの視点を得ることができます。また、Datadog の組み込みの[脅威検出ルール](https://docs.datadoghq.com/security_monitoring/default_rules.md?_gl=1*1yon0hf*_gcl_aw*R0NMLjE1OTg2NDA2NDcuRUFJYUlRb2JDaE1JNlBiUnVzaS02d0lWRnlDdEJoMnRvUXI2RUFBWUFTQUFFZ0pQWmZEX0J3RQ..&_ga=2.236778049.1910496625.1598826708-125132531.1591041460&_gac=1.140848518.1598640648.EAIaIQobChMI6PbRusi-6wIVFyCtBh2toQr6EAAYASAAEgJPZfD_BwE#pagetitle)を使用すると、重大なセキュリティおよび運用上の問題 (上記で説明したものを含む) が発生したときにそれを検出できます。 ### CloudTrail ログを Datadog にエクスポートする CloudTrail ログを AWS から Datadog にエクスポートすると、環境の他の可観測性データで記録されたイベントを分析し、より深くコンテキスト化できます。これを行う簡単な方法は、[Amazon Kinesis Data Firehose](https://aws.amazon.com/kinesis/data-firehose/?kinesis-blogs.sort-by=item.additionalFields.createdDate&kinesis-blogs.sort-order=desc) を使用することです。これは、外部データストレージおよび分析リポジトリへのリアルタイムの分散ストリーミングデータの配信を自動化するフルマネージド型の AWS サービスです。 AWS データ配信に Kinesis Data Firehose を使用すると、ほぼリアルタイムのアップロード、サーバーレスデータ変換オプション、AWS サービスの完全なスイートとのインテグレーションなどの多くの利点があります。Datadog で使用するために Kinesis Data Firehose を設定する手順については、[ブログ投稿](https://www.datadoghq.com/blog/stream-logs-with-kinesis-firehose-and-datadog.md)を参照してください。 ### Datadog で CloudTrail ログを調べる 監査ログが Datadog の[ログエクスプローラー](https://docs.datadoghq.com/logs/explorer.md?_gl=1*1qngeaq*_gcl_aw*R0NMLjE1OTg2NDA2NDcuRUFJYUlRb2JDaE1JNlBiUnVzaS02d0lWRnlDdEJoMnRvUXI2RUFBWUFTQUFFZ0pQWmZEX0J3RQ..&_ga=2.227069343.364320976.1597955035-125132531.1591041460&_gac=1.150675970.1597337800.EAIaIQobChMIyNmz_tKY6wIVHCCtBh1sGQELEAAYASAAEgIGq_D_BwE)にストリーミングされると、それを簡単にフィルタリング、検索して、特定のユースケースで最も重要なログを見つけることができます。たとえば、[監視する主要な AWS 監査ログ](#key-cloudtrail-audit-logs-to-monitor)を参照して、ユーザーがセキュリティグループのアクセス許可を作成または変更しようとしたイベントを探すことができます。これを行うには、ログをフィルタリングして [CreateSecurityGroup](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_CreateSecurityGroup.html)、[AuthorizeSecurityGroupIngress](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_AuthorizeSecurityGroupIngress.html)、または [AuthorizeSecurityGroupEgress](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_AuthorizeSecurityGroupEgress.html) イベントを探します。 ![Datadog ログエクスプローラーを使用して、CloudTrail ログを管理したり、並べ替えたり、ログから情報を得たりすることができます。](https://web-assets.dd-static.net/42588/1776302462-monitoring-cloudtrail-logs-log-explorer.png) 監査ログをフィルタリングして潜在的な問題を見つけるだけでなく、監査ログを使えば、カスタム[データ視覚化](https://docs.datadoghq.com/logs/explorer/analytics.md?tab=timeseries&_gl=1*fnpzsr*_gcl_aw*R0NMLjE1OTg2NDA2NDcuRUFJYUlRb2JDaE1JNlBiUnVzaS02d0lWRnlDdEJoMnRvUXI2RUFBWUFTQUFFZ0pQWmZEX0J3RQ..&_ga=2.30882687.1910496625.1598826708-125132531.1591041460&_gac=1.244933169.1598640648.EAIaIQobChMI6PbRusi-6wIVFyCtBh2toQr6EAAYASAAEgJPZfD_BwE)による高レベルの Datadog ダッシュボードを構築できます。こうすれば、受信ログを際限なくフィルタリングすることなく、受信ログのトップダウンの視点をすばやく取得できます。 ![CloudTrail ログからダッシュボードを構築すれば、AWS 環境のパフォーマンスと健全性を評価するためのトップダウンの視点が得られます。](https://web-assets.dd-static.net/42588/1776302467-monitoring-cloudtrail-logs-cloudtrail-dashboard.png) ### リアルタイムでセキュリティの脅威を検出する [Datadog Security Monitoring](https://docs.datadoghq.com/security_monitoring.md) を使用すると、セキュリティの脅威が発生したときにそれをキャッチできるため、*イベントストリームが取り込まれるときに*イベントストリーム全体に厳密な[検出ルール](https://docs.datadoghq.com/security_monitoring/default_rules.md?_gl=1*1yon0hf*_gcl_aw*R0NMLjE1OTg2NDA2NDcuRUFJYUlRb2JDaE1JNlBiUnVzaS02d0lWRnlDdEJoMnRvUXI2RUFBWUFTQUFFZ0pQWmZEX0J3RQ..&_ga=2.236778049.1910496625.1598826708-125132531.1591041460&_gac=1.140848518.1598640648.EAIaIQobChMI6PbRusi-6wIVFyCtBh2toQr6EAAYASAAEgJPZfD_BwE#pagetitle)を適用できます。検出ルールはすぐに利用でき、[MITRE ATT&CK® フレームワーク](https://attack.mitre.org/)によって列挙された攻撃手法と照合します。これは、すでに説明した重要なイベントタイプの多くをカバーしています。さらに、環境の特定のニーズに基づいてイベントを評価する場合は、[独自のルールを作成](https://docs.datadoghq.com/security_monitoring/detection_rules.md#create-detection-rules)できます。 着信イベントが検出ルールの 1 つと一致すると、Datadog は[セキュリティシグナルエクスプローラー](https://app.datadoghq.com/security?_gl=1*1yn27r1*_gcl_aw*R0NMLjE1OTg2NDA2NDcuRUFJYUlRb2JDaE1JNlBiUnVzaS02d0lWRnlDdEJoMnRvUXI2RUFBWUFTQUFFZ0pQWmZEX0J3RQ)で検査できるセキュリティシグナルを作成します。セキュリティシグナルは、問題のアクションを開始したユーザー名と IP アドレス、イベント自体のタイムライン、脅威に対応するための標準化されたガイドラインなど、各トリガーイベントに関するコンテキストを提供します。 ## AWS CloudTrail 監査ログの監視を始める この投稿では、AWS CloudTrail 監査ログの解釈方法を確認しました。各イベントタイプがどのように機能するかを確認し、複数のログでユーザーとロールをフォローするためのベストプラクティスを説明し、調査する最も重要な監査ログを強調しました。また、Amazon Kinesis Data Firehose を使用して CloudTrail ログを Datadog にインポートする方法と、Datadog を使用してログをトリアージし、発生したセキュリティの問題を検出するための最良の方法についても説明しました。AWS 監査ログの監視と Datadog を使用したアプリケーションの保護の詳細については、[ドキュメント](https://docs.datadoghq.com/security_monitoring.md?_gl=1*xj5o19*_gcl_aw*R0NMLjE1OTg2NDA2NDcuRUFJYUlRb2JDaE1JNlBiUnVzaS02d0lWRnlDdEJoMnRvUXI2RUFBWUFTQUFFZ0pQWmZEX0J3RQ..&_ga=2.202907473.1910496625.1598826708-125132531.1591041460&_gac=1.183618194.1598640648.EAIaIQobChMI6PbRusi-6wIVFyCtBh2toQr6EAAYASAAEgJPZfD_BwE)をご覧ください。また、Datadog をまだ使用していない場合は、ぜひ をご利用ください。