Wissen, wer was in Ihrem AWS-Konto getan hat (CloudTrail erklärt)

"Wer hat den Server gestoppt?" "Ich war es nicht." Wenn mehrere Personen dasselbe AWS-Konto bedienen, tut früher oder später jemand etwas, zu dem sich niemand bekennt. Die gute Nachricht: AWS schreibt alles mit. Jede Aktion, die aus der Konsole, aus einem Programm oder aus einem externen Tool ausgeführt wird, wird aufgezeichnet, mit wer, wann, von welcher Adresse und worauf. Dieses Protokoll heißt CloudTrail und ist von Haus aus aktiv, ohne dass Sie etwas getan hätten.

Nicht ganz so einfach ist es, das zu finden, was Sie suchen, denn die Namen sind technisch und werden nur 90 Tage aufbewahrt. Diese Anleitung zeigt, wie Sie suchen und den Verlauf aufbewahren.

Schritt für Schritt

1. Öffnen Sie den Ereignisverlauf

   Suchen Sie in der AWS-Konsole nach CloudTrail und öffnen Sie Ereignisverlauf. Sie sehen eine Liste mit den jüngsten Aktionen: Uhrzeit, Name des Ereignisses, wer und worauf. Oben ist die Regionsauswahl: wählen Sie die Region, in der das Untersuchte passiert ist. Einige globale Aktionen (etwa von IAM) erscheinen in der Hauptregion des Kontos.

2. Suchen Sie nach dem, was Sie wissen

   Über der Liste gibt es einen Filter mit einem Dropdown. Die nützlichsten Suchen:

   • Ressourcenname: fügen Sie die Kennung der Maschine (i-0abc...), den Namen des Buckets oder der Lightsail-Maschine ein. Es erscheint alles, was damit gemacht wurde.
   • Ereignisname: wenn Sie wissen, was passiert ist. Eine EC2-Maschine stoppen ist StopInstances; in Lightsail StopInstance; eine Datei aus S3 löschen DeleteObject; einen DNS-Eintrag ändern ChangeResourceRecordSets; einen Snapshot löschen DeleteSnapshot.
   • Benutzername: um alles zu sehen, was eine bestimmte Person getan hat.

   Stellen Sie den Zeitraum auf den fraglichen Tag ein, um sich nicht in der Liste zu verlieren.

3. Lesen Sie die Details des Ereignisses

   Klicken Sie auf das Ereignis. In der Detailansicht sehen Sie den genauen Benutzer (und falls es über eine Rolle ging, welche Rolle), die Quell-IP-Adresse, den Agenten (ob aus der Web-Konsole, von der Befehlszeile oder aus einem externen Tool) und im JSON-Block unten die technischen Details. Mit Uhrzeit, IP und Benutzer ist meist klar, wer es war und von wo, auch wenn es unabsichtlich geschah.

4. Finden Sie heraus, ob es eine Person oder ein Programm war

   Ist der Benutzer jemand aus dem Team und die IP die des Büros, war es diese Person aus der Konsole. Ist der Benutzer einer, der für ein Tool angelegt wurde (ein Panel, ein Backup-System), oder eine übernommene Rolle, war es dieses Tool: sehen Sie nach, was für diese Uhrzeit geplant war. Ist der Benutzer das Root-Konto oder stammt die IP aus einem Land, in dem Sie niemanden haben, behandeln Sie es als möglichen Einbruch: ändern Sie Passwörter und Schlüssel und lesen Sie die Anleitung zum Schutz des Kontos.

5. Bewahren Sie den Verlauf länger als 90 Tage auf

   Der Ereignisverlauf speichert nur drei Monate. Für ein Unternehmen ist das wenig: die Frage "wer hat das gelöscht" kann im nächsten Jahr kommen. In CloudTrail, Menü Trails, Trail erstellen: geben Sie ihm einen Namen, lassen Sie einen neuen S3-Bucket zum Speichern anlegen, kreuzen Sie an, dass er für alle Regionen gilt, und erstellen Sie ihn. Von da an wird jedes Ereignis als Dateien in diesem Bucket gespeichert; der erste Trail für Verwaltungsereignisse verursacht keine CloudTrail-Kosten, wohl aber die geringen Kosten für den Speicherplatz in S3.

6. Durchsuchen Sie das Archiv, wenn es nötig ist

   Die Dateien im Bucket sind komprimiertes JSON, unbequem von Hand zu lesen. Um darin zu suchen, bietet CloudTrail Ereignisdatenspeicher mit SQL-ähnlichen Abfragen (kostenpflichtig), oder Sie laden den konkreten Tag herunter und öffnen ihn in einem Editor, in dem Sie nach der Kennung der Ressource suchen. Für die meisten reicht es zu wissen, dass die Daten da sind und sich zurückholen lassen.

Was schiefgehen kann