Come sapere chi ha fatto cosa nel tuo account AWS (CloudTrail spiegato)

"Chi ha fermato il server?" "Io no." Quando più persone toccano lo stesso account AWS, prima o poi qualcuno fa qualcosa che nessuno riconosce. La buona notizia è che AWS annota tutto: ogni azione fatta dalla console, da un programma o da uno strumento esterno viene registrata con chi, quando, da quale indirizzo e su cosa. Quel registro si chiama CloudTrail ed è attivo di serie, senza che tu abbia fatto nulla.

Quello che non è così semplice è trovare ciò che cerchi, perché i nomi sono tecnici e si conservano solo 90 giorni. Questa guida insegna a cercare e a conservare la cronologia.

Passo dopo passo

1. Apri la cronologia degli eventi

   Nella console di AWS cerca CloudTrail ed entra in Cronologia degli eventi. Vedrai un elenco con le azioni più recenti: ora, nome dell'evento, chi e su cosa. In alto c'è il selettore di regione: scegli la regione dove è successo ciò che stai indagando. Alcune azioni globali (di IAM, per esempio) compaiono nella regione principale dell'account.

2. Cerca in base a quello che sai

   Sopra l'elenco c'è un filtro con un menu a tendina. Le ricerche più utili:

   • Nome della risorsa: incolla l'identificatore della macchina (i-0abc...), il nome del bucket o della macchina Lightsail. Compare tutto ciò che le è stato fatto.
   • Nome dell'evento: se sai cosa è successo. Fermare una macchina EC2 è StopInstances; in Lightsail, StopInstance; cancellare un file da S3, DeleteObject; cambiare un record DNS, ChangeResourceRecordSets; cancellare un'istantanea, DeleteSnapshot.
   • Nome utente: per vedere tutto quello che ha fatto una persona precisa.

   Regola l'intervallo di date sul giorno in questione per non perderti nell'elenco.

3. Leggi il dettaglio dell'evento

   Clicca sull'evento. Nella scheda vedrai l'utente esatto (e se è stato tramite un ruolo, quale ruolo), l'indirizzo IP di origine, l'agente (se dalla console web, dalla riga di comando o da uno strumento esterno) e, nel blocco JSON in basso, i dettagli tecnici. Con l'ora, l'IP e l'utente di solito è chiaro chi è stato e da dove, anche se senza volerlo.

4. Scopri se è stata una persona o un programma

   Se l'utente è qualcuno del team e l'IP è quello dell'ufficio, è stata quella persona dalla console. Se l'utente è uno creato per uno strumento (un pannello, un sistema di backup) o un ruolo assunto, è stato quello strumento: guarda cosa era programmato per quell'ora. Se l'utente è l'account root o l'IP è di un paese dove non hai nessuno, trattalo come una possibile intrusione: cambia password e chiavi e rileggi la guida su come proteggere l'account.

5. Conserva la cronologia oltre i 90 giorni

   La cronologia degli eventi conserva solo tre mesi. Per un'azienda è poco: la domanda "chi ha cancellato questo" può arrivare l'anno dopo. In CloudTrail, menu Percorsi, Crea percorso: dagli un nome, lascia che crei un nuovo bucket S3 per salvarlo, spunta che si applichi a tutte le regioni e crea. Da quel momento ogni evento viene salvato come file in quel bucket; il primo percorso di eventi di gestione non ha costi di CloudTrail, anche se c'è il piccolo costo dello spazio su S3.

6. Cerca nello storico quando serve

   I file del bucket sono JSON compressi, scomodi da leggere a mano. Per cercarci dentro, CloudTrail offre gli archivi di dati degli eventi con query in stile SQL (a pagamento), oppure puoi scaricare il giorno preciso e aprirlo con un editor cercando l'identificatore della risorsa. Per la maggior parte delle persone, basta sapere che sono lì e poterli recuperare.

Cosa può andare storto