🕵️♂️ 20个基于场景的AWS CloudTrail问答
内容提要
CloudTrail可监测未授权登录、调查EC2实例删除、追踪资源创建、保护日志及跟踪安全组变更。通过分析CloudTrail日志，能够识别用户行为、自动化操作、跨账户活动，并设置警报监控敏感操作。
延伸解读
监测未授权访问的重要性
使用CloudTrail监测未授权的控制台登录尝试至关重要。通过过滤事件名称为ConsoleLogin，可以及时识别失败的登录尝试，从而增强账户安全性，防止潜在的安全威胁。
资源创建追踪的实用性
CloudTrail能够帮助追踪未被认领的资源创建事件，如RunInstances和CreateBucket。这对于识别账单激增的原因非常有用，确保用户对资源的创建和使用有清晰的了解。
保护CloudTrail日志的措施
为了防止CloudTrail日志被删除或篡改，建议启用日志文件验证，并使用版本控制的S3桶。应用IAM策略以限制对日志的删除权限，这样可以确保日志的完整性和可追溯性。
跨账户活动的监控
CloudTrail可以有效跟踪跨账户活动，通过userIdentity.accountId字段显示源账户。这对于多账户环境中的安全审计和合规性检查尤为重要，确保所有操作都在监控之下。
Q&A
如何使用CloudTrail检测未授权的控制台登录尝试？
可以创建CloudTrail跟踪，监控事件名称为ConsoleLogin，并过滤响应元素为失败的登录尝试。
CloudTrail如何帮助调查EC2实例的删除？
通过搜索CloudTrail日志中的TerminateInstances事件，可以找到执行删除操作的用户身份。
如何保护CloudTrail日志不被删除或篡改？
启用日志文件验证，使用版本控制的S3桶，并应用IAM策略禁止所有用户删除日志。
CloudTrail能否跟踪安全组的变更？
是的，可以通过查找AuthorizeSecurityGroupIngress和RevokeSecurityGroupIngress事件来跟踪安全组的入站和出站规则变更。
如何确认CloudTrail是否被禁用？
可以搜索CloudTrail控制台中的StopLogging或DeleteTrail事件来确认是否被禁用。
如何追踪跨账户活动？
CloudTrail可以通过userIdentity.accountId字段显示源账户，跨账户访问会显示AssumeRole事件。
