c1.9 アカウントアクティビティを監査する
アカウント内で誰が何をしたかを記録し、その記録を調査時に信頼できるよう保護します。AWS CloudTrail はそのためのネイティブな方法です。組織証跡 (organization trail) を有効化し、専用のログ用アカウントにログを集約します。
実装ガイダンス
ログを有効化・集約・保護する
AWS CloudTrail はアカウント全体の API アクティビティを記録します。これはインシデントを調査し、攻撃者の操作を元に戻すために必要な証拠です。CloudTrail の Event history は直近 90 日間はオンラインで無料表示できますが、その後は削除されるため、セキュリティポリシーで定めた長期保持のために、ログを S3 バケットに配信する証跡 (trail) を作成します。
組織証跡を使ってすべてのアカウントを自動的にカバーし、専用の Log Archive アカウントにログを集約して、ワークロードアカウントを侵害した攻撃者が監査証跡を読んだり削除したりできないようにします。バケットを保護し(制限的なポリシー、オブジェクトロック/不変性)、SCP を使って誰もログ記録を停止したりファイルを改ざんしたりできないようにします。
マルチアカウントは自動で
AWS Control Tower / マルチアカウント管理を使う場合、Log Archive アカウントがプロビジョニングされ、CloudTrail は自動的に集約・保護されます。AWS Security Reference Architecture に整合します。
使える状態にしておく
ログは読めて初めて役立ちます。インシデントで必要になる前に、CloudTrail の検索と調査(コンソール、Athena、または SIEM)ができるようセキュリティチームを訓練してください。
全体像
How to validate
- すべてのアカウントをカバーする組織 CloudTrail 証跡が有効ですか?
- ログは専用の Log Archive アカウントに集約され、削除/改ざんから保護されていますか(バケットポリシー、オブジェクトロック、SCP)?
- 誰もログ記録を停止したりログファイルを操作したりできませんか(SCP で強制)?
- チームは CloudTrail ログを検索・調査する準備ができていますか?
Threats addressed
- 集約・保護された監査証跡がなければ、攻撃者は信頼できる記録を残さずに行動でき、ローカルのログを削除・改ざんして痕跡を消せます。CloudTrail を集約してロックダウンすれば、インシデントを理解し元に戻すために必要な証拠を保全できます。
AWS サービス
AWS CloudTrail 
Amazon S3 
AWS KMS 料金
Event history で直近 90 日間の管理イベントを表示するのは無料です。イベントを配信する証跡と、それが使用する S3 ストレージに対して料金が発生します。CloudTrail の料金を参照してください。