Comment utiliser CloudTrail pour suivre les modifications apportées aux groupes de sécurité et aux ressources de mon compte ?

Résolution

Vous pouvez utiliser AWS CloudTrail, Amazon Athena et AWS Config pour consulter et surveiller l'historique des événements des groupes de sécurité sur votre compte AWS.

Prérequis :

• Configurez CloudTrail pour transmettre les journaux à un compartiment Amazon Simple Storage Service (Amazon S3) pour les requêtes Athena.
• Activez l'enregistreur de configuration AWS Config pour afficher l'historique des événements du groupe de sécurité après la limite de 90 jours par défaut.

Examiner l'activité des groupes de sécurité à l’aide de l'historique des événements CloudTrail

Remarque : Vous pouvez utiliser CloudTrail pour effectuer des recherches dans l'historique des événements des 90 derniers jours.

1. Ouvrez la console CloudTrail.
2. Choisissez Historique des événements.
3. Dans la liste déroulante de Filtre, choisissez Nom de la ressource.
4. Dans la zone de texte Saisir un nom de ressource, entrez le nom de votre ressource. Par exemple, sg-123456789.
5. Dans Plage de temps, entrez la plage de temps de votre choix. Puis, sélectionnez Appliquer.
6. Choisissez un événement dans la liste des résultats.

Pour plus d'informations, consultez la section Affichage des événements de gestion récents à l'aide de la console.

Exemple d'événement CloudTrail :

Remarque : Dans cet exemple, une règle entrante autorise le port TCP 998 depuis 192.168.0.0/32.

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "123456789:Bob",
        "arn": "arn:aws:sts::123456789:assumed-role/123456789/Bob",
        "accountId": "123456789",
        "accessKeyId": "123456789",
        "sessionContext": {
            "attributes": {
                "mfaAuthenticated": "false",
                "creationDate": "2019-08-05T07:15:25Z"
            },
            "sessionIssuer": {
                "type": "Role",
                "principalId": "123456789",
                "arn": "arn:aws:iam::123456789:role/123456789",
                "accountId": "123456789",
                "userName": "Bob"
            }
        }
    },
    "eventTime": "2019-08-05T07:16:31Z",
    "eventSource": "ec2.amazonaws.com",
    "eventName": "AuthorizeSecurityGroupIngress",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "111.111.111.111",
    "userAgent": "console.ec2.amazonaws.com",
    "requestParameters": {
        "groupId": "sg-123456789",
        "ipPermissions": {
            "items": [
                {
                    "ipProtocol": "tcp",
                    "fromPort": 998,
                    "toPort": 998,
                    "groups": {},
                    "ipRanges": {
                        "items": [
                            {
                                "cidrIp": "192.168.0.0/32"
                            }
                        ]
                    },
                    "ipv6Ranges": {},
                    "prefixListIds": {}
                }
            ]
        }
    },
    "responseElements": {
        "requestId": "65ada3c8-d72f-4366-a583-9a9586811111",
        "_return": true
    },
    "requestID": "65ada3c8-d72f-4366-a583-9a9586811111",
    "eventID": "6c604d53-d9c3-492e-a26a-a48ac3f711111",
    "eventType": "AwsApiCall",
    "recipientAccountId": "123456789"
}

Examiner l'activité des groupes de sécurité à l'aide de requêtes Athena

1. Ouvrez la console Athena.
2. Sélectionnez Éditeur de requêtes.
3. Dans l'éditeur de requêtes Athena, saisissez une requête en fonction de votre cas d'utilisation. Puis, sélectionnez Exécuter la requête.

Pour plus d'informations, consultez la section Comprendre les journaux CloudTrail et les tables Athena.

Exemple de requête pour renvoyer les événements de création et de suppression d'un groupe de sécurité :

Important : Remplacez example table name par le nom de votre table.

SELECT *
FROM example table name
WHERE (eventname = 'CreateSecurityGroup' or eventname = 'DeleteSecurityGroup')
and eventtime > '2019-02-15T00:00:00Z'
order by eventtime asc

Exemple de requête pour renvoyer tous les événements CloudTrail pour les modifications apportées à un groupe de sécurité spécifique :

SELECT *
FROM example table name
WHERE (eventname like '%SecurityGroup%' and requestparameters like '%sg-123456789%')
and eventtime > '2019-02-15T00:00:00Z'
order by eventtime asc;

Consulter l'activité des groupes de sécurité à l'aide de l'historique de configuration d'AWS Config

1. Ouvrez la console CloudTrail.
2. Choisissez Historique des événements.
3. Dans la liste déroulante de Filtre, choisissez Nom de l’événement.
4. Dans la zone de texte Saisir un nom de ressource, entrez le type d'événement. Par exemple, CreateSecurityGroup. Puis, sélectionnez Appliquer.
5. Choisissez un événement dans la liste des résultats.
6. Dans le volet Ressources référencées, choisissez Afficher la chronologie des ressources AWS Config pour afficher la chronologie de configuration.

Pour plus d'informations, consultez la section Affichage des ressources référencées avec AWS Config.