Implementando Análise de Logs do CloudTrail

Quando Usar

• Ao construir pipelines de monitoramento de segurança para atividades da API AWS
• Ao investigar incidentes de segurança para rastrear ações de atacantes em serviços AWS
• Quando a conformidade exige registro de auditoria de todas as operações de acesso administrativo e de dados
• Ao criar regras de detecção para padrões de ataque conhecidos em ambientes AWS
• Ao estabelecer o comportamento base da API para detecção de anomalias

Não use para detecção de ameaças em tempo real (use o GuardDuty, que já analisa o CloudTrail), para registro em nível de aplicativo (use o CloudWatch Application Logs) ou para análise de tráfego de rede (use o VPC Flow Logs).

Pré-requisitos

• CloudTrail habilitado com eventos de gerenciamento e, opcionalmente, eventos de dados em todas as contas
• Bucket S3 configurado como canal de entrega do CloudTrail com políticas de retenção apropriadas
• Amazon Athena configurado com tabela de logs do CloudTrail para consultas ad-hoc
• Assinatura do CloudWatch Logs para análise em tempo real com Logs Insights
• Integração SIEM (Splunk, Elastic ou Security Lake) para monitoramento de produção

Fluxo de Trabalho

Etapa 1: Configurar o CloudTrail para Registro Abrangente

Garanta que o CloudTrail capture todos os tipos de eventos relevantes em toda a organização.

# Create an organization trail (captures all accounts)
aws cloudtrail create-trail \
  --name org-security-trail \
  --s3-bucket-name cloudtrail-logs-org-ACCOUNT \
  --is-organization-trail \
  --is-multi-region-trail \
  --include-global-service-events \
  --enable-log-file-validation \
  --kms-key-id alias/cloudtrail-key \
  --cloud-watch-logs-log-group-arn arn:aws:logs:us-east-1:ACCOUNT:log-group:cloudtrail-org:* \
  --cloud-watch-logs-role-arn arn:aws:iam::ACCOUNT:role/CloudTrailCloudWatchRole

# Start logging
aws cloudtrail start-logging --name org-security-trail

# Enable data events for S3 and Lambda
aws cloudtrail put-event-selectors \
  --trail-name org-security-trail \
  --advanced-event-selectors '[
    {
      "Name": "S3DataEvents",
      "FieldSelectors": [
        {"Field": "eventCategory", "Equals": ["Data"]},
        {"Field": "resources.type", "Equals": ["AWS::S3::Object"]}
      ]
    },
    {
      "Name": "LambdaDataEvents",
      "FieldSelectors": [
        {"Field": "eventCategory", "Equals": ["Data"]},
        {"Field": "resources.type", "Equals": ["AWS::Lambda::Function"]}
      ]
    }
  ]'

# Verify trail configuration
aws cloudtrail describe-trails --trail-name-list org-security-trail

Etapa 2: Configurar o Athena para Análise de Consultas do CloudTrail

Crie uma tabela no Athena para consultar logs do CloudTrail com SQL.

-- Create CloudTrail Athena table
CREATE EXTERNAL TABLE cloudtrail_logs (
  eventVersion STRING,
  userIdentity STRUCT<
    type:STRING, principalId:STRING, arn:STRING,
    accountId:STRING, invokedBy:STRING,
    accessKeyId:STRING, userName:STRING,
    sessionContext:STRUCT<
      attributes:STRUCT<mfaAuthenticated:STRING, creationDate:STRING>,
      sessionIssuer:STRUCT<type:STRING, principalId:STRING, arn:STRING, accountId:STRING, userName:STRING>
    >
  >,
  eventTime STRING,
  eventSource STRING,
  eventName STRING,
  awsRegion STRING,
  sourceIPAddress STRING,
  userAgent STRING,
  errorCode STRING,
  errorMessage STRING,
  requestParameters STRING,
  responseElements STRING,
  additionalEventData STRING,
  requestId STRING,
  eventId STRING,
  readOnly STRING,
  resources ARRAY<STRUCT<arn:STRING, accountId:STRING, type:STRING>>,
  eventType STRING,
  apiVersion STRING,
  recipientAccountId STRING,
  sharedEventId STRING,
  vpcEndpointId STRING
)
PARTITIONED BY (region STRING, year STRING, month STRING, day STRING)
ROW FORMAT SERDE 'org.apache.hive.hcatalog.data.JsonSerDe'
LOCATION 's3://cloudtrail-logs-org-ACCOUNT/AWSLogs/ORG_ID/';

-- Add partitions for recent data
ALTER TABLE cloudtrail_logs ADD
  PARTITION (region='us-east-1', year='2026', month='02', day='23')
  LOCATION 's3://cloudtrail-logs-org-ACCOUNT/AWSLogs/ORG_ID/ACCOUNT/CloudTrail/us-east-1/2026/02/23/';

Etapa 3: Executar Consultas do Athena Focadas em Segurança

Execute consultas para detectar padrões de ataque comuns e atividades suspeitas.

-- Detectar logins no console sem MFA
SELECT eventtime, useridentity.username, sourceipaddress, useridentity.arn
FROM cloudtrail_logs
WHERE eventname = 'ConsoleLogin'
  AND additionalEventData LIKE '%"MFAUsed":"No"%'
  AND errorcode IS NULL
ORDER BY eventtime DESC;

-- Encontrar tentativas de escalonamento de privilégios do IAM

…