如何使用 CloudTrail 来了解我的 AWS 账户中的安全组或资源是否已更改?

上次更新日期:2022 年 01 月 20 日

出于审计目的,我想要查找对我的 Amazon Virtual Private Cloud (Amazon VPC) 中的安全组所做的更改。查看我的 AWS 账户中的安全组更改的最佳方式是什么?

简短描述

要查看和监控 AWS 账户中的安全组事件历史记录,您可以使用以下任意 AWS 服务和功能:

注意:以下是一些与安全组相关的 API 调用的示例:

解决方法

使用 CloudTrail 事件历史记录来检查 AWS 账户中的安全组更改

注意:您可以使用 CloudTrail 来搜索过去 90 天的事件历史记录。

1.    打开 CloudTrail 控制台

2.    选择事件历史记录

3.    在 Filter(筛选条件)中,选择下拉列表。然后,选择 Resource name(资源名称)

4.    在 Enter resource name(输入资源名称)文本框中,输入资源的名称(例如,sg-123456789)。

5.    在 Time range(时间范围)中,输入所需的时间范围。然后,选择 Apply(应用)。

6.    在 Event time(事件时间)中,展开事件。然后,选择 View event(查看事件)。

有关更多信息,请参阅在 CloudTrail 控制台中查看 CloudTrail 事件

CloudTrail 事件历史记录事件示例

注意:在本示例中,传入规则允许来自192.168.0.0/32 的 TCP 端口 998。

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "123456789:Bob",
        "arn": "arn:aws:sts::123456789:assumed-role/123456789/Bob",
        "accountId": "123456789",
        "accessKeyId": "123456789",
        "sessionContext": {
            "attributes": {
                "mfaAuthenticated": "false",
                "creationDate": "2019-08-05T07:15:25Z"
            },
            "sessionIssuer": {
                "type": "Role",
                "principalId": "123456789",
                "arn": "arn:aws:iam::123456789:role/123456789",
                "accountId": "123456789",
                "userName": "Bob"
            }
        }
    },
    "eventTime": "2019-08-05T07:16:31Z",
    "eventSource": "ec2.amazonaws.com",
    "eventName": "AuthorizeSecurityGroupIngress",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "111.111.111.111",
    "userAgent": "console.ec2.amazonaws.com",
    "requestParameters": {
        "groupId": "sg-123456789",
        "ipPermissions": {
            "items": [
                {
                    "ipProtocol": "tcp",
                    "fromPort": 998,
                    "toPort": 998,
                    "groups": {},
                    "ipRanges": {
                        "items": [
                            {
                                "cidrIp": "192.168.0.0/32"
                            }
                        ]
                    },
                    "ipv6Ranges": {},
                    "prefixListIds": {}
                }
            ]
        }
    },
    "responseElements": {
        "requestId": "65ada3c8-d72f-4366-a583-9a9586811111",
        "_return": true
    },
    "requestID": "65ada3c8-d72f-4366-a583-9a9586811111",
    "eventID": "6c604d53-d9c3-492e-a26a-a48ac3f711111",
    "eventType": "AwsApiCall",
    "recipientAccountId": "123456789"
}

使用 Athena 查询检查 AWS 账户中的安全组更改

注意:要使用 Athena 查询 CloudTrail 日志,您必须配置跟踪以登录 Amazon Simple Storage Service (Amazon S3) 存储桶。您可以使用 Athena 查询 90 天前的 CloudTrail 日志。

1.    打开 Athena 控制台

2.    选择 Query Editor(查询编辑器)。此时将会打开 Athena 查询编辑器。

3.    在 Athena 查询编辑器中,根据您的使用案例使用一个查询。然后,选择 Run query(运行查询)。

有关更多信息,请参阅了解 CloudTrail 日志和 Athena 表

用于返回创建和删除安全组时的所有 CloudTrail 事件的示例查询

重要提示:示例表名称替换为您的表名称。

SELECT *
FROM example table name
WHERE (eventname = 'CreateSecurityGroup' or eventname = 'DeleteSecurityGroup')
and eventtime > '2019-02-15T00:00:00Z'
order by eventtime asc

用于返回对特定安全组进行更改时的所有 CloudTrail 事件的示例查询

重要提示:示例表名称替换为您的表名称。

SELECT *
FROM example table name
WHERE (eventname like '%SecurityGroup%' and requestparameters like '%sg-123456789%')
and eventtime > '2019-02-15T00:00:00Z'
order by eventtime asc;

使用 AWS Config 配置历史记录来检查 AWS 账户中的安全组更改

注意:您可以使用 AWS Config 查看超过默认 90 天期限的安全组事件历史记录的配置历史记录。您必须打开 AWS Config 配置记录器。有关更多信息,请参阅管理配置记录器

1.    打开 CloudTrail 控制台

2.    选择事件历史记录

3.    在 Filter(筛选条件)中,选择下拉列表。然后,选择 Event name(事件名称)。

4.    在 Enter event name(输入事件名称)文本框中,输入您正在搜索的事件类型(例如,CreateSecurityGroup)。然后,选择 Apply(应用)。

5.    在 Event time(事件时间)中,展开事件。

6.    在 Resources Referenced(引用的资源)窗格中,选择 Config timeline(配置时间轴)列中的时钟图标以查看配置时间轴。

有关更多信息,请参阅在 AWS Config 中查看引用的资源


这篇文章对您有帮助吗?


您是否需要账单或技术支持?