如何使用 CloudTrail 来了解我的 AWS 账户中的安全组或资源是否已更改?
上次更新日期:2022 年 01 月 20 日
出于审计目的,我想要查找对我的 Amazon Virtual Private Cloud (Amazon VPC) 中的安全组所做的更改。查看我的 AWS 账户中的安全组更改的最佳方式是什么?
简短描述
要查看和监控 AWS 账户中的安全组事件历史记录,您可以使用以下任意 AWS 服务和功能:
注意:以下是一些与安全组相关的 API 调用的示例:
解决方法
使用 CloudTrail 事件历史记录来检查 AWS 账户中的安全组更改
注意:您可以使用 CloudTrail 来搜索过去 90 天的事件历史记录。
1. 打开 CloudTrail 控制台。
2. 选择事件历史记录。
3. 在 Filter(筛选条件)中,选择下拉列表。然后,选择 Resource name(资源名称)。
4. 在 Enter resource name(输入资源名称)文本框中,输入资源的名称(例如,sg-123456789)。
5. 在 Time range(时间范围)中,输入所需的时间范围。然后,选择 Apply(应用)。
6. 在 Event time(事件时间)中,展开事件。然后,选择 View event(查看事件)。
有关更多信息,请参阅在 CloudTrail 控制台中查看 CloudTrail 事件。
CloudTrail 事件历史记录事件示例
注意:在本示例中,传入规则允许来自192.168.0.0/32 的 TCP 端口 998。
{
"eventVersion": "1.05",
"userIdentity": {
"type": "AssumedRole",
"principalId": "123456789:Bob",
"arn": "arn:aws:sts::123456789:assumed-role/123456789/Bob",
"accountId": "123456789",
"accessKeyId": "123456789",
"sessionContext": {
"attributes": {
"mfaAuthenticated": "false",
"creationDate": "2019-08-05T07:15:25Z"
},
"sessionIssuer": {
"type": "Role",
"principalId": "123456789",
"arn": "arn:aws:iam::123456789:role/123456789",
"accountId": "123456789",
"userName": "Bob"
}
}
},
"eventTime": "2019-08-05T07:16:31Z",
"eventSource": "ec2.amazonaws.com",
"eventName": "AuthorizeSecurityGroupIngress",
"awsRegion": "us-east-1",
"sourceIPAddress": "111.111.111.111",
"userAgent": "console.ec2.amazonaws.com",
"requestParameters": {
"groupId": "sg-123456789",
"ipPermissions": {
"items": [
{
"ipProtocol": "tcp",
"fromPort": 998,
"toPort": 998,
"groups": {},
"ipRanges": {
"items": [
{
"cidrIp": "192.168.0.0/32"
}
]
},
"ipv6Ranges": {},
"prefixListIds": {}
}
]
}
},
"responseElements": {
"requestId": "65ada3c8-d72f-4366-a583-9a9586811111",
"_return": true
},
"requestID": "65ada3c8-d72f-4366-a583-9a9586811111",
"eventID": "6c604d53-d9c3-492e-a26a-a48ac3f711111",
"eventType": "AwsApiCall",
"recipientAccountId": "123456789"
}
使用 Athena 查询检查 AWS 账户中的安全组更改
注意:要使用 Athena 查询 CloudTrail 日志,您必须配置跟踪以登录 Amazon Simple Storage Service (Amazon S3) 存储桶。您可以使用 Athena 查询 90 天前的 CloudTrail 日志。
1. 打开 Athena 控制台。
2. 选择 Query Editor(查询编辑器)。此时将会打开 Athena 查询编辑器。
3. 在 Athena 查询编辑器中,根据您的使用案例使用一个查询。然后,选择 Run query(运行查询)。
有关更多信息,请参阅了解 CloudTrail 日志和 Athena 表。
用于返回创建和删除安全组时的所有 CloudTrail 事件的示例查询
重要提示:将示例表名称替换为您的表名称。
SELECT *
FROM example table name
WHERE (eventname = 'CreateSecurityGroup' or eventname = 'DeleteSecurityGroup')
and eventtime > '2019-02-15T00:00:00Z'
order by eventtime asc
用于返回对特定安全组进行更改时的所有 CloudTrail 事件的示例查询
重要提示:将示例表名称替换为您的表名称。
SELECT *
FROM example table name
WHERE (eventname like '%SecurityGroup%' and requestparameters like '%sg-123456789%')
and eventtime > '2019-02-15T00:00:00Z'
order by eventtime asc;
使用 AWS Config 配置历史记录来检查 AWS 账户中的安全组更改
注意:您可以使用 AWS Config 查看超过默认 90 天期限的安全组事件历史记录的配置历史记录。您必须打开 AWS Config 配置记录器。有关更多信息,请参阅管理配置记录器。
1. 打开 CloudTrail 控制台。
2. 选择事件历史记录。
3. 在 Filter(筛选条件)中,选择下拉列表。然后,选择 Event name(事件名称)。
4. 在 Enter event name(输入事件名称)文本框中,输入您正在搜索的事件类型(例如,CreateSecurityGroup)。然后,选择 Apply(应用)。
5. 在 Event time(事件时间)中,展开事件。
6. 在 Resources Referenced(引用的资源)窗格中,选择 Config timeline(配置时间轴)列中的时钟图标以查看配置时间轴。
有关更多信息,请参阅在 AWS Config 中查看引用的资源。