- 관리 및 거버넌스›
- AWS CloudTrail›
- 기능
AWS CloudTrail 기능
개요
모두 열기
AWS CloudTrail은 감사, 보안 모니터링 및 운영 문제 해결을 지원합니다. CloudTrail은 AWS 서비스 전반의 사용자 활동 및 API 호출을 이벤트로 기록합니다. CloudTrail 이벤트는 ‘누가, 어디서, 언제 무엇을 했는가?’라는 질문에 답하는 데 도움이 됩니다.
CloudTrail은 네 가지 범주의 이벤트를 기록합니다.
- Amazon Simple Storage Service(S3) 버킷의 생성이나 삭제 등 리소스에 대한 컨트롤 플레인 작업을 캡처하는 관리 이벤트.
- Amazon S3 객체 읽기 또는 쓰기 등 리소스 내의 데이터 플레인 작업을 캡처하는 데이터 이벤트.
- 액세스가 거부된 AWS API 직접 호출 등 VPC 엔드포인트를 사용하여 프라이빗 VPC에서 AWS 서비스로 접근할 때 일어나는 작업을 캡처하는 네트워크 활동 이벤트.
- AWS 사용자가 CloudTrail 관리 이벤트를 지속적으로 분석하여 API 직접 호출 및 API 오류율과 관련된 비정상적인 활동을 식별하고 이에 대응하는 데 도움이 되는 인사이트 이벤트.
AWS CloudTrail 이벤트 기록
모두 열기이벤트 레코드는 AWS 리전에서 발생한 지난 90일간의 관리 이벤트에 대한 조회, 검색, 다운로드 가능하며 변경 불가능한 기록을 제공합니다. 이벤트 기록을 보는 데에는 CloudTrail 요금이 부과되지 않습니다.
CloudTrail 이벤트 기록은 모든 AWS 계정에서 활성화되며 수동으로 설정하지 않아도 AWS 서비스 전반의 관리 이벤트를 기록합니다. AWS 프리 티어를 사용하면 CloudTrail 콘솔을 사용하거나 CloudTrail lookup-events API를 사용하여 계정 관리 이벤트의 가장 최근 90일 기록을 무료로 보고, 검색하고, 다운로드할 수 있습니다. 자세한 내용은 CloudTrail 이벤트 기록에서 이벤트 보기를 참조하세요.
AWS CloudTrail 추적
모두 열기추적은 AWS 계정 활동 레코드를 캡처하여 Amazon S3에 이러한 이벤트를 전달 및 저장하고, 선택적으로 Amazon CloudWatch Logs 및 Amazon EventBridge로 전달합니다. 이러한 이벤트는 보안 모니터링 솔루션에 반영할 수 있습니다. 자체 서드 파티 솔루션 또는 Amazon Athena와 같은 솔루션을 사용하여 CloudTrail에서 캡처한 로그를 검색하고 분석할 수 있습니다. AWS Organizations를 사용하여 단일 AWS 계정 또는 여러 AWS 계정에 대한 추적을 생성할 수 있습니다.
추적을 생성하여 CloudTrail 이벤트를 S3에 전송하고 선택적으로 CloudWatch Logs에 전송할 수 있습니다. 이렇게 하면 전체 이벤트 세부 정보를 얻을 수 있으며 원하는 대로 이벤트를 내보내고 저장할 수 있습니다. 자세히 알아보려면 AWS 계정 추적 생성을 참조하세요.
S3 버킷에 저장된 CloudTrail 로그 파일의 무결성을 검증하고, CloudTrail에서 로그 파일을 S3 버킷으로 전송한 이후로 로그 파일이 그대로 유지되거나, 수정되거나, 삭제되었는지 탐지할 수 있습니다. IT 보안 및 감사 프로세스에서 로그 파일 무결성 검증 기능을 사용할 수 있습니다. 기본적으로 CloudTrail은 지정된 S3 버킷으로 전송된 모든 로그 파일을 S3 서버 측 암호화(SSE)를 사용하여 암호화합니다. 필요한 경우 AWS Key Management Service(KMS) 키를 사용해 로그 파일을 암호화함으로써 CloudTrail 로그 파일에 대한 보안 계층을 추가할 수도 있습니다. 사용자에게 복호화 권한이 있는 경우 S3에서 로그 파일을 자동으로 복호화합니다. 자세한 내용은 AWS KMS 관리형 키(SSE-KMS)를 사용한 CloudTrail 로그 파일 암호화를 참조하세요.
단일 위치에 여러 AWS 리전의 이벤트를 캡처하고 저장하도록 CloudTrail을 구성할 수 있습니다. 이 구성은 모든 설정이 기존 리전과 새로 시작된 리전에 일관되게 적용됨을 인증합니다. 자세히 알아보려면 여러 리전에서 CloudTrail 로그 파일 수신을 참조하세요.
단일 위치에 여러 AWS 계정의 이벤트를 캡처하고 저장하도록 CloudTrail을 구성할 수 있습니다. 이 구성은 모든 설정이 모든 기존 계정과 새로 생성된 계정에 일관되게 적용되는지 확인합니다. 자세히 알아보려면 조직 추적 생성을 참조하세요.
CloudTrail 데이터 이벤트 집계를 사용하면 대량의 개별 이벤트를 처리하지 않고도 대용량 데이터 액세스 패턴을 효율적으로 모니터링할 수 있습니다. 이 기능은 데이터 이벤트를 5분 요약으로 자동 통합하여 액세스 빈도, 오류율, 가장 많이 사용되는 작업과 같은 주요 추세를 보여줍니다. 예를 들어 사용 패턴을 파악하기 위해 수천 개의 개별 S3 버킷 액세스 이벤트를 처리하는 대신 상위 사용자와 작업을 보여주는 통합 요약을 받을 수 있습니다. 이를 통해 조사에 필요한 경우 세부 로그에 계속 액세스하면서 비정상적인 활동을 쉽게 식별할 수 있습니다. 더 이상 복잡한 집계 파이프라인을 구축하고 유지 관리하거나, 높은 데이터 볼륨 때문에 가시성을 포기할 필요가 없습니다.
데이터 이벤트를 활성화한 상태로 모든 CloudTrail 추적에서 집계를 활성화할 수 있습니다.
AWS CloudTrail과 Amazon CloudWatch의 직접 통합
모두 열기CloudTrail 이벤트는 이제 기존의 추적당 구성 프로세스를 대체하는 원격 측정 활성화 규칙을 통해 CloudWatch Logs로 직접 전송될 수 있습니다. 이 간소화된 전송은 안전한 서비스 연결 채널(SLC)을 사용하여 변경 불가능한 로그 그룹으로의 안정적인 전송을 보장하는 동시에 이벤트 강화 및 안전 검사를 지원합니다. 예를 들어 보안팀은 민감한 데이터를 포함하는 모든 계정에서 CloudTrail 이벤트를 자동으로 수집할 수 있습니다. 그런 다음 중앙 집중식 규칙을 사용하여 이러한 이벤트를 중앙 로그 그룹에 복사하여 일련의 구성을 통해 기업 전체의 보안 가시성을 유지할 수 있습니다.
또한 몇 가지 간단한 단계를 통해 이전 CloudTrail Lake 데이터를 CloudWatch Logs로 가져올 수 있습니다. CloudWatch Logs에서는 CloudTrail Lake 이벤트 데이터 스토어와 가져오려는 데이터의 날짜 범위만 지정하면 됩니다.
AWS CloudTrail Lake
모두 열기CloudTrail Lake는 감사 및 보안 목적으로 AWS에서 사용자 및 API 활동을 캡처, 저장, 액세스 및 분석하기 위한 관리형 데이터 레이크입니다. AWS 및 비 AWS 소스 모두에서 활동 로그를 집계, 시각화, 쿼리하고 변경 불가능한 형식으로 저장할 수 있습니다. IT 감사자는 감사 요구 사항을 충족하기 위해 CloudTrail Lake를 모든 활동에 대한 변경 불가능한 레코드로 사용할 수 있습니다. 보안 관리자는 사용자 활동이 내부 정책을 준수하는지 확인할 수 있습니다. DevOps 엔지니어는 Amazon Elastic Compute Cloud(EC2) 인스턴스가 응답하지 않거나 리소스에 대한 액세스가 거부되는 등의 운영 문제를 해결할 수 있습니다.
CloudTrail Lake는 관리형 감사 및 보안 레이크이기 때문에 이벤트는 레이크 내에 저장됩니다. CloudTrail Lake는 읽기 전용 액세스 권한을 부여하여 로그 파일의 변경을 방지합니다. 읽기 전용 액세스는 이벤트를 변경할 수 없음을 의미합니다.
CloudTrail Lake를 도입하면 강력한 쿼리와 시각화 도구를 함께 사용하여 AWS 활동 로그에 대한 깊은 인사이트를 얻을 수 있습니다. CloudTrail Lake에 저장된 활동 로그에서 직접 SQL 기반 쿼리를 실행할 수 있으며, SQL에 익숙하지 않은 사용자는 AI 기반 자연어 쿼리 생성 기능을 통해 복잡한 쿼리를 작성할 필요 없이 분석을 간소화할 수 있습니다.
분석을 더욱 간소화하기 위해 CloudTrail Lake에는 쿼리 결과의 주요 인사이트를 자연어로 요약하여 제공하는 AI 기반 쿼리 결과 요약(미리 보기)이 포함되어 있습니다. 이 기능을 사용하면 AWS 활동 로그에서 의미 있는 정보를 추출하는 데 필요한 시간과 노력을 줄일 수 있습니다.
고급 분석을 위해 Amazon Athena를 사용하면 데이터를 이동하거나 복제하는 복잡한 운영 과정 없이 다른 소스의 데이터와 함께 CloudTrail Lake 감사 가능 로그를 대화형 방식으로 쿼리할 수 있습니다. 그러면 보안 엔지니어가 보안 사고 조사를 위해 CloudTrail Lake의 활동 로그를 Amazon S3의 애플리케이션 및 트래픽 로그와 상호 연관시킬 수 있습니다. 규정 준수 및 운영 엔지니어는 포괄적인 분석과 보고를 위해 Amazon QuickSight와 Amazon Managed Grafana를 사용하여 활동 로그를 추가로 시각화할 수 있습니다.
AWS CloudTrail Lake를 사용하면 여러 로그 집계 및 보고 도구를 유지 관리할 필요 없이 다른 클라우드 제공업체, 사내 애플리케이션, 클라우드 또는 온프레미스에서 실행되는 SaaS 애플리케이션의 데이터를 비롯한 AWS 및 AWS 외부 소스의 활동 이벤트를 통합할 수 있습니다. 또한 AWS Config의 구성 항목이나 AWS Audit Manager의 감사 증거와 같은 다른 AWS 서비스에서 데이터를 수집할 수 있습니다. CloudTrail Lake API를 사용하여 데이터 통합을 설정하고 이벤트를 CloudTrail Lake에 푸시할 수 있습니다. 서드 파티 도구와 통합하려면 CloudTrail 콘솔의 파트너 통합을 통해 몇 단계만 거치면 이러한 애플리케이션으로부터 활동 이벤트 수신을 시작할 수 있습니다.
CloudTrail Lake를 사용하면 여러 리전의 이벤트를 캡처하고 저장할 수 있습니다.
CloudTrail Lake를 사용하여 AWS Organizations 전체의 계정에 대한 이벤트를 캡처하고 저장할 수 있습니다. 또한 최대 3개의 위임된 관리자 계정을 지정하여 조직 수준에서 조직 추적 또는 CloudTrail Lake 이벤트 데이터 스토어를 생성, 업데이트, 쿼리 또는 삭제할 수 있습니다.
CloudTrail Lake를 사용하면 리소스 태그와 IAM 글로벌 조건 키를 사용하여 관리 및 데이터 이벤트를 강화할 수 있습니다. 이벤트를 강화하면 AWS 감사 기록에 추가할 수 있는 정보를 추가로 제어할 수 있으므로 CloudTrail 로그에서 유용한 인사이트를 더 쉽고 빠르게 얻을 수 있습니다. CloudTrail Lake 쿼리 및 대시보드를 사용하면 비용 할당, 재무 관리, 운영 및 데이터 보안 요구 사항을 비롯한 비즈니스 상황을 기반으로 CloudTrail 로그를 분류, 검색 및 분석할 수 있습니다. 예를 들어 리소스 태그를 사용하여 중요한 데이터가 포함된 프로덕션 S3 버킷을 표시한다고 가정해 보겠습니다. 해당 정보가 이벤트 자체에 포함되므로 이제 이러한 특정 태그와 일치하는 모든 CloudTrail 이벤트를 쉽게 볼 수 있습니다. 더 이상 이 정보를 찾기 위해 여러 시스템에서 수동으로 상호 참조할 필요가 없습니다.
CloudTrail Lake를 사용하면 CloudTrail 이벤트의 크기를 최대 1MB까지 확장할 수 있어 API 작업과 관련된 메타데이터를 잘 파악할 수 있습니다. CloudTrail의 일반 이벤트는 최대 256KB로 제한되며, CloudTrail은 CloudTrail 이벤트의 특정 필드에 적용된 기존 잘라내기 논리에 따라 이 제한이 충족되는지 확인합니다. 확장된 이벤트 크기를 통해 잘림 없이 더 완전한 이벤트 세부 정보를 캡처할 수 있습니다.
AWS CloudTrail Insights
모두 열기
AWS CloudTrail Insights는 사용자가 CloudTrail 관리 및 데이터 이벤트를 지속적으로 분석하여 비정상적인 API 활동을 식별하고 이에 대응할 수 있도록 지원합니다. CloudTrail Insights는 일반적인 API 직접 호출과 오류율의 기준을 설정하여 활동이 일반적인 패턴을 벗어날 때 인사이트 이벤트를 생성합니다. CloudTrail Insights를 추적에 활성화하여 관리 이벤트와 데이터 이벤트 모두에 대해 비정상적인 동작과 특이 활동을 탐지할 수 있으며, 이벤트 데이터 스토어에서는 관리 이벤트에 대해 CloudTrai Insights를 활성화할 수 있습니다.