PracticU

הסבר על CloudTrail
חלק 3

בלי כתוביותעם כתוביות
PracticU › קורס ארכיטקט ענן של אמזון - AWS Architect › הסבר על CloudTrail חלק 3
מילון מושגים:
לוג - רישום מתועד של אירועים ופעולות שמתרחשים במערכת או בתוכנה, המשמש למעקב ולאיתור תקלות.
הרשאה - קביעה אילו פעולות ומשאבים מותרים למשתמש או לתהליך לאחר שזהותו אומתה. שולטת במי רשאי לעשות מה.
תיקייה - מכל במערכת הקבצים שמשמש לארגון קבצים ותיקיות אחרות בתוך מבנה היררכי.
S3 - שירות אחסון אובייקטים של AWS לשמירת קבצים ונתונים בענן בכמות גדולה ובזמינות גבוהה.
JSON - פורמט טקסט קריא לייצוג נתונים מובְנים כזוגות מפתח-ערך, נפוץ להחלפת מידע בין שרת ללקוח.
הסבר על CloudTrail חלק 3
בארגון עם כמה חשבונות אפשר לשלוח את כל לוגי ה-CloudTrail לבאקט אחד בחשבון ה-log archiving, שנוצר בתחילת הקורס ושרק עכשיו משתמשים בו לראשונה. כך הלוגים נשמרים מחוץ לחשבונות שנבדקים, ולכן אי אפשר למחוק אותם מתוכם.
הרעיון
המרצה משווה את זה למפתח כספת שלא שומרים באותו חדר: מי שנכנס לחשבון ויש לו הרשאות, או פורץ, יכול למחוק bucket מקומי. ב-bucket בחשבון נפרד, שיש גישה רק לאדם אחד, יש תיקייה לכל חשבון עם הלוגים שלו. זו הפרדה (segregation, isolation) ורמת האבטחה הגבוהה ביותר. לפי המרצה כל חברה שלוקחת סקיוריטי ברצינות עושה זאת, והעלות לא גבוהה יותר כי יוצרים bucket אחד במקום 10 או 30.
השלבים העיקריים
1. bucket בחשבון log archiving: ב-S3 יוצרים bucket עם ברירות מחדל. שם לדוגמה: מספר חשבון ואחריו log cloudtrail log, באותיות קטנות. את השם מעתיקים.
2. bucket policy: ב-Permissions ואז Edit policy מדביקים קובץ policy מוכן שאפשר למצוא באונליין. מחליפים בו את שם ה-bucket, ומכניסים את ה-ID של כל החשבונות שישלחו לוגים, כולל חשבון ה-log archiving עצמו. בדוגמה יש 4 או 5 חשבונות.
3. trail בכל חשבון: נכנסים לכל חשבון (production, management ועוד). ב-production עוצרים (Stop) את ה-trail המקומי מההרצאה הקודמת, ויוצרים trail חדש עם Use existing S3 bucket ושם ה-bucket שהועתק. אין צורך ב-KMS, ובוחרים management events (data ו-insights עולים יותר אבל נותנים מידע רב יותר).
4. בדיקה: בחשבון log archiving נוצרת תיקייה לכל חשבון, ובה מצטברים קבצי JSON.
5. המלצה: להוסיף מדיניות שאף אחד לא יכול למחוק את ה-bucket הזה, ולהקצות גישה רק לאדם ספציפי, למשל אנשי אבטחת מידע.
אחרי הסרטון אפשר להגדיר CloudTrail במבנה multi-account עם הלוגים בחשבון מבודד.
השיעור הבא בקורס: הסבר על AWS Trusted Advisor

פרקי ההרצאה: הסבר על CloudTrail חלק 3

  1. 00:00

    ריכוז לוגים מכל החשבונות

  2. 00:40

    שימוש בחשבון ה-Log Archiving

  3. 01:16

    למה לבודד את הלוגים

  4. 01:55

    באקט בחשבון מבודד

  5. 02:48

    שלבי ההקמה של הבאקט והטרייל

תמלול ההרצאה: הסבר על CloudTrail חלק 3

הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על CloudTrail חלק 3» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    מה שראינו עד עכשיו, ראינו איך ה-CloudTrail מופעל כברירת מחדל ואז ראינו איך אנחנו יכולים לגרום לכך שה-CloudTrail לוגס בכל חשבון יישלחו ל-bucket וזה בכדי שנוכל לשמור את הלוגים לתקופה מעבר ל-90 יום וגם נוכל להחזיק את הלוגים אצלנו באיזשהו S3 bucket.

  2. 00:22

    בתצורה של מולטי אקאונט, בתצורה שיש לנו מספר חשבונות, יש אפשרות לקחת את זה צעד אחד קדימה מבחינת אבטחת מידע ולגרום לכך שכל ה-CloudTray לוגס מכל החשבונות יישלחו לבאקט אחד שנמצא בחשבון מיוחד, אותו חשבון לוג ארכייבינג שיצרנו כשיצרנו את ה-Core אקאונט כשהתחלנו את הקורס, בנינו מספר חשבונות,

  3. 00:47

    בנינו חשבון סקיוריטי ובנינו גם חשבון לוג ארכייבינג, ככה קראנו לו. אז הנה עכשיו הגיע הזמן שאנחנו הולכים לעשות שימוש באותו AWS אקאונט, באותו חשבון לוג ארכייבינג, שם אנחנו הולכים ליצור bucket, איזשהו s3 bucket, ואנחנו הולכים ליצור cloud trail, אנחנו הולכים לייצר trail,

  4. 01:07

    אבל הפעם אנחנו לא נבקש לשמור את הלוגים בחשבון המקומי, אלא נבקש לשלוח את הלוגים לאותו חשבון מיוחד.

  5. 01:16

    ושוב פעם, הסיבה שאנחנו עושים את זה, אנחנו רוצים להרים עוד יותר את האבטחה של הארגון שלנו, ובמקום שהלוגים יהיו בכל חשבון, מי ירצה שהלוגים עכשיו יהיו בחשבון מיוחד.

  6. 01:29

    תחשבו על זה, אתם לא רוצים לשמור את המפתח של הכספת, אם יש לכם כספת, אתם לא רוצים לשמור את המפתח של הכספת באותו חדר, כי אם מישהו כבר נכנס לחדר, אנחנו לא רוצים שייקח את המפתח.

  7. 01:42

    אותו דבר גם עם החשבון שלנו. אם מישהו עשה פה טעות ויש לו הרשאות בחשבון, או שזה פורץ שפרץ לחשבון, אם יש לו הרשאות, מה מפריע לאותו פורץ למחוק את הבאקט המקומי, אז לא נוכל לעשות פרנזיק, לא נוכל להסתכל אחורה בזמן ולראות מי נכנס, מתי נכנס, מה עשו.

  8. 02:01

    מה אנחנו רוצים לעשות? אנחנו רוצים ליצור באקט בחשבון נפרד לחלוטין שלאף אחד אין גישה אליו, בטח לא למפתחים כאן וכו' וכו', אולי לאדמיניסטרטור הראשי, לארכיטקט של AWS. אנחנו ניתן גישה רק לבן אדם אחד לחשבון הזה, היכן שכל הלוגים של כל ה-Cloudrail יישלחו.

  9. 02:23

    בתוך הפאקט הזה יהיה לנו תיקייה לכל חשבון, ובכל תיקייה יהיה לנו את הלוגים של אותו CloudTrail של אותו חשבון. בצורה הזאת אנחנו עושים בעצם סגרגציה, אנחנו עושים isolation, אנחנו מוודאים שהלוגים יושבים בחשבון נפרד לגמרי.

  10. 02:40

    זו הרמה הגבוהה ביותר של אבטחה שאתם יכולים לחשוב עליה, ובעצם שוב פעם, זה מסוג הדברים שאתם לוקחים בחשבון כל מיני סנאריואים, ודואגים להישמר מפני אחד מאותם סנאריואים קשים, שבהם מישהו כאן ימחק לנו את הלוגים ולא נוכל לדעת מה קרה ומתי קרה.

  11. 02:58

    אז אלה השלבים, אנחנו ניצור bucket בחשבון ה-cloud, בחשבון ה-log-archiving, נשים עליו policy, ואז ניגש לכל חשבון ונפעיל trail חדש, הפעם נבקש לשלוח את הלוגים ל-bucket הראשי הזה, כך שכל חשבון יהיה לו כאן תיקייה בתוך ה-bucket עם הלוגים שלו. אז בואו ניגש ונתחיל לעשות

  12. 03:16

    את זה. יש לנו כמה חשבונות, אני ברשותכם אגש ל-log-archiving-account s3,

לקורס המלא: קורס ארכיטקט ענן של אמזון

ההרצאה הקודמת: הסבר על CloudTrail - חלק 2

ההרצאה הבאה: הסבר על AWS Trusted Advisor

קורסים נוספים במסלול

  • קורס AWS - ניהול מכונה וירטואלית בענן