CloudTrail

Question 1

Цель сервиса CloudTrail - это …

Answer 1

Сервис для отслеживания event’ов и API запросов (Console, SDK, CLI, Services).

Question 2

CloudTrail по-умолчанию …

Answer 2

включен для всех регионов

Question 3

• Trace - понятие из ….
• Trail - понятие из ….

Answer 3

• AWS X-Ray
• AWS CloudTrail

Question 4

CloudTrail event’ы бывают … типов: …

Answer 4

трёх
- Management Events
- Data Events
- Insights Events

Question 5

CloudTrail Management Events - это операции …, например …
По-умолчанию CloudTrail … эти event’ы

Answer 5

выполняемые с ресурсами AWS, например
- IAM AttachRolePolicy
- EC2 CreateSubnet
логирует (включен для них)

Question 6

В CloudTrail event’ы можно делить на … и … (более опасные для инфраструктуры)

Answer 6

read-events (IAM:ListUsers), werite-event (DeleteTable)

Question 7

CloudTrail Data Events - это операции …, например …
По-умолчанию CloudTrail … эти event’ы

Answer 7

выполняемые с ресурсами AWS особенно интенсивно (часто), например
- S3 object-level activity (GetObject, DeleteObject, PutObject)
- Lambda execution (Invoke)

НЕ логирует (НЕ включен для них)

Question 8

CloudTrail Insights Events - это операции …, например …

Answer 8

события CloudTrail генерирует, когда во время анализа Management Event’ов, распознаёт (догадывается “insight”) о подозрительном поведении.
Чтобы понять, какие из действий странные, а какие - обычные.

• hit service limit (кто-то достиг лимита операций)
• burst of IAM actions (”взрыв”, аномально много действий)
• gaps in maintainance (пробелы в периодах использования)

Question 9

CloudTrail Events Retention составляет …. Чтобы хранить их дольше, можно … и читать через …

Answer 9

90 дней, логировать их в S3, Athena SQL

Question 10

CloudTrail может слать свои события в … для реагирования и в … для длительного хранения

Answer 10

CloudWatch EventsBridge, S3

Question 11

Задача: слать SNS нотификацию, когда кто-то выполняет определённый API вызов. Например, удаляет DynamoDB таблицу.

Какие сервисы использовать? Как называется такая архитектура?

Answer 11

DynamoDB => CloudTrail (ведь по-умолчанию CloudTrail логирует все события с ресурсами)
CloudTrail => event => EventBridge (в бывший “CloudWatch Events”)
EventBridge => rule => SNS (в руле указан alert destination SNS)

называется “API call interceptor”