目次
CloudTrailの管理イベントとデータイベントの違い
| 項目 | 管理イベント | データイベント |
|---|---|---|
| 別名 | コントロールプレーン操作 | データプレーン操作 |
| 主な対象 | AWSリソースの作成、削除、設定変更、参照 | リソース内のデータの読込み、書込み、削除、実行 |
| 例 | EC2の起動・停止、SG変更、IAMロール作成、S3バケットポリシー変更 | S3オブジェクト取得・保存・削除、Lambda関数実行 |
| 標準設定 | 原則として記録される | 標準では記録されない |
| CloudTrailのイベント履歴 | 過去90日分を確認可能 | イベント履歴には表示されない |
| イベント量 | 比較的少ない | 大量になりやすい |
| 料金 | 証跡への最初の管理イベントのコピーは基本的に無料 | 追加料金が発生 |
管理イベント：AWSリソースの設定・作成・削除を記録する
データイベント：AWSリソースの中にある実データへの操作を記録する
管理イベントとは
管理イベントは、AWS環境そのものを操作した記録です。
| AWSサービス | 管理イベントの例 | 意味 |
|---|---|---|
| EC2 | RunInstances | EC2を作成・起動した |
| EC2 | TerminateInstances | EC2を終了した |
| EC2 | DescribeInstances | EC2の情報を参照した |
| EC2 | AuthorizeSecurityGroupIngress | SGのインバウンドルールを追加した |
| IAM | AttachRolePolicy | IAMロールにポリシーを付けた |
| VPC | CreateSubnet | サブネットを作成した |
| CloudTrail | CreateTrail | 証跡を作成した |
| S3 | CreateBucket | バケット作成 |
| S3 | DeleteBucket | バケット削除 |
| S3 | PutBucketPolicy | バケットポリシーを変更した |
| サインイン | ConsoleLogin | AWSマネジメントコンソールにログインした |
データイベントとは
データイベントは、AWSリソースを利用して実際のデータを操作した記録です。
| AWSサービス | データイベントの例 | 意味 |
|---|---|---|
| S3 | GetObject | ファイルを取得した |
| S3 | PutObject | ファイルを保存した |
| S3 | DeleteObject | ファイルを削除した |
| S3 | HeadObject | ファイルの存在やメタデータを確認した |
| Lambda | Invoke | Lambda関数を実行した |
| SNS | Publish | SNSトピックにメッセージを発行した |
すべてのリソースで有効にするとイベント量と料金が増えるため、重要なデータを扱うリソースに絞って設定します。例えば、次のようなS3バケットです。
・業務データや個人情報を保存するバケット
・外部とのファイル授受に使用するバケット
・不正なダウンロードや削除を検知したいバケット
・監査上、誰がファイルを読んだか確認する必要があるバケット
一方、CloudTrailログ保存用バケットやAthena結果保存用バケットなどについては、監査要件やリスクを踏まえて必要性を判断します。
関連の記事