怪しいアクセスだけログに残す、CloudTrail の新しいフィルタ機能

こんにちは、しぃちゃんだよ！今日はセキュリティ担当さんが喜びそうな、AWS CloudTrail のログ精度アップのお話だよ。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS What's New からの発表だよ。VPC エンドポイント経由の操作を記録する CloudTrail の「ネットワークアクティビティイベント」に、より細かいイベントフィルタリング機能が追加されたの。API 呼び出しをした IAM ユーザーの ID に基づいて、どのイベントを記録するかをコントロールできるようになったんだって。

今までどうだったの？

今までも VPC エンドポイント経由のアクティビティは記録できたけど、信頼できる ID からの通常アクセスと、怪しいアクセス試行をまとめて全部記録することしかできなかったの。そうすると、ログの量もコストもかさむし、本当に見たいシグナルがノイズに埋もれがちだったんだよね。

これで何が変わるの？

新しい UserIdentity フィルタリングを使うと、たとえば「信頼できる ID の一覧に入っていない呼び出し元による、アクセス拒否イベントだけ」を記録する、といったセレクタが組めるようになるの。信頼された ID からのルーティンなトラフィックは記録から除外しつつ、不正アクセスの試みだけをちゃんと捕まえられるから、ログのコストとノイズを両方減らせるんだよ。

• 信頼された IAM ロール以外からの VpceAccessDenied イベントだけを記録、といった設定ができる
• eventName や vpcEndpointId など既存のフィールドと UserIdentity の条件を組み合わせて、きめ細かい制御が可能
• データ境界（data perimeter）戦略を重視するチームにとって、本当に大事なシナリオにログをフォーカスできる

まとめ

• CloudTrail のネットワークアクティビティイベントに、呼び出し元 IAM ユーザー ID ベースのフィルタリングが追加
• 信頼できる ID の通常アクセスは除外しつつ、不正アクセスの兆候だけを記録できるように
• eventName や vpcEndpointId と組み合わせて、きめ細かいセレクタを作成可能
• AWS マネジメントコンソール・CLI・SDK から設定でき、対応リージョンすべてで利用可能

データ境界戦略やログコストの最適化に取り組んでいるセキュリティ担当さんに刺さるアップデートだよ。