İçeriğe geç
Cloud Provider Benchmarks

Bulut güvenliği ve denetim

Bulut aktivite izleme: denetim kayıtları, alarmlar ve metrikler nasıl bir araya gelir

Bulut denetim kaydı, aktivite izleme ve performans izleme arasındaki fark ve sağlayıcılar genelinde denetim olayları üzerine alarm kurmanın yolu.

Yayımlandı: Güncellendi: Read in English

Kısa yanıt

Aktivite izleme denetim kayıtları üzerine kurulur: sağlayıcı her yönetim işlemini kaydeder, bir izleme katmanı da bu olayları filtreler, riskli eylemlerde alarm üretir ve incelemeyi destekler. CloudTrail veya vTrail gibi denetim kaydı servisleri izleme sisteminin kendisi değil, olay kaynağıdır.

Yönetici özeti

Bulut aktivite izleme, kimliklerin bir bulut hesabında ne yaptığını — kaynak oluşturma, değiştirme veya silme — izlemek ve riskli eylemlere tepki vermek anlamına gelir. Veri kaynağı denetim kayıtlarıdır; alarm, korelasyon ve inceleme bunların üzerinde yer alır. CPU veya gecikme gibi metrikleri takip eden performans izlemeden farklıdır. Bu makale katmanları, tipik tespitleri ve AWS CloudTrail, PortvMind'ın vTrail servisi, Google Cloud Audit Logs ve Azure Activity Log'un temel olayları nasıl sağladığını açıklar.

Temel bulgular

  1. 01 Denetim kaydı olayları kaydeder; aktivite izleme onları değerlendirir; performans izleme kaynak metriklerini ölçer. Bunlar ayrı araçlara sahip ayrı katmanlardır.
  2. 02 Yüksek değerli tespitler az sayıda ve iyi bilinir: root veya yönetici oturum açmaları, IAM politika değişiklikleri, denetim kaydı yapılandırma değişiklikleri, güvenlik grubu açılışları ve toplu silmeler.
  3. 03 Olay odaklı yönlendirme (EventBridge, Pub/Sub sink'leri, Event Hubs), tespitlerin toplu işlem yerine neredeyse gerçek zamanlı çalışmasını sağlar.
  4. 04 Bir denetim servisinin aktarım seçenekleri belgelenmemişse izleme, sağlayıcının kendi arayüzüne veya gelecekteki entegrasyonlara bağlı kalır.

Sıklıkla karıştırılan üç katman

Katman Yanıtladığı soru Tipik veri Örnekler
Denetim kaydı Kim, neyi, ne zaman, hangi sonuçla yaptı? Kimlikle ilişkilendirilmiş API olayları CloudTrail, Cloud Audit Logs, Activity Log, vTrail
Aktivite izleme Şu anda riskli bir şey oluyor mu? Filtrelenmiş denetim olayları, kurallar, alarmlar EventBridge kuralları, log tabanlı alarmlar, SIEM tespitleri
Performans izleme Sistem sağlıklı ve hızlı mı? Metrikler, izler (trace), uygulama logları CloudWatch metrikleri, Cloud Monitoring, Prometheus

Denetim kaydı temeldir: yönetim aktivitesinin eksiksiz ve güvenilir bir kaydı olmadan izlenecek güvenilir hiçbir şey yoktur.

Olay kaynaklarının sağladıkları

Bulut denetim kaydı servislerinin belgelenmiş özellikleri
Özellik vTrail PortvMind Cloud AWS CloudTrail Amazon Web Services Azure Monitor Activity Log Microsoft Azure Cloud Audit Logs Google Cloud
Kontrol düzlemi denetim kapsamı API veya konsol üzerinden yapılan yönetim işlemlerini (oluşturma, değiştirme, silme) kaydeder. Var Bulut yönetim API işlemleri. Var Yönetim olayları varsayılan olarak kaydedilir. Var Azure Resource Manager yazma/silme/eylem işlemleri. Var Admin Activity logları her zaman etkin.
Kimlik ilişkilendirme Her işlemin arkasındaki kimliği doğrulanmış kullanıcıyı, projeyi/hesabı ve kapsamı belirtir. Var Kullanıcı kimliği, kullanıcı adı, proje kimliği ve yetki kapsamı. Var userIdentity bloğu (principal, hesap, oturum). Var Çağıran ve claim bilgileri. Var authenticationInfo.principalEmail.
İstek meta verisi İstek kimliği, HTTP metodu, yol, durum kodu, kaynak IP ve user agent bilgisini yakalar. Var İstek kimliği, HTTP metodu, yol, durum, istemci IP, user agent, istek süresi. Var eventTime, requestID, sourceIPAddress, userAgent, errorCode. Kısmi Korelasyon kimliği, işlem, durum ve mevcutsa HTTP istek ayrıntılarında çağıran IP. Var requestMetadata.callerIp ve callerSuppliedUserAgent; durum.
Veri düzlemi (veri erişimi) olayları Veri düzeyindeki okuma ve yazmaların (ör. nesne okuma) isteğe bağlı kaydı. Doğrulanmadı Var Veri olayları (ör. S3 nesne düzeyi) isteğe bağlıdır ve ücretlidir. Kısmi Activity Log'un kendisi değil, kaynak logları ve tanılama ayarlarıyla. Var Data Access logları, çoğunlukla varsayılan olarak kapalı.
Olay arama ve filtreleme Kullanıcı, zaman aralığı, kaynak veya işleme göre konsol ya da API üzerinden arama. Doğrulanmadı Var Olay geçmişi araması; CloudTrail Lake'te SQL sorguları. Var Portal filtreleme ve Log Analytics (KQL). Var Logs Explorer ve Log Analytics.
Yapılandırılabilir saklama süresi Belgelenmiş varsayılan saklama süresi ve uzatma seçenekleri. Doğrulanmadı Var 90 günlük olay geçmişi; S3 trail veya CloudTrail Lake ile daha uzun saklama. Var Platformda 90 gün; Log Analytics veya Storage ile daha uzun. Var Admin Activity _Required bucket'ında 400 gün; diğer bucket'lar yapılandırılabilir.
Dışa aktarma ve akış Nesne depolama, log analitiği veya SIEM hatlarına aktarım. Doğrulanmadı Var S3, CloudWatch Logs, EventBridge. Var Tanılama ayarlarıyla Log Analytics, Storage ve Event Hubs. Var Cloud Storage, BigQuery ve Pub/Sub'a sink.
Kayıt bütünlüğü doğrulama Değiştirilmeyi tespit eden kriptografik veya değiştirilemezlik kontrolleri. Doğrulanmadı Var Digest dosyalarıyla log bütünlüğü doğrulama. Kısmi Aktarım hedefinde değiştirilemez depolama politikaları. Kısmi Kilitli log bucket'ları saklama değişikliğini engeller.
Fiyatlandırma modeli Temel denetim geçmişinin dahil olup olmadığı ve gelişmiş özelliklerin nasıl ücretlendirildiği. Doğrulanmadı Var Olay geçmişi ve yönetim olaylarının bir kopyası ücretsiz; veri olayları ve Lake ücretli. Var 90 günlük Activity Log dahil; Log Analytics alımı ücretlidir. Var Admin Activity ücretsiz; Data Access alımı ücretsiz kotanın üzerinde ücretli.
Bilgi kaynağı Sağlayıcı ekibince sağlandı Resmî dokümantasyon Resmî dokümantasyon Resmî dokümantasyon

İzleme için en önemli satırlar arama, aktarım ve istek meta verisi satırlarıdır: bir kural motoruna yönlendirilemeyen bir olay ancak sonradan incelenebilir.

Önce kurulmaya değer tespitler

  1. Denetim yapılandırması değişiklikleri — bir trail’i, sink’i veya tanılama ayarını durdurmak, silmek veya değiştirmek.
  2. Kimlik ve erişim değişiklikleri — yeni yönetici kullanıcılar, politika eklemeleri, ayrıcalıklı kimlikler için oluşturulan erişim anahtarları.
  3. Ayrıcalıklı oturum açma — root veya acil durum (break-glass) hesaplarının kullanımı.
  4. Ağ maruziyeti — yönetim portlarını 0.0.0.0/0 adresine açan güvenlik grubu veya güvenlik duvarı kuralları.
  5. Yıkıcı patlamalar — tek bir kimlikten kısa bir zaman aralığında çok sayıda silme işlemi.
  6. Olağandışı köken — yeni ülkelerden, ASN’lerden veya user agent’lardan gelen başarılı API çağrıları.

Bunların her biri, burada karşılaştırılan her denetim biçiminde bulunan alanlara eşlenir: kimlik, işlem, hedef, kaynak IP ve sonuç.

Olayları kurallara yönlendirmek

  • AWS: CloudTrail yönetim olaylarını EventBridge’e iletir; burada kurallar olay kalıplarını eşleştirir ve bildirimleri veya otomatik yanıtları tetikler.
  • Google Cloud: log sink’leri denetim kayıtlarını Pub/Sub’a yönlendirir; Cloud Monitoring’deki log tabanlı metrikler ve alarm politikaları bunları değerlendirir.
  • Azure: activity log alarmları belirli işlemlerde tetiklenir; tanılama ayarları olayları harici SIEM’ler için Event Hubs’a aktarır.
  • PortvMind: vTrail, PortvMind Cloud üzerindeki yönetim aktivitesini kaydeder. Olaylara nasıl erişildiği ve harici kural motorlarına aktarılıp aktarılamayacağı henüz kamuya açık olarak belgelenmemiştir.

İnceleme için saklama

İzleme olayları gerçekleştikleri anda yakalar; inceleme ise geçmişe ihtiyaç duyar. NIST SP 800-92 politika ve mevzuata göre belirlenen saklama süreleri önerir ve birçok çerçeve bir yıl veya daha fazlasını gerektirir. Varsayılan saklama CloudTrail olay geçmişi ve Azure Activity Log için 90 gün, Google Admin Activity kayıtları için 400 gündür; bu nedenle genellikle uzun süreli depolamaya aktarım gerekir.

Metodoloji ve sınırlamalar

Yetenekler, bulut denetimi metodolojisi kullanılarak dokümantasyondan değerlendirilir. Tespit önerileri geneldir ve herhangi bir sağlayıcının güvenlik araçlarına özgü değildir. vTrail bilgisi sağlayıcı tarafından sağlanmıştır.

Sonuç

Denetim kayıtlarını doğruluk kaynağı, aktivite izlemeyi ise onları izleyen katman olarak ele alın. Denetim servisi olayları kural motorunuza açan sağlayıcıları seçin, yüksek sinyalli kısa bir tespit listesiyle başlayın ve alarmların ortaya çıkardıklarını inceleyebilecek kadar uzun süre geçmiş tutun.

Sık sorulan sorular

CloudTrail bir izleme aracı mı?

CloudTrail bir denetim kaydı servisidir. Olayları, onları değerlendirip alarm üreten CloudWatch, EventBridge veya bir SIEM'e yönlendirildiğinde aktivite izlemenin parçası olur.

İlk olarak hangi olaylar için alarm kurmalıyım?

Kimlik ve erişim politikalarındaki değişiklikler, denetim kaydını devre dışı bırakan veya değiştiren değişiklikler, yüksek ayrıcalıklı hesapların kullanımı, internete açılan ağ kuralları ve olağandışı toplu silmeler.

vTrail alarm sağlıyor mu?

vTrail bir denetim kaydı servisi olarak belgelenmiştir. Alarm ve aktarım entegrasyonları kamuya açık olarak belgelenmemiştir ve burada iddia edilmemektedir.

Kaynaklar

  1. [1] AWS CloudTrail User Guide — AWS Resmî dokümantasyon erişim:
  2. [2] Cloud Audit Logs overview — Google Cloud Resmî dokümantasyon erişim:
  3. [3] Azure Monitor activity log — Microsoft Resmî dokümantasyon erişim:
  4. [4] NIST SP 800-92: Guide to Computer Security Log Management — NIST Resmî dokümantasyon erişim:
  5. [5] CIS Critical Security Controls — Audit Log Management — Center for Internet Security İkincil kaynak erişim:
  6. [6] PortvMind Cloud — PortvMind Sağlayıcı ekibince sağlandı erişim: