הסבר על CloudTrail
חלק 1
Event History.delete route table, terminate instance, detach gateway ו-delete vpc, עם המשתמש admin, וגם console login.פרקי ההרצאה: הסבר על CloudTrail חלק 1
תמלול ההרצאה: הסבר על CloudTrail חלק 1
הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על CloudTrail חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
אם אתם זוכרים, דיברנו על זה שיש רשימה של המלצות ופעולות שאתם יכולים לעשות כדי להגן על החשבון שלכם.
אז התחלנו בכמה חשוב זה שה-Root User, אותו אימייל שאיתו נרשמתם כדי ליצור חשבון, יהיה מוגדר עם MFA. ראינו סרטון כזה בעבר. דיברנו על הגדרה של הפעלה של GuardDuty, אותה מערכת שנקראת IDS. ראינו איך מפעילים אותה בחשבון יחיד, ואיך מפעילים GuardDuty בצורה כזו שאני יכול לראות מחשבון הסקיוריטי
ולנהל גאר דיוטיז בכל החשבונות שלי בארגון. עכשיו נדבר על קלאוט רייל. קלאוט רייל יודע לרשום את כל הפעולות שקרו אצלכם בחשבון את כל הפעולות שנעשו אצלכם בחשבון בין אם זה דרך הקונסול ובין אם זה מקומנד ליין ובין אם זה באמצעות sdk api וכשאנחנו אומרים פעולות הכוונה כל הפעולות כגון יצירה של מכונה מחיקה של מכונה
הגדירה של security group, הגדרה של ALB, מחיקה של ALB, הגדרה של S3 bucket, מחיקה של S3 bucket, הגדרה של VPC, הגדרה של סאבנט.
כל הפעולות שאתם עושים בחשבון נרשמות ללוג. הלוג הזה נקרא CloudTrail. כשמו כן הוא, הוא נועד לכל מה שקשור לעבודת פרנזיק. כשאתם רוצים לדעת מה קרה, למה משהו נמחק, מי מחק אותו, מתי מחק אותו, למה משהו התקלקל, בואו נראה בלוג מי נכנס אחרון לקונסול, מה הם עשו בקונסול, ביום הזה והזה, בשעה הזו והזו, כי אז גילינו שיש לנו בעיה.
יש לנו את המנגנון שנקרא CloudRail, ומה שמגניב זה ש-CloudRail הוא כבר enabled בחשבון שלנו בצורה של default, בצורה של ברירת מחדל.
בואו ניכנס רגע לחשבון הפרודקשן שלנו, ובחשבון הפרודקשן שלנו עכשיו אני אגש ל-CloudRail, ואין לכם צורך עדיין ללחוץ כאן על, אני יודע שיש לכם את הדחף הזה ללחוץ על הכתום פה, תהיה איתם משהו, לא צריך ללחוץ כלום.
תסתכלו בבקשה מצד שמאל כאן, תלחצו על דאשבורד. אין לכם פה שום טרייל, אבל בפועל ישנו טרייל שמוגדר אוטומטית, ואתם יכולים פשוט לגשת אליו על ידי קליק על Event History, ופה אתם יכולים לראות את כל הכניסות האחרונות לחשבון ואת כל המעשים האחרונים בחשבון,
את כל הדברים שקרו בחשבון. מה שחשוב להבין זה שאם אני אחפש את היוזר למשל admin, זה היוזר שאיתו אני עובד, אפשר לראות שהיוזר אדמין שלי כבר היה בשימוש בדקות האחרונות, ביום האחרון.
עשיתי כל מיני פעולות פה בחשבון לפני כמה שניות. על איזה בדיוק ריסורס עבדתי? פה הכל כתוב. מה עשיתי, באיזה שעה עשיתי, איך נכנסתי וכו' וכו' וכו'. כל הפעולות שאני עשיתי יהיו כתובות כאן בתוך מי היוזר שעשה, מה בדיוק הוא עשה וכן הלאה וכן הלאה. אז מה שחשוב להבין ש-Cloudrail זה לוג שנרשם ומספר לי את כל מה שעשיתי מספר לי את כל מה שנעשה
בחשבון הזה בזמן האחרון וכשאנחנו אומרים בזמן האחרון אנחנו מתכוונים לעד 90 יום כברירת מחדל ה-Cloud trail רושם את כל מה שקרה בחשבון בין אם זה נעשה מהקונסול ב-API ב-Command Line מי עשה מה עשה מתי עשה באיזה ריסורס נגענו מה עשינו לאותו ריסורס מחקנו יצרנו שינינו וכן הלאה וכן הלאה ואני יכול תמיד לחזור פה
ולהסתכל בהיסטורי ולראות מי עשה מה מתי, ולדעת עם מה בדיוק הוא התעסק, אותו בן אדם, עם איזה מוצר הוא התעסק, מה בדיוק הוא הגדיר שם, מה בדיוק הוא עשה בקונסול או בחשבון בעצם.
אתם יכולים להוריד את כל הפעילות הזאת, אתם יכולים לעשות דאונלוד של האבנטים לאיזשהו כובד CSV, כדי אחרי זה לפתוח את זה באמצעות אקסל ספרדשיט ולראות את כל הפעולות שנעשו, או שאתם יכולים פשוט לעקוב אחרי זה בצורה כזאתי ולראות על איזה אבנט מדובר, מה
בדיוק אותו יוזר עשה. אפשר לחפש פה גם לפי איזשהו ריסורס מסוים, ריסורס טייפ, יוזרנם, אבנט איי-די וכן הלאה וכן הלאה. מה שחשוב להבין זה, חשוב להבין שהוא עד 90 יום אחורה.
ואז נשאלת השאלה, מה אם אני רוצה לשמור מידע הרבה יותר מ-90 יום, אני רוצה לדעת מה מישהו עשה לפני שנה, לפני שנתיים, אז אתם צריכים לגשת וליצור טרייל ידני.
במקרה הזה, אם אתם מעוניינים לשמור מידע תקופה ארוכה יותר, אחורה בזמן, אתם תצטרכו ליצור כאן טרייל חדש.
וכשאתם יוצרים טרייל חדש, מה שיקרה זה, זה שהמידע, הטרייל, הלוגים האלה, זה JSON file, הם יישמרו בתוך איזשהו bucket, S3 bucket.
אז Cloud Trail זה מנגנון שרושם את כל המעשים שקרו בחשבון שלכם, מי עשה, מתי עשה, באיזה ריסורס נעשו הדברים. מדובר על כל event שלא יהיה שהתרחש בחשבון שלכם.
אז event history, הסתכלנו, ראינו לפי user name לצורך העניין, או אפשר אפילו לפי איזשהו source, תגיד לי, תביא לי בבקשה משהו מהGuard duty, כי עשינו פעולות פה על הGuard duty לפני כמה דקות, או פעולות שעשינו בנושא של EC2 או של VPC.
אפשר לראות שעשיתי פה כל מיני פעולות של Guard duty ממש לפני מספר דקות. מה שחשוב לי לציין לגבי CloudTrail זה שזה רק 90 יום וזה מופעל כברירת מחדל וברוב המקרים אתם תרצו לייצר טרייל חדש ולשמור את המידע בתוך באקט לתקופה ארוכה יותר.
אנחנו נראה כמובן איך עושים את זה בסרטון נוסף שגם כולל איך אני יכול לשלוח CloudTrail מכמה חשבונות לבאקט אחד שנמצא בחשבון הלוג הארכאי.
עכשיו בואו ננסה לראות באמת הלכה למעשה איך הדבר הזה עובד. בואו ניגש ברשותכם ל-VPC, ועכשיו אני החלטתי שאני רוצה אולי למחוק איזשהו VPC שיש לי. בואו ניגש פה ל-Route Table, נמחק את ה-Route Table.
אני בכוונה עושה כל מיני פעולות כדי שעוד רגע נוכל לראות את זה ב-Cloudrail שרושם את כל מה שעשיתי עכשיו. בקיצור, אני עכשיו סתם מוחק מלא דברים שבאמת אני לא צריך, את ה-VPC למשל, Elastic IP אם יש לי, אני פשוט מוחק את הכל והפעולות האלה זה פעולות
שאני בכוונה עושה ועכשיו בוא ניגש ונגיד שאין לכם מושג מי עשה את זה בארגון ומתי עשו את זה יש עכשיו איזושהי בעיה אתם ניגשים לקלאוט רייל ובקלאוט רייל אנחנו נגלה בדיוק מה התרחש בדקות