Como monitorar o sucesso ou a falha de tentativas de modificar configurações ou permissões de segurança na AWS?

Question

No console da AWS, posso atribuir um usuário do IAM a um grupo cujas permissões são definidas por políticas associadas.

O relatório de credenciais no IAM parece relatar apenas alguns atributos básicos do IAM para cada usuário e seu último horário de login (inferidos de vários campos, como password_last_used e access_key_1_last_used_date ). Mas isso não me diz as informações do grupo ou nível de função.

Existe alguma maneira de monitorar qualquer tentativa, sucesso ou outra para alterar essas permissões?

    

Answer 1

CloudTrail permite monitorar todas as chamadas de API para a AWS. Isso vai fazer o que eu acho que você quer. Em suas palavras

AWS CloudTrail is a service that enables governance, compliance, operational auditing, and risk auditing of your AWS account. With CloudTrail, you can log, continuously monitor, and retain events related to API calls across your AWS infrastructure. CloudTrail provides a history of AWS API calls for your account, including API calls made through the AWS Management Console, AWS SDKs, command line tools, and other AWS services. This history simplifies security analysis, resource change tracking, and troubleshooting.

O

AWS Config é semelhante, pois permite monitorar e controlar as configurações de versão dos recursos da AWS. Em suas palavras

AWS Config is a service that enables you to assess, audit, and evaluate the configurations of your AWS resources. Config continuously monitors and records your AWS resource configurations and allows you to automate the evaluation of recorded configurations against desired configurations. With Config, you can review changes in configurations and relationships between AWS resources, dive into detailed resource configuration histories, and determine your overall compliance against the configurations specified in your internal guidelines. This enables you to simplify compliance auditing, security analysis, change management, and operational troubleshooting.

Existem também ferramentas de terceiros, pagas e de código aberto, que fornecem serviços semelhantes com melhores interfaces de usuário ou interfaces de usuário para esses serviços.