2023.04.06

AWS アカウントの簡易的な監査ログ分析の手段は CloudTrail Lake と「Cloud Trail 証跡 + Athena」のどちらがいいか

記事の目次をとじる

今回は、AWS アカウントの簡易的な監査ログの扱いについて紹介します。

AWS アカウントの簡易的な監査ログ分析の手段には、 CloudTrail を利用することが多い

「AWS リソースに対して、誰がいつどのような操作を行ったか」を確認する１番簡単な方法は、 CloudTrail のイベント履歴を利用することです。

主に「あれ？　このリソース全然使われていないけど、誰が作ったの？　消していい？」という状況に利用するかと思います。無料で使えるので、とても便利ですよね。

特に RDS Aurora など、それなりの費用がかかるリソースでは、コスト削減のためにはこの確認が重要になります。自動あるいは手動で確認するにせよ、CloudTrail を利用することがほとんどだと思います。

CloudTrail イベント履歴は無料で利用できる上に色々と便利ですが、以下の制限があります。

ただし、 CloudTrail のイベント履歴は直近３ヵ月のログしか保存されません。

直近３ヵ月より前の監査ログを確認したくなる状況は意外とあります。

問題の切り分けのために、特定のリソースの設定変更履歴を見たい
- ただし、設定変更履歴の追跡をしたければ、 AWS Config を利用した方が楽なので、そちらを推奨
AWS アカウント上のリソースを整理する
- 本来なら、不要リソースがないかを自動で定期チェックさせておくのが理想
- 定期的な自動チェックをしていない場合を想定
一時的な目的で作成された AWS リソースが放置されており、そのまま利用されずに残っている

ここで、出てくる選択肢が、以下２つです。

がっつりやろうと思うともっと色々選択肢はあると思いますが、そこまで本格的にやらない場合は、これら２つになると思います。

詳細な説明は AWS ドキュメントなどを参照してください。

ここでは大まかなメリット・デメリットだけ以下に記載します。

CloudTrail Lake を導入すると、Athena のように SQL で CloudTrail のイベント履歴を検索可能になります。

CloudTrail 証跡から Athena テーブルを作成できます。

これにより、Athena から SQL で各種イベントを検索可能になります。

AWS アカウントの簡易的な監査ログ分析の選択肢には、以下２つがある
- CloudTrail Lake
- CloudTrail 証跡 + Athena
以下の場合は、CloudTrail Lake が適切
- AWS Organization で複数アカウントを管理しており、マルチアカウントで監査ログをクエリ分析したい場合
以下の場合は、CloudTrail 証跡 + Athena
- １アカウントだけクエリ分析できればいい
- 費用を安く済ませたい
- 既に CloudTrail 証跡を導入済み