CloudTrail ネットワークアクティビティイベント
VPC エンドポイントのネットワークアクティビティイベントを使用すると、ネットワ ーク内のリソースにアクセスしているユーザーの詳細を確認でき、データ境界における悪意のある行為や不正なアクションを特定して対応する能力が向上します。たとえば、VPC エンドポイントの所有者として、VPC エンドポイントポリシーによって拒否されたアクションのログを確認したり、データ境界外のアクターが S3 バケット内のデータにアクセスしようとしているかどうかを判断したりすることができます。
ネットワークアクティビティイベントの高度なイベントセレクター
ネットワークアクティビティイベントを使用する場合、高度なイベントセレクターにより、イベントデータストアに取り込まれる CloudTrail イベントをより細かく制御できます。高度なイベントセレクターを使用すると、errorCode、eventName、vpcEndpointId などのフィールドの値を含めたり除外したりすることができます。高度なイベントセレクターは、部分文字列のパターンマッチングによる値の包含または除外もサポートしています。これにより、セキュリティ、コンプライアンス、および運用調査の効率と精度が向上し、コスト削減にも役立ちます。たとえば、vpcEndpointId 属性に基づいて CloudTrail イベントをフィルタリングし、特定の VPC エンドポ イント ID からのイベントのみを含めることができます。これにより、CloudTrail Lake に取り込まれる CloudTrail イベントの量を大幅に削減し、関連するユーザーおよびシステムアクティビティへの可視性を維持しながらコストを低減できます。
Demo: CloudTrail Lake のネットワークアクティビティイベント
以下のインタラクティブなデモでは、CloudTrail Lake で VPC エンドポイントのネットワークアクティビティイベントを使用する方法を探ります。
CloudTrail Lake のサンプル SQL クエリ
VPC アクセス拒否エラーの数
SELECT count(*) as VPCAccessDenied, userIdentity.arn,
userIdentity.accountid,
eventName,
errorMessage,
vpcEndpointId,
vpcEndpointAccountId,
sourceIPAddress
FROM $EDS_ID
WHERE eventCategory = 'NetworkActivity'
AND eventSource = 's3.amazonaws.com'
AND errorCode = 'VpceAccessDenied'
AND eventtime >= '2025-02-18 17:00:00'
AND eventtime <= '2025-02-21 17:00:00'
GROUP BY
userIdentity.arn,
userIdentity.accountid,
eventName,
errorMessage,
vpcEndpointId,
vpcEndpointAccountId,
sourceIPAddress
ORDER BY eventName DESC;
VPC アクセス拒否エラー
SELECT userIdentity.arn,
userIdentity.accountid,
eventType,
eventCategory,
eventName,
errorCode,
errorMessage,
vpcEndpointId,
vpcEndpointAccountId,
sourceIPAddress
FROM $EDS_ID
WHERE eventCategory = 'NetworkActivity'
AND eventSource = 's3.amazonaws.com'
AND errorCode = 'VpceAccessDenied'
AND eventtime >= '2025-02-18 17:00:00'
AND eventtime <= '2025-02-20 17:00:00'
ORDER BY eventTime DESC;