AWS CloudTrail 资源

探索精选资源以加强您的 AWS CloudTrail 安全实践，改善事件响应并增强监控能力。本页面分为两个部分：提供实用指导的 AWS 博客文章和提供常见安全场景实践模拟的 AWS CloudTrail 动手实验。

近期 CloudTrail 资源

AWS 博客文章

• Announcing AWS CloudTrail Event Aggregation and Insights for Data Events

• New: AWS CloudTrail Lake Event Enrichment: Add Business Context to AWS Activity Logs

• Announcing AWS CloudTrail network activity events for VPC Endpoints

• Securing your VPC Endpoints using Network Activity Events | AWS CloudTrail | EP 02

• Tag It & Track It: AWS CloudTrail Event Enrichment and Expansions Explained | EP 09

• Simplify AWS CloudTrail log analysis with natural language query generation in CloudTrail Lake (preview)

视频

交互式演示

• AWS CloudTrail Event Aggregation

• AWS CloudTrail Insights for Data Events

• Network Activity Events for CloudTrail Lake

GitHub

• AWS CloudTrail Lake query samples

AWS 博客文章

这些博客文章提供了利用 AWS CloudTrail 帮助保护 AWS 环境、检测事件和自动化响应的可行洞察。资源按重点领域分组以便于导航。

事件调查和取证

• Investigate Security Events with CloudTrail Lake
  使用 CloudTrail Lake 查询分析安全事件，例如被泄露的访问密钥。
• CloudTrail Insights: Detect Unusual API Activity
  了解如何使用 CloudTrail Insights 识别和响应异常 API 调用。
• Announcing CloudTrail Lake – Managed Audit and Security Lake
  了解 CloudTrail Lake 的集中化审计和安全日志管理功能。

监控和告警

• Monitor Root User Activity
  设置通知以跟踪 AWS 账户根用户活动，增强安全性。
• Alerts for IAM Access Key Usage
  配置告警以检测 IAM 访问密钥的使用。
• Notifications for IAM Configuration Changes
  为 IAM 配置变更实施告警。
• Monitor IAM User Creation
  设置新 IAM 用户创建通知以检测未授权变更。
• Track Account and EC2 Security Group Changes
  监控配置变更和对 EC2 安全组的 API 调用。
• Analyze CloudTrail in CloudWatch
  将 CloudTrail 与 CloudWatch 集成以进行实时日志分析。

安全最佳实践和自动化

• Prevent CloudTrail Modifications
  了解保护 CloudTrail 免受未授权变更的技术。
• Automate Responses to Compromised Access Keys
  使用 GitHub 工具自动响应被泄露的访问密钥。

AWS CloudTrail 动手实验

这些动手实验模拟常见安全事件，并演示如何使用 AWS CloudTrail 及相关服务进行检测和响应。每个实验都包含 CloudFormation 模板或脚本，用于复现真实场景。

实验列表

• Unauthorized IAM Credential Use
  描述：通过 CloudShell 脚本模拟未授权的 IAM 凭证使用，模拟侦察和权限提升。
  重要性：了解如何检测和缓解未授权访问，这是 AWS 环境中常见的攻击向量。

• Ransomware on S3
  描述：使用 CloudFormation 模板创建 S3 存储桶，并在 CloudShell 中通过数据外泄和删除来模拟勒索软件。
  重要性：通过检测未授权的 S3 修改来防止数据丢失或泄露。

• Cryptominer Security Events
  描述：通过 CloudFormation 部署 EC2 实例，通过向已知域名发送 DNS 请求来模拟加密挖矿。
  重要性：识别资源密集型的加密挖矿以降低成本并保护 EC2 实例。

• SSRF on IMDSv1
  描述：通过 IMDSv1 漏洞模拟对 EC2 实例凭证的服务器端请求伪造 (SSRF) 攻击。
  重要性：通过 SSRF 缓解措施防止对实例凭证的未授权访问。

开始使用 CloudTrail

如需全面指导，请浏览 AWS CloudTrail User Guide 以掌握安全监控、事件响应和最佳实践。