Можно ли провести аудит консоли Amazon AWS?
Недавно у нас была ситуация, когда эластичный IP-адрес, назначенный производственному серверу, загадочным образом оторвался от этого сервера. В прошлом подобное случалось и с другими (к счастью, непроизводственными) серверами. У нас в консоли несколько администраторов, но никто не признает ошибки. Есть ли какой-нибудь способ аудита деятельности консоли AWS?
3 ответа
Изменить: с тех пор AWS выпустила CloudTrail, который удовлетворяет эту потребность.
Нет. Если вам нужен аудит, вам, вероятно, придется обернуть свой собственный интерфейс вокруг API-интерфейсов AWS. Если у вас есть платная поддержка, AWS может просматривать их внутренние журналы, я не знаю.
Стоит отметить, что остановленный экземпляр не-VPC EC2 потеряет EIP. Экземпляры VPC сохраняют свою связь (и внутренний IP-адрес) также во время остановок.
Я еще не использовал этот сервис, но, похоже, есть сервис CloudTrail для регистрации активности API AWS:
С CloudTrail вы можете получить историю вызовов API AWS для вашей учетной записи, включая вызовы API, выполненные через Консоль управления AWS, пакеты SDK AWS, инструменты командной строки и высокоуровневые сервисы AWS (такие как AWS CloudFormation). История вызовов API AWS, созданная CloudTrail, обеспечивает анализ безопасности, отслеживание изменений ресурсов и аудит соответствия.
В зависимости от вашего региона, я согласен с forforf и рекомендую проверить CloudTrail. Вы также можете просмотреть текущее состояние безопасности в AWS в целом.
Мы столкнулись с той же проблемой с более чем 20 администраторами в AWS. На кухне было слишком много поваров. Затем мы решили предоставить SU доступ к нашим 2 корпоративным архитекторам, а затем разделили доступ в IAM на основе роли администратора. Dev, Operations, Engineering, Security и т. Д. Таким образом, если были внесены изменения, мы могли бы по крайней мере выяснить, кто внес изменения между 1-2 людьми вместо 20..
Также мы внедрили Chef, который помог с аудитами и т. Д. Зависит от вашей среды, потребностей и т. Д.
Для вашей ситуации - если бы это был я... Я собрал бы IP-адреса всех своих экземпляров и щелкнул по Elastic Network Interfaces в консоли AWS. Поиск ENI через эти IP-адреса. Нажмите на каждый ENI и измените поведение завершения при завершении на False. Затем перейдите в IAM и откажитесь от разрешений на присоединение и отсоединение EIP для нескольких администраторов.
Я также включил бы защиту от прерывания для каждого экземпляра. Если вы находитесь в среде VPC, то любой связанный с EIP или внутренний IP-адрес по этому вопросу не изменится при остановке или перезапуске экземпляра... если экземпляр соответствует классу ec2, то он изменится.