CloudTrail セキュリティとコンプライアンス ​

ログを記録・分析するだけでなく、より高度なセキュリティ要件（監査、改ざん検知、リアルタイム脅威検出）に対応するための機能を紹介します。

1. CloudTrail Insights (異常検知) ​

CloudTrail Insights は、アカウント内のAPIアクティビティを機械学習で分析し、「いつもと違う」 挙動を自動的に検出する機能です。

何を検出できる？ ​

  • 書き込みAPIのスパイク: 本番環境で突然大量の RunInstances が実行された。
  • エラー率の急増: AccessDenied エラーが普段の100倍発生している。

設定方法 ​

証跡の設定画面で「Insights イベント」を有効にするだけです。検出されたイベントは、以下の方法で確認できます。

  • CloudTrailコンソールの Insights ダッシュボード
  • CloudWatch Events (EventBridge) 経由での通知

2. ログファイルの整合性検証 (Log File Validation) ​

コンプライアンス監査（SOX法、PCI DSSなど）では、「ログが改ざんされていないこと」の証明を求められることがあります。

仕組み ​

  1. CloudTrailは、配信したログファイルのハッシュ計算（SHA-256）を行います。
  2. 1時間ごとに、それらハッシュ値をまとめた「ダイジェストファイル」を（別の場所に）配信します。
  3. ダイジェストファイル自体も前のダイジェストファイルのハッシュを含むチェーン構造になっています。

これにより、S3バケット内のログファイルが1ビットでも変更・削除されると、検証コマンドで即座に発覚します。

bash
# 検証コマンドの例
aws cloudtrail validate-logs \
  --trail-arn <Trail-ARN> \
  --start-time <StartTime>

3. SIEM / セキュリティツール連携 ​

大規模な組織では、AWS CloudTrailのログを外部のSIEM (Security Information and Event Management) ツールや、統合セキュリティ基盤に転送することが一般的です。

Amazon Security Lake ​

AWSが提供するセキュリティデータレイクです。 CloudTrailのログを OCSF (Open Cybersecurity Schema Framework) という標準フォーマットに変換して集約します。SplunkやDatadogなどのサードパーティツールが、このフォーマットをネイティブに扱えます。

EventBridge によるリアルタイム対応 ​

CloudTrailは Amazon EventBridge と統合されており、特定のAPI呼び出しをトリガーに即座にアクションを実行できます。

例: セキュリティグループの全開放を検知して自動修復

  1. Trigger: AuthorizeSecurityGroupIngress イベント (0.0.0.0/0 の許可)
  2. Rule: EventBridge ルールがパターンマッチ
  3. Action: Lambda関数を起動 → セキュリティグループのルールを削除 (Revoke)

4. ログの暗号化 (KMS) ​

デフォルトでもS3のサーバーサイド暗号化(SSE-S3)がかかっていますが、より厳格な管理が必要な場合は AWS KMS (SSE-KMS) を使用します。

  • メリット: 誰がログを復号できるかをIAMポリシーとキーポリシーで厳密に制御できる。
  • 注意点: CloudTrailがキーを使用するためのポリシー設定が必要です。

まとめ ​

CloudTrailは単なるログ置き場ではありません。

  • Insights で異常に気づき
  • 整合性検証 で監査に備え
  • EventBridge で自動防御する

これらを組み合わせることで、堅牢なセキュリティ運用基盤を構築できます。 基本設定が終わったら、これらの機能を要件に合わせて有効化していきましょう。