# ログの収集と処理
<a name="collecting-and-processing-logs"></a>

Amazon EC2 インスタンスや、AWS CloudTrail、Route 53、その他のソースからのログファイルのモニタリング、保存、アクセスするために CloudWatch Logs を使用することができます。詳しくは「[CloudWatch Logs にログを発行する AWS のサービス](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/aws-services-sending-logs.html)」を参照してください。

ログ情報には、次のような情報が含まれます。
+ Amazon S3 オブジェクトへのアクセスの詳細なログ
+ VPC-フローログによるネットワーク内のフローに関する詳細情報
+ ルールベースの設定検証と AWS Config ルールによるアクション
+ CloudFront でウェブアプリケーションファイアウォール (WAF) 機能を使用するアプリケーションへの HTTP アクセスのフィルタリングとモニタリング

Amazon EC2 インスタンスまたはオンプレミスサーバーに [CloudWatch エージェント](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/install-CloudWatch-Agent-on-EC2-Instance.html)をインストールして、カスタムアプリケーションメトリクスとログを CloudWatch Logs に発行することもできます。

運用上の問題により効率的かつ効果的に対応できるようにクエリを実行する CloudWatch Logs インサイトを使って、ログをインタラクティブに分析することができます。

CloudWatch Logsは、サブスクリプションフィルターを設定することでほぼリアルタイムで処理され、カスタム処理や分析、他のシステムへの読み込みのために、[Amazon OpenSearch Service](https://aws.amazon.com/elasticsearch-service/) (OpenSearch Service) クラスターや、[Amazon Kinesis](https://aws.amazon.com/kinesis/) ストリーミング、Amazon Kinesis Data Firehose ストリーミング、Lambda など他のサービスに配信することが可能です。

[CloudWatch メトリクスフィルター](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/MonitoringPolicyExamples.html)は、ログデータで検索するパターンの定義や、数値の CloudWatch メトリクスへの変換、ビジネス要件に基づくアラームの設定に使用できます。例えば、日常的なタスクに root ユーザーを使用しないという AWS の推奨に従い、CloudTrail ログ (CloudWatch Logs に配信される) に[特定の CloudWatch メトリクスフィルターをセットアップ](https://aws.amazon.com/blogs/security/how-to-receive-notifications-when-your-aws-accounts-root-access-keys-are-used/)してカスタムメトリクスを作成し、AWS アカウントへのアクセスにルートの認証情報が使用されたら利害関係者に通知するためのアラームを設定できます。

Amazon S3 サーバーアクセスログや、Elastic Load Balancing アクセスログ、VPC フローログ、AWS Global Accelerator フローログなどのログは、Amazon S3 バケットに直接配信できます。例えば、[Amazon Simple Storage Service のサーバーアクセスログ](https://docs.aws.amazon.com/AmazonS3/latest/dev/ServerLogs.html)を有効にすると、Amazon S3 バケットに対して行われたリクエストに関する詳細情報を取得できます。アクセスログのレコードには、リクエストのタイプ、リクエストに指定されたリソース、リクエストが処理された日時など、リクエストの詳細が含まれます。ログメッセージの内容に関する詳細については、Amazon Simple Storage Service 開発者ガイドで「[Amazon Simple Storage Server アクセスログの形式](https://docs.aws.amazon.com/AmazonS3/latest/dev/LogFormat.html)」を参照してください。サーバーアクセスログから、バケット所有者の制御下にないクライアントからのリクエストの特性について理解できるため、多くのアプリケーションにとって有用です。デフォルトでは、Amazon S3 はサービスアクセスログを収集しませんが、ロギングを有効にすると Amazon S3 は通常数時間以内にアクセスログをバケットに配信します。より早い配信が必要な場合や、複数の送信先にログを配信する必要がある場合は、[CloudTrail ログの使用を検討する](https://docs.aws.amazon.com/AmazonS3/latest/dev/logging-with-S3.html)か、CloudTrail ログと Amazon S3 の両方を組み合わせて使用することを検討してください。送信先バケットでデフォルトのオブジェクト暗号化を設定すると、保存中のログを暗号化できます。オブジェクトは、Amazon S3 で管理されたキー (SSE-S3) または [AWS Key Management Service](https://aws.amazon.com/kms/) (AWS KMS) に保存されたカスタマーマスターキー (CMK) のいずれかで、サーバー側の暗号化を使用して暗号化されます。

Amazon S3 バケットに保存されたログは、[Amazon Athena](https://aws.amazon.com/athena) を使用してクエリおよび分析できます。Amazon Athena は、標準 SQL を使って S3 内のデータを分析できるインタラクティブなクエリサービスです。Athena では Athena にデータを集めたり、読み込んだりする必要がなく、ANSI SQL を使ってアドホッククエリを実行できます。Athena は非構造化データセットや半構造化データセット、構造化データセットを処理することができ、[Amazon QuickSight](https://aws.amazon.com/quicksight/) と統合して視覚化を容易にします。

ログは、脅威の自動検出に役立つ情報源でもあります。[Amazon GuardDuty](https://aws.amazon.com/guardduty/) は、VPC フローログや、CloudTrail 管理イベントログ、CloudTrail Amazon S3 データイベントログ、DNS ログなど、複数のソースからのイベントを分析して処理する継続的なセキュリティモニタリングサービスです。悪意のある IP アドレスやドメインのリストなどの脅威インテリジェンスフィードおよび機械学習を使用して、AWS 環境内の予期しない、未許可で悪意のある可能性が高いアクティビティを特定します。あるリージョンで GuardDuty を有効にすると、CloudTrail イベントログの分析が直ちに開始されます。CloudTrail 管理イベントと Amazon S3 データイベントは、独立かつ重複して次々と発生するイベントを介して CloudTrail から直接取り込まれます。