Eventos de dados de log

Esta seção descreve como registrar eventos de dados usando o console do CloudTrail e a AWS CLI.

Por padrão, trilhas e armazenamentos de dados de eventos não registram eventos de dados em log. Há cobranças adicionais para eventos de dados. Para obter mais informações, consulte Preços do AWS CloudTrail.

Os eventos de dados fornecem informações sobre as operações aplicadas a um recurso ou realizadas em um recurso. Elas também são conhecidas como operações de plano de dados. Eventos de dados geralmente são atividades de alto volume.

Exemplos de eventos de dados incluem:

Você pode usar seletores de eventos avançados para criar seletores refinados, que ajudam a controlar os custos registrando em log apenas os eventos específicos de interesse para seus casos de uso. Por exemplo, é possível usar seletores de eventos avançados para registrar chamadas de API específicas ao adicionar um filtro no campo eventName. Para obter mais informações, consulte Filtrar todos os eventos de dados utilizando seletores de eventos avançados.

Eventos de dados

A tabela a seguir mostra os tipos de recursos disponíveis para trilhas e datastores de eventos. A coluna Tipo de recurso (console) mostra a seleção apropriada no console. A coluna valor do resources.type mostra o valor de resources.type que você especificaria para incluir eventos de dados desse tipo em sua trilha ou no armazenamento de dados de eventos usando a AWS CLI ou as APIs do CloudTrail.

Para trilhas, é possível usar seletores de eventos básicos ou avançados para registrar eventos de dados em objetos do Amazon S3 de uso geral, funções do Lambda e tabelas do DynamoDB (mostradas nas três primeiras linhas da tabela). Você pode usar apenas seletores de eventos avançados para registrar em log os tipos de recursos mostrados nas demais linhas.

Para armazenamentos de dados de eventos, é possível usar somente seletores de eventos avançados para incluir eventos de dados.

Eventos de dados compatíveis com o AWS CloudTrail

Para registrar eventos de dados do CloudTrail, é necessário adicionar explicitamente cada tipo de recurso para os quais você deseja coletar atividade. Para obter mais informações, consulte Criar uma trilha com o console do CloudTrail e Criar um armazenamento de dados de eventos para eventos do CloudTrail com o console.

Em uma trilha de região única, é possível registrar em log eventos de dados somente para recursos que pode acessar nessa região. Embora os buckets do S3 sejam globais, as funções do AWS Lambda e as tabelas do DynamoDB são regionais.

Há cobranças adicionais para o registro de eventos de dados. Para obter o preço do CloudTrail, consulte a Preços do AWS CloudTrail.

Exemplos: registro de eventos de dados de objetos do Amazon S3

Registro de eventos de dados para objetos do S3 em outras contas da AWS

Ao configurar sua trilha para registrar eventos de dados, você também pode especificar objetos do S3 que pertencem a outras contas da AWS. Quando ocorre um evento em um objeto especificado, o CloudTrail avalia se ele corresponde a todas as trilhas em cada conta. Se o evento corresponder às configurações de uma trilha, ela processará e registrará o evento dessa conta. Geralmente, tanto os chamadores de API quanto os proprietários de recursos podem receber eventos.

Se você tem um objeto do S3 e especifica esse objeto na sua trilha, ela registra eventos que ocorrem no objeto na sua conta. Como você possui o objeto, a trilha também registra eventos quando outras contas chamam o objeto.

Se você especificar um objeto do S3 na sua trilha e outra conta for a proprietária do objeto, a trilha registrará somente eventos que ocorrerem nesse objeto na sua conta. A trilha não registra eventos que ocorrem em outras contas.

Eventos somente leitura e somente gravação

Ao configurar a trilha ou o armazenamento de dados de eventos para registrar em log eventos de dados e de gerenciamento, é possível especificar se você deseja eventos somente leitura, eventos somente gravação, ou ambos.

Registro de eventos de dados com a Console de gerenciamento da AWS

Os procedimentos a seguir descrevem como atualizar um armazenamento de dados de eventos ou trilha existente para registrar eventos de dados usando o Console de gerenciamento da AWS. Para obter informações sobre como criar um armazenamento de dados de eventos para registrar eventos de dados, consulte Criar um armazenamento de dados de eventos para eventos do CloudTrail com o console. Para obter informações sobre como criar uma trilha para registrar eventos de dados, consulte Criar uma trilha com o console.

Para as trilhas, as etapas para registrar em log os eventos de dados diferem dependendo se seletores de eventos avançados ou seletores de eventos básicos estão sendo usados. Você pode registrar em log eventos de dados para todos os tipos de recursos usando seletores de eventos avançados, mas se usar seletores de eventos básicos, haverá um limite para o registro em log de eventos de dados para buckets e objetos de bucket do Amazon S3, funções do AWS Lambda e tabelas do Amazon DynamoDB.

Registro de eventos de dados com a AWS Command Line Interface

É possível configurar suas trilhas ou seus armazenamentos de dados de eventos para registrar eventos de dados em log usando a AWS CLI.

Registrar em log eventos de dados para trilhas com a AWS CLI

Você pode configurar suas trilhas para registrar eventos de gerenciamento e de dados usando a AWS CLI.

Para visualizar se a trilha está registrando eventos de dados e de gerenciamento, execute o comando get-event-selectors.

aws cloudtrail get-event-selectors --trail-name TrailName

O comando retorna os seletores de eventos para a trilha.

Registrar em log eventos de dados para trilhas usando seletores de eventos avançados

O exemplo a seguir cria seletores de eventos avançados personalizados para uma trilha chamada TrailName para incluir eventos de gerenciamento de leitura e gravação (omitindo o seletor readOnly), os eventos de dados PutObject e DeleteObject para todas as combinações de bucket/prefixo do Amazon S3, exceto para um bucket chamado amzn-s3-demo-bucket e eventos de dados para uma função AWS Lambda chamada MyLambdaFunction. Como estes são seletores de eventos avançados personalizados, cada conjunto de seletores tem um nome descritivo. Observe que uma barra à direita faz parte do valor ARN para buckets do S3.

aws cloudtrail put-event-selectors --trail-name TrailName --advanced-event-selectors
'[
  {
    "Name": "Log readOnly and writeOnly management events",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Management"] }
    ]
  },
  {
    "Name": "Log PutObject and DeleteObject events for all but one bucket",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
      { "Field": "eventName", "Equals": ["PutObject","DeleteObject"] },
      { "Field": "resources.ARN", "NotStartsWith": ["arn:aws:s3:::amzn-s3-demo-bucket/"] }
    ]
  },
  {
    "Name": "Log data plane actions on MyLambdaFunction",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::Lambda::Function"] },
      { "Field": "resources.ARN", "Equals": ["arn:aws:lambda:us-east-2:111122223333:function/MyLambdaFunction"] }
    ]
  }
]'

O exemplo retorna os seletores de eventos avançados configurados para a trilha.

{
  "AdvancedEventSelectors": [
    {
      "Name": "Log readOnly and writeOnly management events",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Management" ]
        }
      ]
    },
    {
      "Name": "Log PutObject and DeleteObject events for all but one bucket",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Data" ]
        },
        {
          "Field": "resources.type", 
          "Equals": [ "AWS::S3::Object" ]
        },
        {
          "Field": "resources.ARN", 
          "NotStartsWith": [ "arn:aws:s3:::amzn-s3-demo-bucket/" ]
        },
      ]
    },
{
      "Name": "Log data plane actions on MyLambdaFunction",
      "FieldSelectors": [
        {
          "Field": "eventCategory", 
          "Equals": [ "Data" ]
        },
        {
          "Field": "resources.type", 
          "Equals": [ "AWS::Lambda::Function" ]
        },
        {
          "Field": "eventName", 
          "Equals": [ "Invoke" ]
        },
        {
          "Field": "resources.ARN", 
          "Equals": [ "arn:aws:lambda:us-east-2:111122223333:function/MyLambdaFunction" ]
        }
      ]
    }
  ],
  "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName"
}

Registrar todos os eventos do Amazon S3 de um bucket do S3 usando seletores de eventos avançados

O exemplo a seguir mostra como configurar a trilha para registrar eventos de dados de todos os objetos do Amazon S3 em um bucket do S3. O valor para eventos do S3 para o campo resources.type é AWS::S3::Object. Como os valores de ARN para objetos do S3 e buckets do S3 são ligeiramente diferentes, você deve adicionar o operador StartsWith para o resources.ARN para capturar todos os eventos.

aws cloudtrail put-event-selectors --trail-name TrailName --region region \
--advanced-event-selectors \
'[
    {
            "Name": "S3EventSelector",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
                { "Field": "resources.ARN", "StartsWith": ["arn:partition:s3:::amzn-s3-demo-bucket/"] }
            ]
        }
]'

Este comando retorna a saída de exemplo a seguir.

{
    "TrailARN": "arn:aws:cloudtrail:region:account_ID:trail/TrailName",
    "AdvancedEventSelectors": [
        {
            "Name": "S3EventSelector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3::Object"
                    ]
                },
                {
                    "Field": "resources.ARN",
                    "StartsWith": [
                        "arn:partition:s3:::amzn-s3-demo-bucket/"
                    ]
                }
            ]
        }
    ]
}

Registrar o Amazon S3 no AWS Outposts usando seletores de eventos avançados

O exemplo a seguir mostra como configurar a trilha para incluir todos os eventos de dados para todos os objetos do Amazon S3 on Outposts em seu outpost.

aws cloudtrail put-event-selectors --trail-name TrailName --region region \
--advanced-event-selectors \
'[
    {
            "Name": "OutpostsEventSelector",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3Outposts::Object"] }
            ]
    }
]'

Este comando retorna a saída de exemplo a seguir.

{
    "TrailARN": "arn:aws:cloudtrail:region:account_ID:trail/TrailName",
    "AdvancedEventSelectors": [
        {
            "Name": "OutpostsEventSelector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3Outposts::Object"
                    ]
                }
            ]
        }
    ]
}

Registar eventos utilizando seletores de eventos básicos

Este é um exemplo de resultado do comando get-event-selectors mostrando seletores de eventos básicos. Por padrão, quando você cria uma trilha usando a AWS CLI, uma trilha registra todos os eventos de gerenciamento. Por padrão, as trilhas não registram em log eventos de dados.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName",
    "EventSelectors": [
        {
            "IncludeManagementEvents": true,
            "DataResources": [],
            "ReadWriteType": "All"
        }
    ]
}

Para configurar a trilha para registrar eventos de gerenciamento e de dados, execute o comando put-event-selectors.

O exemplo a seguir mostra como usar seletores de eventos básicos para configurar a trilha para incluir todos os eventos de gerenciamento e de dados para os objetos do S3 em dois prefixos de bucket do S3. Você pode especificar seletores de eventos de 1 a 5 para uma trilha. Você pode especificar recursos de dados de 1 a 250 para uma trilha.

aws cloudtrail put-event-selectors --trail-name TrailName --event-selectors '[{ "ReadWriteType": "All", "IncludeManagementEvents":true, "DataResources": [{ "Type": "AWS::S3::Object", "Values": ["arn:aws:s3:::amzn-s3-demo-bucket1/prefix", "arn:aws:s3:::amzn-s3-demo-bucket2;/prefix2"] }] }]'

O comando retorna os seletores de eventos configurados para a trilha.

{
    "TrailARN": "arn:aws:cloudtrail:us-east-2:123456789012:trail/TrailName",
    "EventSelectors": [
        {
            "IncludeManagementEvents": true,
            "DataResources": [
                {
                    "Values": [
                        "arn:aws:s3:::amzn-s3-demo-bucket1/prefix",
                        "arn:aws:s3:::amzn-s3-demo-bucket2/prefix2",
                    ],
                    "Type": "AWS::S3::Object"
                }
            ],
            "ReadWriteType": "All"
        }
    ]
}

Registrar em log eventos de dados para armazenamentos de dados de eventos com a AWS CLI

É possível configurar seus armazenamentos de dados de eventos para incluir eventos de dados usando a AWS CLI. Use o comando create-event-data-store para criar um novo armazenamento de dados de eventos para registrar eventos de dados em log. Use o comando update-event-data-store para atualizar os seletores de eventos avançados para um armazenamento de dados de eventos existente.

Você configura seletores de eventos avançados para registrar em log eventos de dados em um datastore de eventos. Para obter uma lista dos campos compatíveis, consulte Filtrar todos os eventos de dados utilizando seletores de eventos avançados.

Para verificar se o armazenamento de dados de eventos inclui eventos de dados, execute o comando get-event-data-store.

aws cloudtrail get-event-data-store --event-data-store EventDataStoreARN

O comando retorna as configurações do armazenamento de dados de eventos.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLE492-301f-4053-ac5e-EXAMPLE6441aa",
    "Name": "ebs-data-events",
    "Status": "ENABLED",
    "AdvancedEventSelectors": [
        {
            "Name": "Log all EBS direct APIs on EBS snapshots",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::EC2::Snapshot"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-04T15:57:33.701000+00:00",
    "UpdatedTimestamp": "2023-11-20T20:37:34.228000+00:00"
}   

Incluir todos os eventos do Amazon S3 para um bucket específico

O exemplo a seguir mostra como criar um datastore de eventos para incluir todos os eventos de dados de todos os objetos do Amazon S3 em um bucket S3 de uso geral específico e excluir eventos de AWS service (Serviço da AWS) e eventos gerados pela userIdentity bucket-scanner-role. O valor para eventos do S3 para o campo resources.type é AWS::S3::Object. Como os valores de ARN para objetos do S3 e buckets do S3 são ligeiramente diferentes, você deve adicionar o operador StartsWith para o resources.ARN para capturar todos os eventos.

aws cloudtrail create-event-data-store --name "EventDataStoreName" --multi-region-enabled \
--advanced-event-selectors \
'[
    {
        "Name": "S3EventSelector",
        "FieldSelectors": [
            { "Field": "eventCategory", "Equals": ["Data"] },
            { "Field": "resources.type", "Equals": ["AWS::S3::Object"] },
            { "Field": "resources.ARN", "StartsWith": ["arn:partition:s3:::amzn-s3-demo-bucket/"] },
            { "Field": "userIdentity.arn", "NotStartsWith": ["arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"]},
            { "Field": "eventType","NotEquals": ["AwsServiceEvent"]}
        ]
    }
]'

Este comando retorna a saída de exemplo a seguir.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLE492-301f-4053-ac5e-EXAMPLE441aa",
    "Name": "EventDataStoreName",
    "Status": "ENABLED",
    "AdvancedEventSelectors": [
        {
            "Name": "S3EventSelector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.ARN",
                    "StartsWith": [
                        "arn:partition:s3:::amzn-s3-demo-bucket/"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3::Object"
                    ]
                },
                { 
                    "Field": "userIdentity.arn", 
                    "NotStartsWith": [
                        "arn:aws:sts::123456789012:assumed-role/bucket-scanner-role"
                     ]
                },
                { 
                    "Field": "eventType",
                    "NotEquals": [
                        "AwsServiceEvent"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2024-11-04T15:57:33.701000+00:00",
    "UpdatedTimestamp": "2024-11-20T20:49:21.766000+00:00"
}

Incluir o Amazon S3 em eventos do AWS Outposts

O exemplo a seguir mostra como criar um armazenamento de dados de eventos que inclua todos os eventos de dados para todos os objetos do Amazon S3 on Outposts em seu outpost.

aws cloudtrail create-event-data-store --name EventDataStoreName \
--advanced-event-selectors \
'[
    {
            "Name": "OutpostsEventSelector",
            "FieldSelectors": [
                { "Field": "eventCategory", "Equals": ["Data"] },
                { "Field": "resources.type", "Equals": ["AWS::S3Outposts::Object"] }
            ]
        }
]'

Este comando retorna a saída de exemplo a seguir.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEb4a8-99b1-4ec2-9258-EXAMPLEc890",
    "Name": "EventDataStoreName",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "OutpostsEventSelector",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Data"
                    ]
                },
                {
                    "Field": "resources.type",
                    "Equals": [
                        "AWS::S3Outposts::Object"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 366,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-02-20T21:00:17.673000+00:00",
    "UpdatedTimestamp": "2023-02-20T21:00:17.820000+00:00"
}

Registrar de eventos de dados para conformidade de AWS Config

Se você estiver usando os pacotes de conformidade do AWS Config para ajudar sua empresa a manter a conformidade com padrões formalizados, como os exigidos pelo Federal Risk and Authorization Management Program (FedRAMP) ou pelo National Institute of Standards and Technology (NIST), os pacotes de conformidade para estruturas de conformidade geralmente exigem que você registre dados para buckets do Amazon S3, no mínimo. Os pacotes de conformidade para estruturas de conformidade incluem umaregra gerenciada chamada cloudtrail-s3-dataevents-enabled que verifica o registro de eventos de dados do S3 em sua conta. Muitos pacotes de conformidade que não estão associados a estruturas de conformidade também exigem log de eventos de dados do S3. Veja a seguir exemplos de pacotes de conformidade que incluem essa regra.

Para obter uma lista completa de pacotes de conformidade de amostra disponíveis em AWS Config, consulte Modelos de amostra de pacote de conformidade no Guia do desenvolvedor do AWS Config.

Registrar eventos de dados em log com os SDKs da AWS

Execute a operação GetEventSelectors para ver se a trilha está registrando eventos de dados em log. É possível configurar as trilhas para registrar em log eventos de dados executando a operação PutEventSelectors. Para obter mais informações, consulte a AWS CloudTrail Referência da API do.

Execute a operação GetEventDataStore para ver se o armazenamento de dados de eventos está registrando eventos de dados em log. Você pode configurar seus armazenamentos de dados de eventos para incluir eventos de dados executando as operações CreateEventDataStore ou UpdateEventDatastore e especificando seletores de eventos avançados. Para obter mais informações, consulte a Criar, atualizar e gerenciar armazenamentos de dados de eventos com a AWS CLI e a Referência da API doAWS CloudTrail.