ปัญหาเหตุการณ์ S3 Logs

มีวิธีดูว่าผู้ใช้ IAM 'g2' กำลังดำเนินการอย่างไรใน S3 และ IP ใดที่พวกเขาเรียกใช้ ฉันได้เปิดใช้งานการบันทึกการดำเนินการ S3 แล้ว

ประเด็นหนึ่งที่ฉันยังไม่สามารถเข้าใจได้ก็คือเมื่อฉันพยายามค้นหาบันทึกในเส้นทางระบบคลาวด์โดยใช้คีย์การเข้าถึง AWS หรือชื่อผู้ใช้ในทั้งสองกรณี ฉันได้รับผลลัพธ์เป็นไม่ตรงกัน แต่ตลอดทั้งวันที่ผู้ใช้ (g2) โต้ตอบกับ S3 ตามเวลาที่ดูเหมือนว่า CRON ทำงานบนเซิร์ฟเวอร์บางตัว จะระบุได้อย่างไร?

ฉันได้วิเคราะห์ประวัติเหตุการณ์ CloudTrail และใช้ CloudWatch Logs Insights เพื่อค้นหาที่อยู่ IP การบันทึกการเข้าถึงเป็นเวลา 90 วันโดยใช้ทั้ง “ชื่อผู้ใช้” และ “คีย์การเข้าถึง AWS” แต่ดูเหมือนว่าจะไม่มากนัก ช่วยในการค้นหาข้อมูลผู้ใช้ âg2â âg2â ผู้ใช้ IAM มีสิทธิ์การเข้าถึงระดับผู้ดูแลระบบ ผู้ใช้ไม่มีสิทธิ์เข้าถึงการจัดการคอนโซล ฉันสงสัยว่ามันแค่ทำ 'ls' เพื่อตรวจสอบการมีอยู่ของไฟล์บางไฟล์ ฉันคิดว่าการกระทำเดียวกันนี้จะเกิดขึ้นในแต่ละวันสำหรับมัน

ฉันทราบวันที่/เวลาที่ผู้ใช้ดำเนินการและทรัพยากร (S3) แต่นั่นคือทั้งหมด (ไม่มีบัคเก็ต ไม่มี IP ฯลฯ) มีอะไรที่เราสามารถทำได้กับข้อมูลนั้นหรือไม่?

ฉันได้ทดสอบข้อความค้นหาเหล่านี้แล้ว แต่ไม่สามารถรับผลลัพธ์ได้ 

    ฟิลด์ @timestamp, eventName, eventType, requestParameters.bucketName, requestParameters.key, resource.0.ARN
    | กรอง sourceIPAddress == "xx.xx.xx.xx" และ userIdentity.sessionContext.sessionIssuer.userName == "g2" และ eventSource == "s3.amazonaws.com"
    | จัดเรียง @timestamp desc
    | จำกัด 100

    ฟิลด์ @timestamp, @ข้อความ
    | กรอง userIdentity.userName == "g2"
    | จัดเรียง @timestamp desc
    | จำกัด 20

    ฟิลด์ @timestamp, @ข้อความ
    | กรอง sourceIPAddress == "192.168.1.1"
    | จัดเรียง @timestamp desc
    | จำกัด 20
    â

ข้อความค้นหา Athena ของ CloudTrail Logs มีประโยชน์หรือไม่ เครื่องมือ CLI บันทึก CloudTrail จะเป็นประโยชน์สำหรับสถานการณ์ของฉันหรือไม่ ใครสามารถช่วยฉันได้บ้าง

ฉันตั้งค่าเส้นทางใหม่เพื่อทดสอบสิ่งนี้ กระบวนการคือ:

1. สร้าง CloudTrail ใหม่ เปิดใช้งานการส่งไปยัง CloudWatch ตามที่ @Tim แนะนำ และยังเปิดใช้งาน Data Events บน S3 คุณอาจต้องการเปิดใช้ Data Events บน S3 และกรองสำหรับบัคเก็ตที่ต้องการ มิฉะนั้น คุณอาจสร้างบันทึกจำนวนมาก!
2. คัดลอกไฟล์บางไฟล์ลงในที่เก็บข้อมูลทดสอบ (ฟู.txt)
3. CloudWatch -> กลุ่มบันทึก -> กลุ่มของฉัน -> "ดูข้อมูลเชิงลึกในบันทึก"

เมื่อบันทึกเริ่มมาถึงฉันสามารถทำสิ่งต่อไปนี้ได้อย่างง่ายดาย:

ค้นหาการใช้งานจาก IP ของฉัน (หากคุณทราบว่า IP แทนที่ 192.168.1.1):

ฟิลด์ @timestamp, @ข้อความ
| กรอง sourceIPAddress == "192.168.1.1"
| จัดเรียง @timestamp desc
| จำกัด 20

ค้นหากิจกรรมจากบทบาทที่ฉันคิด:

ฟิลด์ @timestamp, @ข้อความ
| กรอง userIdentity.sessionContext.sessionIssuer.userName == "ผู้ดูแลระบบ"
| จัดเรียง @timestamp desc
| จำกัด 20

จากนั้นฉันสามารถขยายแถวใดก็ได้ด้วยลูกศรทางซ้ายเพื่อค้นหาฟิลด์ที่มีประโยชน์เพิ่มเติม ฟิลด์ใด ๆ สามารถเพิ่มลงใน เขตข้อมูล รายการเพื่อให้แสดงอย่างสวยงามเช่น ใช้ IP & Role & Service เพื่อจำกัดการค้นหาและแสดงข้อมูลที่เป็นประโยชน์:

ฟิลด์ @timestamp, eventName, eventType, requestParameters.bucketName, requestParameters.key, resource.0.ARN
| กรอง sourceIPAddress == "xx.xx.xx.xx" และ userIdentity.sessionContext.sessionIssuer.userName == "Admin" และ eventSource == "s3.amazonaws.com"
| จัดเรียง @timestamp desc
| จำกัด 100

อัปเดตด่วน: ฉันลงชื่อเข้าใช้บัญชีพื้นที่เก็บข้อมูลสำรองของฉัน เพื่อค้นหาผู้ใช้ IAM จริง คีย์คือ:

กรอง userIdentity.userName == "iam-ชื่อผู้ใช้"