運用管理

AWS CloudTrail で実現する API 監査ログ - 証跡の設計とセキュリティ分析

全 API アクティビティを記録し、CloudTrail Lake の SQL クエリで高度な分析を実行する。Insights による異常パターンの自動検出と EventBridge 連携のリアルタイム検出を紹介します。

約 3 分で読めます

CloudTrail の概要

CloudTrail は AWS アカウントの API アクティビティを記録するサービスです。EC2 インスタンスの起動、S3 バケットの作成、IAM ポリシーの変更など、あらゆる API コールが記録されます。デフォルトで過去 90 日間のマネジメントイベントが無料で閲覧でき、証跡を作成すると S3 バケットに無期限で保存されます。各イベントには呼び出し元の IAM エンティティ、送信元 IP アドレス、リクエストパラメータ、レスポンス要素が含まれ、「誰が、いつ、何を、どこから」を正確に追跡できます。イベント配信のレイテンシは通常 5〜15 分で、リアルタイム監視には EventBridge との統合が必要です。

証跡設計と CloudTrail Lake

証跡は全リージョンに適用する組織証跡が推奨です。S3 バケットに JSON 形式でイベントが保存され、SSE-KMS で暗号化します。組織証跡は AWS Organizations のマスターアカウントから作成し、全メンバーアカウントのイベントを 1 つの S3 バケットに集約します。バケットポリシーで CloudTrail サービスプリンシパルからの書き込みのみを許可し、オブジェクトロックで改ざんを防止します。CloudTrail Lake はイベントデータストアに最大 7 年間 (延長保持で最大 2,555 日) イベントを保持し、SQL クエリで検索・分析できます。Athena と異なり事前の Glue テーブル定義やパーティション設計が不要で、取り込み時にインデックスが自動生成されるためクエリ応答が高速です。「過去 30 日間に IAM ユーザーを作成したイベント」「特定の IP アドレスからの API コール」などのクエリを即座に実行できます。

データイベントとインサイト

データイベントは S3 オブジェクトレベルの操作 (GetObject、PutObject)、Lambda 関数の呼び出し、DynamoDB のテーブル操作を記録します。管理イベントと比較してイベント量が大幅に多いため、対象リソースを絞り込んで有効化します。CloudTrail Insights は管理イベントの異常パターン (API コール数の急増、エラー率の上昇) を自動検出し、通常とは異なるアクティビティをハイライトします。例えば、通常 1 日 10 回程度の RunInstances が突然 1,000 回呼び出された場合にインサイトイベントが生成されます。EventBridge との統合で、特定の API コール (DeleteBucket、StopLogging) をリアルタイムに検出して Lambda でアラートを発行できます。 CloudTrail の基礎から応用まで、書籍 (Amazon)で体系的に学べます。

設計のベストプラクティスと落とし穴

証跡の S3 バケットは専用アカウント (ログアーカイブアカウント) に配置し、本番アカウントの管理者がログを削除・改ざんできない構成にします。バケットポリシーで PutObject のみを許可し、削除系 API を明示的に Deny します。ログファイルの整合性検証 (ダイジェストファイル) を有効にすると、配信後のログ改ざんを暗号学的に検出できます。よくある落とし穴として、組織証跡を作成したのにメンバーアカウントで個別証跡を残すと二重課金が発生します。また、CloudTrail Lake のイベントデータストアに同一イベントを複数回取り込むとストレージコストが倍増するため、取り込みソース (組織証跡 vs アカウント別証跡) の重複を避ける設計が重要です。S3 バケットへの配信失敗はサイレントに発生するため、CloudWatch メトリクス (InsufficientS3BucketPolicy など) を監視し、ログ欠損を早期に検知する仕組みが不可欠です。

CloudTrail Lake と Athena の比較

S3 に保存された CloudTrail ログの分析には、CloudTrail Lake と Athena + S3 の 2 つのアプローチがあります。CloudTrail Lake はセットアップが容易でインデックス済みデータに即座にクエリを発行でき、スキャン量あたり約 0.005 ドル/GB で課金されます。一方 Athena は S3 上の生ログを直接スキャンし、スキャンデータ量あたり約 5 ドル/TB (Parquet 変換すればデータ削減可能) で課金されます。少量の調査クエリを頻繁に実行する用途では CloudTrail Lake が経済的で、大量の過去ログを横断分析する場合や独自のパーティション戦略を適用したい場合は Athena が柔軟です。両者は排他ではなく、直近の調査は Lake、長期傾向分析は Athena と使い分ける構成が実務的です。Lake のクエリ結果はダッシュボードとして保存でき、繰り返し実行する定型調査に便利です。

CloudTrail の料金最適化

管理イベントの最初の証跡は無料で、追加の証跡は 100,000 イベントあたり約 2 ドルです。データイベントは 100,000 イベントあたり約 0.10 ドルで、S3 の読み取り操作が多い環境ではコストが急増します。CloudTrail Lake のクエリはスキャンしたデータ量で課金され、1 GB あたり約 0.005 ドルです。データイベントの対象を機密性の高いバケットや重要な Lambda 関数に限定し、全リソースへの一律適用を避けることでコストを管理します。S3 に保存されたログの保持期間をライフサイクルルールで管理し、古いログを Glacier に移行してストレージコストを削減します。CloudTrail Lake のイベントデータストアは保持期間が長いほどストレージ料金が蓄積するため、コンプライアンス要件と照らし合わせて適切な保持期間 (1 年、3 年、7 年) を選択します。

まとめ

CloudTrail は AWS アカウントの全 API アクティビティを記録する監査ログサービスです。CloudTrail Lake で SQL クエリによる高度な分析を実行し、Insights で異常な API コールパターンを自動検出します。組織証跡で全アカウントのログを一元管理し、EventBridge 連携でセキュリティイベントのリアルタイム検出を実現します。

関連するサービス

AWS CloudTrailAWS アカウントの API アクティビティを記録・監視するサービスAmazon S3スケーラブルなオブジェクトストレージサービスAmazon GuardDuty機械学習を活用した脅威検出サービス

関連する記事

AWS Config で実現する継続的コンプライアンス監視 - ルール評価と自動修復AWS Config によるリソース構成の記録、Config ルールによるコンプライアンス評価、自動修復アクションの設定を解説します。監査ログの設計と運用 - CloudTrail による API アクティビティの完全記録AWS CloudTrail を活用した監査ログの設計手法を解説し、API アクティビティの記録、S3 への長期保存、Config との連携によるコンプライアンス対応を紹介します。IAM Access Analyzer で検出する過剰なアクセス権限 - 外部アクセスと未使用権限の分析IAM ロールの未使用権限を CloudTrail ベースで検出し、最小権限ポリシーを自動生成する。外部アクセスの検出と CI/CD へのカスタムポリシーチェック組み込みまでを解説します。

同じテーマの記事

AWS の内部時刻同期の仕組み - Amazon Time Sync Service とうるう秒スミアリングの設計AWS が独自に運用する Amazon Time Sync Service の仕組み、GPS と原子時計による高精度時刻源、うるう秒をスミアリングで吸収する設計判断、分散システムにおける時刻同期の重要性を解説します。AWS AppFabric で SaaS 監査ログを集約 - OCSF 標準化と Security Lake 統合AppFabric による SaaS アプリケーションの監査ログ収集、OCSF 形式への標準化、分析パイプラインの構築を解説します。AWS AppConfig で実装するフィーチャーフラグ - 安全な設定デプロイとロールバックコードデプロイとは独立した設定変更を、Linear・Exponential 戦略で段階的にロールアウトする。CloudWatch アラーム連動の自動ロールバックで安全性を確保します。アーキテクチャレビュー - AWS Well-Architected Tool でワークロードを体系的に評価するAWS Well-Architected Tool を使ったワークロードのアーキテクチャレビューを解説。6 つの柱に基づく評価、改善計画の策定、カスタムレンズの活用を紹介します。監査ログの設計と運用 - CloudTrail による API アクティビティの完全記録AWS CloudTrail を活用した監査ログの設計手法を解説し、API アクティビティの記録、S3 への長期保存、Config との連携によるコンプライアンス対応を紹介します。AWS の障害報告書 (COE) から学ぶ分散システムの教訓 - 過去の大規模障害が変えた設計原則AWS が公開した Correction of Errors (COE) と障害報告書から、S3 障害、us-east-1 の DNS 障害、Kinesis 障害など過去の大規模インシデントの根本原因と、それが AWS の設計原則をどう変えたかを解説します。タグの設計が運用を決める - AWS リソースタグ戦略の雑学と実践的な命名規則AWS リソースタグが単なるラベルではなくコスト配分、アクセス制御、自動化の基盤である理由、タグキーの命名規則、タグの上限 50 個の使い方、タグポリシーによるガバナンスを解説します。AWS のサービスクォータはなぜ存在するのか - 共有インフラを守るマルチテナント設計AWS のサービスクォータ (旧サービス制限) が単なる制約ではなく、マルチテナント環境で他の顧客を守るための設計であることを、ノイジーネイバー問題、ソフトリミットとハードリミットの違い、引き上げ申請の裏側から解説します。

内容が近い記事・サービス

監査ログの設計と運用 - CloudTrail による API アクティビティの完全記録AWS CloudTrail を活用した監査ログの設計手法を解説し、API アクティビティの記録、S3 への長期保存、Config との連携によるコンプライアンス対応を紹介します。CloudTrail はすべてを見ている - API 呼び出しの記録メカニズムとフォレンジック調査の実践CloudTrail が AWS API 呼び出しを記録する仕組み、管理イベントとデータイベントの違い、CloudTrail Lake による SQL 分析、セキュリティインシデント発生時のフォレンジック調査手法を解説します。AWS CloudTrailAWS アカウント内の API 呼び出しを自動記録し、誰がいつ何をしたかを追跡できる監査・セキュリティサービスAmazon Security Lake で構築するセキュリティデータレイク - OCSF 形式での統合分析Security Lake による CloudTrail、VPC フローログ、Route 53 ログの自動集約、OCSF 正規化、サブスクライバーとの統合を解説します。