CloudTrail ログファイルの整合性の検証とは
- CloudTrail のログファイルの改竄有無を確認できる
- CloudTrail が作成するダイジェストファイル（ログファイルのハッシュを含むファイル）とログファイルを使って検証する
詳細はこちら
なぜログファイルの整合性を検証するのか
- セキュリティおよびフォレンシック調査で重要
- CloudTrail のログファイルが改竄有無を確認できる
詳細はこちら
この記事で試したこと
AWS CloudTrail のログファイルが改竄有無を AWS CLI を使って検証しました。
改竄無し、改竄有り（変更、削除）、の結果もそれぞれ記載しています。
前提
- CloudTrail が有効になっていること
- AWS CLI が使えること
検証準備
CloudtTrail のログファイルの整合性検証を有効にする （デフォルトは有効）
CloudTrail に紐付く S3 Bucket にダイジェストファイルがあることを確認する （ダイジェストファイルは整合性検証を有効化後、約1時間で作成される）
検証方法
こちらのコマンドで検証します
「--start-time」と「--trail-arn」オプションは必須です
aws cloudtrail validate-logs --start-time <開始時間> --end-time <終了時間> --trail-arn <CloudTrailのARN> --verbose
コマンドの詳細はこちら
検証結果（改竄されていない場合）
エラーなく終了
$ aws cloudtrail validate-logs --start-time 20211120T07:00:00Z --end-time 20211120T08:00:00Z --trail-arn arn:aws:cloudtrail:us-east-1:123456789012:trail/management-events
Validating log files for trail arn:aws:cloudtrail:us-east-1:123456789012:trail/management-events between 2021-11-20T07:00:00Z and 2021-11-20T08:00:00Z
Results requested for 2021-11-20T07:00:00Z to 2021-11-20T08:00:00Z
Results found for 2021-11-20T07:28:41Z to 2021-11-20T08:00:00Z:
2/2 digest files valid
23/23 log files valid
検証結果（改竄されている場合）
ログファイルが変更されている場合、Log fileの右側に「INVALID: hash value doesn't match」が出力される
$ aws cloudtrail validate-logs --start-time 20211120T07:00:00Z --end-time 20211120T08:00:00Z --trail-arn arn:aws:cloudtrail:us-east-1:123456789012:trail/management-events
Validating log files for trail arn:aws:cloudtrail:us-east-1:123456789012:trail/management-events between 2021-11-20T07:00:00Z and 2021-11-20T08:00:00Z
Log file s3://aws-cloudtrail-logs-123456789012-d916811f/AWSLogs/123456789012/CloudTrail/us-east-1/2021/11/20/123456789012_CloudTrail_us-east-1_20211120T0755Z_mlU5fRkEPtpb6a8X.json.gz INVALID: hash value doesn't match
Results requested for 2021-11-20T07:00:00Z to 2021-11-20T08:00:00Z
Results found for 2021-11-20T07:28:41Z to 2021-11-20T08:00:00Z:
2/2 digest files valid
22/23 log files valid, 1/23 log files INVALID
ログファイルが削除されている場合、Log fileの右側に「INVALID: not found」が出力される
$ aws cloudtrail validate-logs --start-time 20211120T07:00:00Z --end-time 20211120T08:00:00Z --trail-arn arn:aws:cloudtrail:us-east-1:123456789012:trail/management-events
Validating log files for trail arn:aws:cloudtrail:us-east-1:123456789012:trail/management-events between 2021-11-20T07:00:00Z and 2021-11-20T08:00:00Z
Log file s3://aws-cloudtrail-logs-123456789012-d916811f/AWSLogs/123456789012/CloudTrail/us-east-1/2021/11/20/123456789012_CloudTrail_us-east-1_20211120T0755Z_mlU5fRkEPtpb6a8X.json.gz INVALID: not found
Results requested for 2021-11-20T07:00:00Z to 2021-11-20T08:00:00Z
Results found for 2021-11-20T07:28:41Z to 2021-11-20T08:00:00Z:
2/2 digest files valid
22/23 log files valid, 1/23 log files INVALID