amazon-web-services - 如何检测有人删除 Cloudtrail 日志

Question

我想监控是否有人试图从我的 CloudTrail 的 S3 存储桶中删除日志。

我曾尝试用我自己的 IAM 用户删除自己在这个存储桶上的日志之一，但 CloudTrail 本身似乎没有注意到我已经从它的存储桶中删除了一个对象。

我是否必须激活特定的监控来检查这些日志是否被可能的攻击者删除？

还有一个好处:Guard Duty 是否可以通过任何方式检测我的环境中的此类行为？

提前致谢。

Answer 1

您可以使用 CloudTrail log validation为此，可以在控制台或通过 AWS CLI 启用:

To validate the integrity of CloudTrail log files, you can use the AWSCLI or create your own solution. The AWS CLI will validate files inthe location where CloudTrail delivered them.