2.3 - Concevoir et mettre en oeuvre une solution de journalisation (CloudTrail, Flow Logs, Athena, Logs Insights, OpenSearch)

1. Une equipe veut savoir quelles adresses sources ont ete rejetees par les groupes de securite et les ACL reseau sur un sous-reseau. Quel journal repond a cela ?

• Les journaux de flux VPC (bonne réponse)
• Les evenements de gestion CloudTrail
• Les journaux d'acces au serveur S3
• Les journaux de requetes Route 53 Resolver, qui capturent les noms DNS demandes par les ressources du VPC et les reponses qui leur sont renvoyees

Les journaux de flux enregistrent les metadonnees du trafic IP au niveau du VPC, du sous-reseau ou de l'interface reseau, avec un champ action valant ACCEPT ou REJECT. CloudTrail enregistre des appels d'API plutot que des paquets, les journaux d'acces S3 decrivent des requetes sur un bucket, et les journaux Resolver couvrent des noms DNS sans aucune notion de decision de groupe de securite.

2. Quelle limite des journaux de flux VPC une conception doit-elle prendre en compte ?

• Ils ne peuvent etre livres que vers Amazon S3, jamais vers CloudWatch Logs
• Ils sont conserves exactement 90 jours puis supprimes
• Ils doivent etre actives separement sur chaque interface reseau elastique, l'activation au niveau du VPC ou du sous-reseau n'etant pas proposee par le service
• Ils ne capturent pas le contenu des paquets, et une partie du trafic comme les requetes de metadonnees d'instance est exclue (bonne réponse)

Les journaux de flux sont des enregistrements de metadonnees, et le trafic vers le service de metadonnees d'instance, vers le serveur DNS Amazon, le trafic DHCP et l'activation de licence Windows ne sont pas captures. Les destinations comprennent CloudWatch Logs, S3 et Data Firehose, la retention depend de la destination plutot que d'un delai fixe de 90 jours, et un journal de flux peut etre attache au VPC, au sous-reseau ou a l'interface.

3. Un auditeur demande la preuve que les fichiers CloudTrail n'ont pas ete modifies depuis leur livraison. Quelle fonctionnalite la fournit ?

• Le chiffrement cote serveur du bucket S3 avec une cle KMS geree par le client
• La validation d'integrite avec des fichiers de resume signes (bonne réponse)
• Le versionnement S3 combine a une politique de cycle de vie qui fait passer les anciennes versions de chaque objet vers les classes de stockage Glacier
• CloudTrail Insights

La validation d'integrite fait livrer par CloudTrail des fichiers de resume horaires, haches et signes avec une cle privee, ce qui permet a quiconque de verifier qu'aucun fichier n'a ete modifie ou supprime. Le chiffrement protege la confidentialite mais ne prouve rien sur l'alteration, le versionnement et le cycle de vie conservent des copies sans preuve cryptographique, et Insights detecte une activite d'API inhabituelle.

4. Une organisation de 60 comptes doit avoir CloudTrail actif partout, les journaux centralises, et des administrateurs membres incapables de couper la journalisation. Que faut-il creer ?

• Un trail par compte ecrivant dans un bucket du meme compte
• Une regle de replication S3 copiant chaque bucket de compte vers un bucket d'archive central, avec une tache nocturne qui reconcilie les objets et signale les comptes manquants
• Un trail d'organisation cree depuis le compte de gestion ou l'administrateur delegue (bonne réponse)
• Un filtre d'abonnement CloudWatch Logs dans chaque compte

Un trail d'organisation se cree une fois, s'applique a tous les comptes membres presents et futurs, et ne peut etre ni modifie ni supprime depuis un compte membre. Des trails par compte peuvent etre coupes localement, une chaine de replication et de reconciliation S3 est un contournement fragile, et les filtres d'abonnement deplacent des donnees CloudWatch sans garantir qu'un trail existe.

5. Les requetes Athena sur plusieurs teraoctets de journaux CloudTrail dans S3 sont lentes et couteuses. Quel changement aide le plus ?

• Partitionner la table par region et par date, et filtrer sur la partition dans la requete (bonne réponse)
• Augmenter le delai d'expiration des requetes Athena et les lancer en heures creuses
• Copier l'ensemble des donnees dans un cluster Amazon Redshift provisionne pour la plus grosse requete jamais lancee par les analystes sur l'archive
• Activer S3 Transfer Acceleration sur le bucket de journaux

Athena facture les donnees analysees : le partitionnement permet donc a une requete de ne lire que les prefixes pertinents, et la projection de partitions evite de charger les partitions a la main. Un delai plus long ne reduit pas le volume analyse, tout deplacer dans Redshift ajoute un cout permanent important pour des requetes occasionnelles, et Transfer Acceleration n'accelere que les televersements sur longue distance.

6. Un analyste veut compter les lignes d'echec d'authentification par adresse source directement dans un groupe de journaux CloudWatch, sans deplacer les donnees. Quel outil convient ?

• Amazon Athena pointe sur le groupe de journaux
• Un crawler AWS Glue qui catalogue le groupe de journaux et l'expose en table dans le catalogue de donnees pour les moteurs de requete en aval
• Amazon QuickSight connecte a CloudWatch
• CloudWatch Logs Insights avec une requete stats by (bonne réponse)

Logs Insights interroge un groupe de journaux sur place avec un langage dedie, et stats count by sourceIPAddress donne la reponse immediatement. Athena et Glue travaillent sur des donnees dans S3 et non sur un groupe de journaux vivant, et QuickSight visualise des jeux de donnees issus de sources comme Athena ou S3 plutot que d'interroger directement CloudWatch Logs.