# Registro em log das chamadas de API da Resposta a Incidentes de Segurança da AWS usando o AWS CloudTrail
A Resposta a Incidentes de Segurança da AWS está integrada com o AWS CloudTrail, um serviço que fornece um registro das ações realizadas por um usuário, perfil ou serviço da AWS na Resposta a Incidentes de Segurança. O CloudTrail captura todas as chamadas de API da Resposta a Incidentes de Segurança como eventos. As chamadas capturadas incluem as chamadas realizadas pelo console da Resposta a Incidentes de Segurança e as chamadas de código para as operações da API da Resposta a Incidentes de Segurança. Se você criar uma trilha, poderá habilitar a entrega contínua dos eventos do CloudTrail para um bucket do Amazon S3, incluindo eventos relacionados à Resposta a Incidentes de Segurança. Se você não configurar uma trilha, ainda poderá visualizar os eventos mais recentes no console do CloudTrail no **Histórico de eventos**. Com as informações coletadas pelo CloudTrail, é possível determinar qual solicitação foi feita à Resposta a Incidentes de Segurança, o endereço IP de origem da solicitação, quem a realizou, quando foi realizada e outros detalhes adicionais.
Para saber mais sobre o CloudTrail, consulte o [Guia do usuário do AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html).
# Informações da Resposta a Incidentes de Segurança no CloudTrail
O CloudTrail é habilitado em sua Conta da AWS quando ela é criada. Quando ocorre uma atividade na Resposta a Incidentes de Segurança, essa atividade é registrada como um evento do CloudTrail, juntamente com os demais eventos de serviços da AWS no **Histórico de eventos**. Você pode exibir, pesquisar e baixar eventos recentes em sua Conta da AWS. Para obter mais informações, consulte [Como visualizar eventos com o histórico de eventos do CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html).
Para obter um registro contínuo de eventos em sua Conta da AWS nos últimos 90 dias, crie uma trilha ou um armazenamento de dados de eventos do [CloudTrail Lake](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake.html).
**Trilhas do CloudTrail**
Uma *trilha* permite que o CloudTrail entregue arquivos de log a um bucket do Amazon S3. As trilhas criadas usando o Console de gerenciamento da AWS são de várias regiões. Só é possível criar uma trilha de região única ou de várias regiões usando a AWS CLI. Criar uma trilha de várias regiões é uma prática recomendada, pois você captura atividades em todas as Regiões da AWS da conta. Ao criar uma trilha de região única, é possível visualizar somente os eventos registrados na Região da AWS da trilha. Para obter mais informações sobre trilhas, consulte [Criar uma trilha para a Conta da AWS](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html) e [Criar uma trilha para uma organização](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/creating-trail-organization.html) no *Guia do usuário do AWS CloudTrail*.
Uma cópia dos eventos de gerenciamento em andamento pode ser entregue no bucket do Amazon S3 sem nenhum custo via CloudTrail com a criação de uma trilha; no entanto, há cobranças de armazenamento do Amazon S3. Para obter mais informações sobre os preços do CloudTrail, consulte [Preços do AWS CloudTrail](https://aws.amazon.com/cloudtrail/pricing/). Para receber informações sobre a definição de preços do Amazon S3, consulte [Definição de preços do Amazon S3](https://aws.amazon.com/s3/pricing/).
**Armazenamentos de dados de eventos do CloudTrail Lake**
O *CloudTrail Lake* permite executar consultas baseadas em SQL nos eventos. O CloudTrail Lake converte eventos existentes em formato JSON baseado em linhas para o formato [Apache ORC](https://orc.apache.org/). O ORC é um formato colunar de armazenamento otimizado para recuperação rápida de dados. Os eventos são agregados em *armazenamentos de dados de eventos*, que são coleções imutáveis de eventos baseados nos critérios selecionados com a aplicação de [seletores de eventos avançados](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake-concepts.html#adv-event-selectors). Os seletores que aplicados a um armazenamento de dados de eventos controlam quais eventos persistem e estão disponíveis para consulta. Para obter mais informações sobre o CloudTrail Lake, consulte [Trabalhar com o AWS CloudTrail Lake](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake.html), no *Guia do usuário do AWS CloudTrail*.
Os armazenamentos de dados de eventos e consultas do CloudTrail Lake incorrem em custos. Ao criar um armazenamento de dados de eventos, você escolhe a [opção de preço](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake-manage-costs.html#cloudtrail-lake-manage-costs-pricing-option) que deseja usar para ele. A opção de preço determina o custo para a ingestão e para o armazenamento de eventos, e o período de retenção padrão e máximo para o armazenamento de dados de eventos. Para obter mais informações sobre os preços do CloudTrail, consulte [Preços do AWS CloudTrail](https://aws.amazon.com/cloudtrail/pricing/).
Todas as ações da Resposta a Incidentes de Segurança são registradas em log pelo CloudTrail e estão documentadas na [Referência da API da Resposta a Incidentes de Segurança da AWS](https://docs.aws.amazon.com/security-ir/latest/APIReference/). Por exemplo, as chamadas às ações `CreateMembership`, `CreateCase` e `UpdateCase` geram entradas nos arquivos de log do CloudTrail.
Cada entrada de log ou evento contém informações sobre quem gerou a solicitação. As informações de identidade ajudam a determinar:
+ Se a solicitação foi feita com credenciais de usuário-raiz ou usuário do AWS Identity and Access Management (IAM).
+ Se a solicitação foi feita com credenciais de segurança temporárias de um perfil ou de um usuário federado.
+ Se a solicitação foi feita por outro AWS serviço.
Para obter mais informações, consulte [Elemento userIdentity do CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html).
# Noções básicas sobre as entradas de arquivos de log da Resposta a Incidentes de Segurança
Uma trilha é uma configuração que permite a entrega de eventos como arquivos de log a um bucket do Amazon S3 especificado. Os arquivos de log CloudTrail contêm uma ou mais entradas de log. Um evento representa uma única solicitação de qualquer fonte, e inclui informações sobre a ação solicitada, data e hora da ação, parâmetros da solicitação e assim por diante. Os arquivos de log do CloudTrail não são um rastreamento de pilha ordenada de chamadas de API pública, portanto, não são exibidos em uma ordem específica.
O exemplo apresentado a seguir mostra uma entrada de log do CloudTrail que demonstra a ação CreateCase.
```
{
"eventVersion": "1.09",
"userIdentity": {
"type": "AssumedRole",
"principalId": "AROA00000000000000000:user",
"arn": "arn:aws:sts::123412341234:assumed-role/Admin/user",
"accountId": "123412341234",
"accessKeyId": "****",
"sessionContext": {
"sessionIssuer": {
"type": "Role",
"principalId": "AROA00000000000000000",
"arn": "arn:aws:iam::123412341234:role/Admin",
"accountId": "123412341234",
"userName": "Admin"
},
"attributes": {
"creationDate": "2024-10-13T06:32:53Z",
"mfaAuthenticated": "false"
}
}
},
"eventTime": "2024-10-13T06:40:45Z",
"eventSource": "security-ir.amazonaws.com",
"eventName": "CreateCase",
"awsRegion": "us-east-1",
"sourceIPAddress": "1.2.3.4",
"userAgent": "aws-cli/2.17.23 md/awscrt#0.20.11 ua/2.0 os/macos#23.6.0 md/arch#x86_64 lang/python#3.11.9 md/pyimpl#CPython cfg/retry-mode#standard md/installer#exe md/prompt#off md/command#security-ir.create-case",
"requestParameters": {
"impactedServices": [
"Amazon GuardDuty"
],
"impactedAccounts": [],
"clientToken": "testToken112345679",
"resolverType": "Self",
"description": "***",
"engagementType": "Investigation",
"watchers": [
{
"email": "***",
"name": "***",
"jobTitle": "***"
}
],
"membershipId": "m-r1abcdabcd",
"title": "***",
"impactedAwsRegions": [
{
"region": "ap-southeast-1"
}
],
"reportedIncidentStartDate": 1711553521,
"threatActorIpAddresses": [
{
"ipAddress": "***",
"userAgent": "browser"
}
]
},
"responseElements": {
"caseId": "0000000001"
},
"requestID": "2db4b08d-94a9-457a-9474-5892e6c8191f",
"eventID": "b3fa3990-db82-43be-b120-c81262cc2f19",
"readOnly": false,
"resources": [
{
"accountId": "123412341234",
"type": "AWS::SecurityResponder::Case",
"ARN": "arn:aws:security-ir:us-east-1:123412341234:case/*"
}
],
"eventType": "AwsApiCall",
"managementEvent": true,
"recipientAccountId": "123412341234",
"eventCategory": "Management"
}
```