本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 使用 記錄 AWS 安全事件回應 API 呼叫 AWS CloudTrail
AWS 安全事件回應已與 服務整合 AWS CloudTrail，此服務提供使用者、角色或 AWS 服務在安全事件回應中採取的動作記錄。CloudTrail 會將安全事件回應的所有 API 呼叫擷取為事件。擷取的呼叫包括來自安全事件回應主控台的呼叫，以及對安全事件回應 API 操作的程式碼呼叫。如果您建立線索，則可以將 CloudTrail 事件持續交付至 Amazon S3 儲存貯體，包括安全事件回應的事件。即使您未設定追蹤，依然可以透過 CloudTrail 主控台中的**事件歷史記錄**檢視最新事件。您可以使用 CloudTrail 所收集的資訊，判斷對安全事件回應提出的請求、提出請求的 IP 地址、提出請求的人員、提出請求的時間，以及其他詳細資訊。
若要進一步了解 CloudTrail，請參閱[「AWS CloudTrail 使用者指南」](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html)。
# CloudTrail 中的安全事件回應資訊
當您建立帳戶 AWS 帳戶 時，您的 上會啟用 CloudTrail。當活動在安全事件回應中發生時，該活動會與**事件歷史記錄**中的其他服務 AWS 事件一起記錄在 CloudTrail 事件中。您可以在 中檢視、搜尋和下載最近的事件 AWS 帳戶。如需詳細資訊，請參閱[「使用 CloudTrail 事件歷史記錄檢視事件」](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)。
如需 AWS 帳戶 過去 90 天內持續記錄的事件，請建立線索或 [CloudTrail Lake](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake.html) 事件資料存放區。
**CloudTrail 追蹤**
*線索*能讓 CloudTrail 將日誌檔案交付至 Amazon S3 儲存貯體。使用 建立的所有線索 AWS 管理主控台 都是多區域。您可以使用 AWS CLI建立單一或多區域追蹤。建議您建立多區域追蹤，因為您擷取 AWS 區域 帳戶中所有 的活動。如果您建立單一區域追蹤，您只能檢視追蹤 AWS 區域中記錄的事件。如需追蹤的詳細資訊，請參閱《AWS CloudTrail 使用者指南》**中的[為您的 AWS 帳戶建立追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)和[為組織建立追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/creating-trail-organization.html)。
您可以透過建立追蹤，免費將持續管理事件的一個複本從 CloudTrail 傳遞至您的 Amazon S3 儲存貯體，但這樣做會產生 Amazon S3 儲存費用。如需 CloudTrail 定價的詳細資訊，請參閱 [AWS CloudTrail 定價](https://aws.amazon.com/cloudtrail/pricing/)。如需 Amazon S3 定價的相關資訊，請參閱 [Amazon S3 定價](https://aws.amazon.com/s3/pricing/)。
**CloudTrail Lake 事件資料存放區**
*CloudTrail Lake* 讓您能夠對事件執行 SQL 型查詢。CloudTrail Lake 會將分列式 JSON 格式的現有事件轉換為 [Apache ORC](https://orc.apache.org/) 格式。ORC 是一種單欄式儲存格式，針對快速擷取資料進行了最佳化。系統會將事件彙總到*事件資料存放區*中，事件資料存放區是事件的不可變集合，其依據為您透過套用[進階事件選取器](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake-concepts.html#adv-event-selectors)選取的條件。套用於事件資料存放區的選取器控制哪些事件持續存在並可供您查詢。如需 CloudTrail Lake 的詳細資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 AWS CloudTrail Lake](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake.html)。
CloudTrail Lake 事件資料存放區和查詢會產生費用。建立事件資料存放區時，您可以選擇要用於事件資料存放區的[定價選項](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-lake-manage-costs.html#cloudtrail-lake-manage-costs-pricing-option)。此定價選項將決定擷取和儲存事件的成本，以及事件資料存放區的預設和最長保留期。如需 CloudTrail 定價的詳細資訊，請參閱 [AWS CloudTrail 定價](https://aws.amazon.com/cloudtrail/pricing/)。
CloudTrail 會記錄所有安全事件回應動作，並記錄在[AWS 安全事件回應 API 參考](https://docs.aws.amazon.com/security-ir/latest/APIReference/)中。例如，對 `CreateMembership`、`CreateCase` 和 `UpdateCase` 動作發出的呼叫會在 CloudTrail 記錄檔案中產生專案。
每一筆事件或日誌專案都會包含產生請求者的資訊。身分資訊可協助您判斷下列事項：
+ 是否使用根或 AWS Identity and Access Management (IAM) 使用者登入資料提出請求。
+ 提出該請求時，是否使用了特定角色或聯合身分使用者的暫時安全憑證。
+ 請求是否由其他 AWS 服務提出。
如需詳細資訊，請參閱 [CloudTrail userIdentity 元素](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)。
# 了解安全事件回應日誌檔案項目
追蹤是一種組態，能讓事件以日誌檔案的形式交付到您指定的 Amazon S3 儲存貯體。CloudTrail 日誌檔案包含一或多個日誌專案。一個事件為任何來源提出的單一請求，並包含請求動作、請求的日期和時間、請求參數等資訊。CloudTrail 日誌檔並非依公有 API 呼叫的堆疊追蹤排序，因此不會以任何特定順序出現。
下列範例顯示示範 CreateCase 動作的 CloudTrail 日誌項目。
```
{
"eventVersion": "1.09",
"userIdentity": {
"type": "AssumedRole",
"principalId": "AROA00000000000000000:user",
"arn": "arn:aws:sts::123412341234:assumed-role/Admin/user",
"accountId": "123412341234",
"accessKeyId": "****",
"sessionContext": {
"sessionIssuer": {
"type": "Role",
"principalId": "AROA00000000000000000",
"arn": "arn:aws:iam::123412341234:role/Admin",
"accountId": "123412341234",
"userName": "Admin"
},
"attributes": {
"creationDate": "2024-10-13T06:32:53Z",
"mfaAuthenticated": "false"
}
}
},
"eventTime": "2024-10-13T06:40:45Z",
"eventSource": "security-ir.amazonaws.com",
"eventName": "CreateCase",
"awsRegion": "us-east-1",
"sourceIPAddress": "1.2.3.4",
"userAgent": "aws-cli/2.17.23 md/awscrt#0.20.11 ua/2.0 os/macos#23.6.0 md/arch#x86_64 lang/python#3.11.9 md/pyimpl#CPython cfg/retry-mode#standard md/installer#exe md/prompt#off md/command#security-ir.create-case",
"requestParameters": {
"impactedServices": [
"Amazon GuardDuty"
],
"impactedAccounts": [],
"clientToken": "testToken112345679",
"resolverType": "Self",
"description": "***",
"engagementType": "Investigation",
"watchers": [
{
"email": "***",
"name": "***",
"jobTitle": "***"
}
],
"membershipId": "m-r1abcdabcd",
"title": "***",
"impactedAwsRegions": [
{
"region": "ap-southeast-1"
}
],
"reportedIncidentStartDate": 1711553521,
"threatActorIpAddresses": [
{
"ipAddress": "***",
"userAgent": "browser"
}
]
},
"responseElements": {
"caseId": "0000000001"
},
"requestID": "2db4b08d-94a9-457a-9474-5892e6c8191f",
"eventID": "b3fa3990-db82-43be-b120-c81262cc2f19",
"readOnly": false,
"resources": [
{
"accountId": "123412341234",
"type": "AWS::SecurityResponder::Case",
"ARN": "arn:aws:security-ir:us-east-1:123412341234:case/*"
}
],
"eventType": "AwsApiCall",
"managementEvent": true,
"recipientAccountId": "123412341234",
"eventCategory": "Management"
}
```