Condividi tramite

AWSCloudTrail

  • Articolo

I log cloudTrail, inseriti dal connettore di Sentinel, in cui sono contenuti tutti i dati e gli eventi di gestione dell'account Amazon Wev Services.

Attributi di tabella

Attributo Valore
Tipi di risorse -
Categorie Sicurezza
Soluzioni SecurityInsights
Log di base No
Trasformazione in fase di inserimento Sì
Query di esempio Sì

Colonne

Column Type Descrizione
AdditionalEventData string Dati aggiuntivi sull'evento che non faceva parte della richiesta o della risposta.
APIVersion string Identifica la versione dell'API associata al valore eventType awsApiCall.
AwsEventId string GUID generato da CloudTrail per identificare in modo univoco ogni evento. È possibile usare questo valore per identificare un singolo evento.
AWSRegion string Area AWS a cui è stata effettuata la richiesta.
AwsRequestId string deprecato, usare invece AwsRequestId_.
AwsRequestId_ string Valore che identifica la richiesta. Il servizio chiamato genera questo valore.
_BilledSize real Dimensioni del record in byte
Categoria string Mostra la categoria di eventi utilizzata nelle chiamate LookupEvents.
CidrIp string L'INDIRIZZO IP CIDR si trova in RequestParameters in CloudTrail e viene usato per specificare le autorizzazioni IP per una regola del gruppo di sicurezza. Intervallo CIDR IPv4.
CipherSuite string Facoltativo. Parte di tlsDetails. Suite di crittografia (combinazione di algoritmi di sicurezza usati) di una richiesta.
ClientProvidedHostHeader string Facoltativo. Parte di tlsDetails. Nome host fornito dal client usato nella chiamata API del servizio, che in genere è il nome di dominio completo dell'endpoint di servizio.
DestinationPort string DestinationPort si trova in RequestParameters in CloudTrail e viene usato per specificare le autorizzazioni IP per una regola del gruppo di sicurezza. Fine dell'intervallo di porte per i protocolli TCP e UDP o codice ICMP.
EC2RoleDelivery string Nome descrittivo dell'utente o del ruolo che ha emesso la sessione.
ErrorCode string Errore del servizio AWS se la richiesta restituisce un errore.
ErrorMessage string Descrizione dell'errore, se disponibile. Questo messaggio include messaggi per gli errori di autorizzazione. CloudTrail acquisisce il messaggio registrato dal servizio nella gestione delle eccezioni.
EventName string Azione richiesta, che è una delle azioni nell'API per tale servizio.
EventSource string Servizio a cui è stata effettuata la richiesta. Questo nome è in genere una forma breve del nome del servizio senza spazi più .amazonaws.com.
EventTypeName string Identifica il tipo di evento che ha generato il record dell'evento. Può trattarsi di uno dei valori seguenti: AwsApiCall, AwsServiceEvent, AwsConsoleAction , AwsConsoleSignIn.
EventVersion string Versione del formato dell'evento del log.
IpProtocol string Il protocollo IP si trova in RequestParameters in CloudTrail e viene usato per specificare le autorizzazioni IP per una regola del gruppo di sicurezza. Nome o numero del protocollo IP. I valori validi sono tcp, udp, icmp o un numero di protocollo.
_IsBillable string Specifica se l'inserimento dei dati è fatturabile. Quando _IsBillable è false, l'inserimento dati non viene fatturato all'account Azure
ManagementEvent bool Valore booleano che identifica se l'evento è un evento di gestione.
OperationName string Valore costante: CloudTrail.
ReadOnly bool Identifica se questa operazione è un'operazione di sola lettura.
RecipientAccountId string Rappresenta l'ID account che ha ricevuto questo evento. RecipientAccountID può essere diverso da CloudTrail userIdentity Element accountId. Ciò può verificarsi nell'accesso alle risorse tra account.
RequestParameters string Parametri, se presenti, inviati con la richiesta. Questi parametri sono documentati nella documentazione di riferimento dell'API per il servizio AWS appropriato.
Risorse string Elenco di risorse a cui si accede nell'evento.
ResponseElements string Elemento della risposta per le azioni che apportano modifiche (creare, aggiornare o eliminare azioni). Se un'azione non modifica lo stato , ad esempio una richiesta di recupero o elenco di oggetti, questo elemento viene omesso.
ServiceEventDetails string Identifica l'evento del servizio, incluso ciò che ha attivato l'evento e il risultato.
SessionCreationDate datetime Data e ora di emissione delle credenziali di sicurezza temporanee.
SessionIssuerAccountId string Account proprietario dell'entità usata per ottenere le credenziali.
SessionIssuerArn string ARN dell'origine (account, utente IAM o ruolo) usato per ottenere credenziali di sicurezza temporanee.
SessionIssuerPrincipalId string ID interno dell'entità usata per ottenere le credenziali.
SessionIssuerType string Origine delle credenziali di sicurezza temporanee, ad esempio Root, IAMUser o Role.
SessionIssuerUserName string Nome descrittivo dell'utente o del ruolo che ha emesso la sessione.
SessionMfaAuthenticated bool Il valore è true se l'utente radice o l'utente IAM le cui credenziali sono state usate per la richiesta sono state autenticate anche con un dispositivo MFA; in caso contrario, false.
SharedEventId string GUID generato da CloudTrail per identificare in modo univoco gli eventi CloudTrail dalla stessa azione AWS inviata a account AWS diversi.
SourceIpAddress string Indirizzo IP da cui è stata effettuata la richiesta. Per le azioni che hanno origine dalla console del servizio, l'indirizzo segnalato è relativo alla risorsa cliente sottostante, non al server Web della console. Per i servizi in AWS, viene visualizzato solo il nome DNS.
SourcePort string SourcePort si trova in RequestParameters in CloudTrail e viene usato per specificare le autorizzazioni IP per una regola del gruppo di sicurezza. Inizio dell'intervallo di porte per i protocolli TCP e UDP o un numero di tipo ICMP.
SourceSystem string Tipo di agente da cui è stato raccolto l'evento. Ad esempio, OpsManager per l'agente Windows, la connessione diretta o Operations Manager, Linux per tutti gli agenti Linux o Azure per Diagnostica di Azure
TenantId string L'ID dell'area di lavoro Log Analytics
TimeGenerated datetime Timestamp (UTC). Il timestamp di un evento proviene dall'host locale che fornisce l'endpoint API del servizio in cui è stata effettuata la chiamata API.
TlsVersion string Facoltativo. Parte di tlsDetails. Versione TLS di una richiesta.
Type string Nome della tabella
UserAgent string L'agente tramite il quale è stata effettuata la richiesta, ad esempio AWS Management Console, un servizio AWS, gli SDK AWS o l'interfaccia della riga di comando di AWS.
UserIdentityAccessKeyId string ID chiave di accesso usato per firmare la richiesta.
UserIdentityAccountId string Account proprietario dell'entità che ha concesso le autorizzazioni per la richiesta.
UserIdentityArn string Nome risorsa Amazon (ARN) dell'entità che ha effettuato la chiamata.
UserIdentityInvokedBy string Nome del servizio AWS che ha effettuato la richiesta.
UserIdentityPrincipalid string Identificatore univoco per l'entità che ha effettuato la chiamata.
UserIdentityType string Tipo dell'identità. Sono possibili i valori seguenti: Root, IAMUser, AssumedRole, FederatedUser, Directory, AWSAccount, AWSService, Unknown.
UserIdentityUserName string Nome dell'identità che ha effettuato la chiamata.
VpcEndpointId string Identifica l'endpoint VPC in cui sono state effettuate richieste da un VPC a un altro servizio AWS.