Compartilhar via

AWSCloudTrail

Os logs do CloudTrail, que foram ingeridos do conector do Sentinel, contém todos os seus dados e eventos de gerenciamento de sua conta da Amazon Web Services.

Características da tabela

Atributo Valor
Tipos de recursos -
Categorias Segurança
Soluções SecurityInsights
Log básico Sim
Transformação de tempo de ingestão Sim
Consultas de exemplo Sim

Colunas

Coluna Tipo Descrição
DadosAdicionaisDoEvento cadeia Dados adicionais sobre o evento que não fazia parte da solicitação ou resposta.
Versão da API cadeia Identifica a versão da API associada ao valor AwsApiCall eventType.
AwsEventId cadeia GUID gerado pelo CloudTrail para identificar de forma exclusiva cada evento. Você pode usar esse valor para identificar um único evento.
AWSRegion cadeia A região da AWS para a qual a solicitação foi feita.
AwsRequestId cadeia obsoleto, use AwsRequestId_ em vez disso.
AwsRequestId_ cadeia O valor que identifica a solicitação. O serviço que está sendo chamado gera esse valor.
_BilledSize verdadeiro O tamanho do registro em bytes
Categoria cadeia Mostra a categoria de evento usada em chamadas para LookupEvents.
CidrIp cadeia O IP CIDR está localizado em RequestParameters no CloudTrail e é usado para especificar as permissões de IP para uma regra de grupo de segurança. O intervalo CIDR IPv4.
CipherSuite cadeia Opcional. Parte de tlsDetails. O conjunto de criptografia (combinação de algoritmos de segurança usados) de uma solicitação.
ClientProvidedHostHeader cadeia Opcional. Parte de tlsDetails. O nome do host fornecido pelo cliente usado na chamada de API do serviço, que normalmente é o FQDN do endpoint do serviço.
Porta de Destino cadeia O DestinationPort está localizado em RequestParameters no CloudTrail e é usado para especificar as permissões de IP para uma regra de grupo de segurança. O fim do intervalo de portas para os protocolos TCP e UDP ou um código ICMP.
EC2RoleDelivery cadeia O nome amigável do usuário ou função que emitiu a sessão.
Código de Erro cadeia O erro de serviço da AWS ocorre quando a solicitação retorna um erro.
Mensagem de Erro cadeia A descrição do erro, quando disponível. Esta mensagem inclui notificações de falhas de autorização. O CloudTrail captura a mensagem registrada pelo serviço em seu tratamento de exceções.
Nome do Evento cadeia A ação solicitada, que é uma das ações na API para esse serviço.
FonteDeEventos cadeia O serviço para o qual a solicitação foi feita. Esse nome geralmente é uma forma abreviada do nome do serviço sem espaços mais .amazonaws.com.
NomeDoTipoDeEvento cadeia Identifica o tipo de evento que gerou o registro de evento. Pode ser um dos seguintes valores: AwsApiCall, AwsServiceEvent, AwsConsoleAction , AwsConsoleSignIn.
EventVersion cadeia A versão do formato de evento de log.
Protocolo IP cadeia O protocolo IP está localizado em RequestParameters no CloudTrail e é usado para especificar as permissões de IP para uma regra de grupo de segurança. O nome ou número do protocolo IP. Os valores válidos são tcp, udp, icmp ou um número de protocolo.
_IsBillable cadeia Especifica se a ingestão dos dados é faturável. Quando _IsBillable é false a ingestão não é cobrada para sua conta do Azure
Evento de Gestão bool Um valor booliano que identifica se o evento é um evento de gerenciamento.
NomeDaOperação cadeia Valor constante: CloudTrail.
ReadOnly bool Identifica se essa é uma operação somente de leitura.
RecipientAccountId cadeia Representa a ID da conta que recebeu esse evento. O recipientAccountID pode ser diferente do accountId do elemento userIdentity do CloudTrail. Isso pode ocorrer no acesso a recursos entre contas.
ParâmetrosDeRequisição cadeia Os parâmetros, se houver, que foram enviados com a solicitação. Esses parâmetros estão documentados na documentação de referência da API para o serviço da AWS apropriado.
Recursos cadeia Uma lista de recursos acessados no evento.
Elementos de resposta cadeia O elemento de resposta para ações que fazem alterações (ações de criação, atualização ou exclusão). Se uma ação não alterar o estado (por exemplo, uma solicitação para obter ou listar objetos), esse elemento será omitido.
ServiceEventDetails cadeia Identifica o evento de serviço, incluindo o que acionou o evento e o resultado.
Data de Criação da Sessão datetime A data e a hora em que as credenciais de segurança temporárias foram emitidas.
SessionIssuerAccountId cadeia A conta que possui a entidade que foi usada para obter credenciais.
SessionIssuerArn cadeia O ARN da origem (conta, usuário do IAM ou função) que foi usado para obter credenciais de segurança temporárias.
SessionIssuerPrincipalId cadeia A ID interna da entidade que foi usada para obter credenciais.
TipoDeEmissorDeSessão cadeia A origem das credenciais de segurança temporárias, como Raiz, IAMUser ou Função.
NomeDeUsuárioDoEmissorDeSessão cadeia O nome amigável do usuário ou função que emitiu a sessão.
SessionMfaAuthenticated bool O valor será true se o usuário raiz ou usuário do IAM cujas credenciais foram usadas para a solicitação também tiver sido autenticado com um dispositivo MFA; caso contrário, false.
ID de Evento Compartilhado cadeia GUID gerado pelo CloudTrail para identificar exclusivamente eventos CloudTrail da mesma ação da AWS que é enviada para contas diferentes da AWS.
Endereço de Origem IP cadeia O endereço IP do qual a solicitação foi feita. Para ações originadas do console de serviço, o endereço relatado é para o recurso do cliente subjacente, não para o servidor Web do console. Para serviços na AWS, somente o nome DNS é exibido.
SourcePort cadeia O SourcePort está localizado em RequestParameters no CloudTrail e é usado para especificar as permissões de IP para uma regra de grupo de segurança. O início do intervalo de portas para os protocolos TCP e UDP ou um número de tipo ICMP.
SourceSystem cadeia O tipo de agente que coletou o evento. Por exemplo, OpsManager para agente do Windows, conexão direta ou Operations Manager, Linux para todos os agentes do Linux ou Azure para o Diagnóstico do Azure
ID do Locatário cadeia A ID do workspace do Log Analytics
TimeGenerated datetime O carimbo de data/hora (UTC). O carimbo de data/hora de um evento vem do host local que fornece o ponto de extremidade da API de serviço no qual a chamada à API foi feita.
Versão TLS cadeia Opcional. Parte de tlsDetails. A versão TLS de uma solicitação.
Tipo cadeia O nome da tabela
Agente do Usuário (UserAgent) cadeia O agente por meio do qual a solicitação foi feita, como o Console de Gerenciamento da AWS, um serviço da AWS, os SDKs da AWS ou a AWS CLI.
UserIdentityAccessKeyId cadeia A ID da chave de acesso que foi usada para assinar a solicitação.
UserIdentityAccountId cadeia A conta que possui a entidade que concedeu permissões para a solicitação.
UserIdentityArn cadeia O ARN (Nome do Recurso da Amazon) da entidade de segurança que fez a chamada.
UserIdentityInvokedBy cadeia O nome do serviço da AWS que fez a solicitação.
UserIdentityPrincipalid cadeia Um identificador exclusivo para a entidade que fez a chamada.
TipoDeIdentidadeDoUsuário cadeia O tipo da identidade. Os seguintes valores são possíveis: Root, IAMUser, AssumedRole, FederatedUser, Directory, AWSAccount, AWSService, Unknown.
NomeDeUsuárioIdentidadeDoUsuário cadeia O nome da identidade que fez a chamada.
VpcEndpointId cadeia Identifica o endpoint da VPC no qual as solicitações foram feitas de uma VPC para outro serviço da AWS.