Security monitoring a logging v AWS

Proč potřebujeme Security Monitoring?

Co je security monitoring a logování? Security monitoring a logování je průběžné zaznamenávání událostí v systémech a jejich vyhodnocování za účelem odhalení útoků. Logování ukládá auditní stopu: kdo co udělal, kdy a odkud. Monitoring tyto záznamy sleduje v téměř reálném čase a při podezřelé aktivitě, například přihlášení root účtu nebo změně oprávnění, spustí alarm a předá událost týmu k reakci.

I s nejsilnějším zabezpečením musíme být připraveni na situaci, kdy dojde k pokusu o útok nebo k samotnému útoku. Logging je jako kamery ve vaší budově - zaznamenávají co se děje. Monitoring je alarm systém - upozorní vás když se něco podezřelého stane. Bez těchto nástrojů nebudete vědět, že vám někdo ukradl credentials, dokud nebude příliš pozdě.

Analogie s fyzickou bezpečností

Představte si luxusní vilu s cennými předměty. Máte vysokou zeď, zamčené dveře, trezor pro nejcennější věci. Ale co když se někdo přece jen dostane dovnitř?

Kamery (Logging): Zaznamenávají všechno co se děje - kdo přišel, co dělal, kam šel
Alarm (Monitoring): Okamžitě upozorní když někdo vstoupí do zabezpečené oblasti
Bezpečnostní služba (Incident Response): Tým který reaguje na alarmy

Bezpečnost je vrstvená

Chráníme systém na každé úrovni útoku - před, během i po útoku. Monitoring a logging jsou klíčové pro detekci a reakci během a po útoku.

AWS Monitoring & Logging služby

Audit & Compliance

AWS CloudTrail

Audit API volání a dalších aktivit v AWS účtu.

Management events ve výchozím stavu
Kdo, co, kdy, odkud
Data a network activity events volitelně (zpoplatněné)
Event history: posledních 90 dní management events
Multi-region trails
Log file integrity validation

Monitoring & Alerting

AWS CloudWatch

Monitoring a management služba pro metriky, logy a alarmy.

Metriky z AWS služeb
Custom metriky
Log groups a log streams
Alarmy a notifikace
Dashboardy

Threat Detection

AWS GuardDuty

Detekce hrozeb pomocí threat intelligence a modelů strojového učení nad CloudTrail management events, VPC Flow Logs a DNS logy (AWS).

Anomaly detection
Extended Threat Detection (vícekrokové útoky)
Threat intelligence feeds
Automatické findings
Integrace se Security Hub

Centralizovaný přehled

AWS Security Hub a Security Hub CSPM

S uvedením nového Security Hubu (preview červen 2025, GA prosinec 2025) se původní služba přejmenovala na Security Hub CSPM. Nový Security Hub koreluje nálezy z CSPM, GuardDuty, Inspectoru a Macie ve formátu OCSF.

Agregace a korelace findings
Compliance checks (CSPM: CIS, NIST, PCI DSS)
Exposure findings a attack path graf
Automatizovaná reakce a ticketing (Jira, ServiceNow)

CloudTrail - Základní konfigurace

Trail ve výchozím stavu zaznamenává management events: každé přihlášení do konzole, vytvoření instance i změnu security group. Data events (například čtení objektů v S3) je nutné zapnout zvlášť a jsou zpoplatněné. Událost se v logu obvykle objeví do 5 minut od volání API. Argumenty v ukázce odpovídají dokumentaci Terraform providera; bucket policy a key policy pro KMS klíč nejsou kvůli délce uvedeny.

# Terraform - Multi-region CloudTrail s CloudWatch integrací

resource "aws_cloudtrail" "security_trail" {
  name                          = "security-audit-trail"
  s3_bucket_name               = aws_s3_bucket.cloudtrail_logs.id
  include_global_service_events = true
  is_multi_region_trail        = true
  enable_log_file_validation   = true
  kms_key_id                    = aws_kms_key.cloudtrail.arn  # SSE-KMS; key policy must allow cloudtrail.amazonaws.com

  # Posílá logy do CloudWatch
  cloud_watch_logs_group_arn = "${aws_cloudwatch_log_group.cloudtrail.arn}:*"
  cloud_watch_logs_role_arn  = aws_iam_role.cloudtrail_cloudwatch.arn

  # Management events (API calls)
  event_selector {
    read_write_type           = "All"
    include_management_events = true
  }

  # Data events pro S3 (volitelně)
  event_selector {
    read_write_type           = "All"
    include_management_events = false

    data_resource {
      type   = "AWS::S3::Object"
      values = ["arn:aws:s3:::sensitive-bucket/"]
    }
  }

  tags = {
    Name        = "security-audit-trail"
    Environment = "production"
  }
}

# S3 bucket pro CloudTrail logy
resource "aws_s3_bucket" "cloudtrail_logs" {
  bucket = "company-cloudtrail-logs-${data.aws_caller_identity.current.account_id}"

  tags = {
    Name = "cloudtrail-logs"
  }
}

# Encryption pro CloudTrail logy
resource "aws_s3_bucket_server_side_encryption_configuration" "cloudtrail_logs" {
  bucket = aws_s3_bucket.cloudtrail_logs.id

  rule {
    apply_server_side_encryption_by_default {
      sse_algorithm     = "aws:kms"
      kms_master_key_id = aws_kms_key.cloudtrail.arn
    }
  }
}

# CloudWatch Log Group
resource "aws_cloudwatch_log_group" "cloudtrail" {
  name              = "/aws/cloudtrail/security-audit"
  retention_in_days = 365

  tags = {
    Name = "cloudtrail-logs"
  }
}

CloudWatch Alarmy pro bezpečnostní události

Příklad: Alarm na neúspěšné přihlášení

# Metric filter pro failed console logins
resource "aws_cloudwatch_log_metric_filter" "failed_console_login" {
  name           = "FailedConsoleLogin"
  pattern        = "{ ($.eventName = ConsoleLogin) && ($.errorMessage = \"Failed authentication\") }"
  log_group_name = aws_cloudwatch_log_group.cloudtrail.name

  metric_transformation {
    name      = "FailedConsoleLoginCount"
    namespace = "SecurityMetrics"
    value     = "1"
  }
}

# Alarm když je více než 3 failed loginy za 5 minut
resource "aws_cloudwatch_metric_alarm" "failed_login_alarm" {
  alarm_name          = "FailedConsoleLoginAlarm"
  comparison_operator = "GreaterThanThreshold"
  evaluation_periods  = 1
  metric_name         = "FailedConsoleLoginCount"
  namespace           = "SecurityMetrics"
  period              = 300  # 5 minut
  statistic           = "Sum"
  threshold           = 3
  alarm_description   = "Více než 3 neúspěšné pokusy o přihlášení za 5 minut"

  alarm_actions = [aws_sns_topic.security_alerts.arn]

  tags = {
    Name = "failed-login-alarm"
  }
}

# SNS topic pro security alerty
resource "aws_sns_topic" "security_alerts" {
  name = "security-alerts"
}

# Email subscription
resource "aws_sns_topic_subscription" "security_email" {
  topic_arn = aws_sns_topic.security_alerts.arn
  protocol  = "email"
  endpoint  = "security-team@company.cz"
}

Další důležité alarmy

Filtry vycházejí z CIS AWS Foundations Benchmark (v1.2.0 a v1.4.0), jehož doporučení Security Hub CSPM kontroluje jako CloudWatch.1 až CloudWatch.14.

# Alarm na root user activity
resource "aws_cloudwatch_log_metric_filter" "root_activity" {
  name           = "RootAccountUsage"
  pattern        = "{ $.userIdentity.type = \"Root\" && $.userIdentity.invokedBy NOT EXISTS && $.eventType != \"AwsServiceEvent\" }"
  log_group_name = aws_cloudwatch_log_group.cloudtrail.name

  metric_transformation {
    name      = "RootAccountUsageCount"
    namespace = "SecurityMetrics"
    value     = "1"
  }
}

resource "aws_cloudwatch_metric_alarm" "root_usage_alarm" {
  alarm_name          = "RootAccountUsageAlarm"
  comparison_operator = "GreaterThanThreshold"
  evaluation_periods  = 1
  metric_name         = "RootAccountUsageCount"
  namespace           = "SecurityMetrics"
  period              = 60
  statistic           = "Sum"
  threshold           = 0
  alarm_description   = "Root account byl použit!"

  alarm_actions = [aws_sns_topic.security_alerts.arn]
}

# Alarm na změny Security Groups
resource "aws_cloudwatch_log_metric_filter" "security_group_changes" {
  name           = "SecurityGroupChanges"
  pattern        = "{ ($.eventName = AuthorizeSecurityGroupIngress) || ($.eventName = AuthorizeSecurityGroupEgress) || ($.eventName = RevokeSecurityGroupIngress) || ($.eventName = RevokeSecurityGroupEgress) || ($.eventName = CreateSecurityGroup) || ($.eventName = DeleteSecurityGroup) }"
  log_group_name = aws_cloudwatch_log_group.cloudtrail.name

  metric_transformation {
    name      = "SecurityGroupChangeCount"
    namespace = "SecurityMetrics"
    value     = "1"
  }
}

# Alarm na IAM policy změny
resource "aws_cloudwatch_log_metric_filter" "iam_policy_changes" {
  name           = "IAMPolicyChanges"
  pattern        = "{ ($.eventSource = iam.amazonaws.com) && (($.eventName = DeleteGroupPolicy) || ($.eventName = DeleteRolePolicy) || ($.eventName = DeleteUserPolicy) || ($.eventName = PutGroupPolicy) || ($.eventName = PutRolePolicy) || ($.eventName = PutUserPolicy) || ($.eventName = CreatePolicy) || ($.eventName = DeletePolicy) || ($.eventName = CreatePolicyVersion) || ($.eventName = DeletePolicyVersion) || ($.eventName = AttachRolePolicy) || ($.eventName = DetachRolePolicy) || ($.eventName = AttachUserPolicy) || ($.eventName = DetachUserPolicy) || ($.eventName = AttachGroupPolicy) || ($.eventName = DetachGroupPolicy)) }"
  log_group_name = aws_cloudwatch_log_group.cloudtrail.name

  metric_transformation {
    name      = "IAMPolicyChangeCount"
    namespace = "SecurityMetrics"
    value     = "1"
  }
}

Co monitorovat?

Klíčové bezpečnostní události

Authentication & Authorization

Failed login attempts (brute force detection)
Root account usage
MFA disabled
New IAM users/roles created
Permission changes

Network & Infrastructure

Security group changes
VPC changes
Route table modifications
Network ACL changes
New EC2 instances

Data Access

S3 bucket policy changes
S3 public access
KMS key deletion/disable
RDS snapshot sharing
Secrets Manager access

Billing & Account

CloudTrail disabled
Config rules changes
Unusual billing spikes (cryptomining)
Account settings changes

Security Monitoring Best Practices

Logging

Zapnout CloudTrail ve všech regionech
Uchovávat logy minimálně 1 rok (výchozí hodnota kontroly CloudWatch.16 je 365 dní)
Šifrovat logy at rest (SSE-KMS, jinak CloudTrail použije SSE-S3)
Zapnout log file integrity validation (SHA-256, podepsané digest soubory)
VPC Flow Logs pro network traffic
Centralizovat logy do jednoho účtu (Security Account)

Monitoring & Alerting

Alarmy na kritické bezpečnostní události
Notifikace v téměř reálném čase (SNS, Slack, PagerDuty)
Dashboardy pro security team
GuardDuty pro threat detection
Security Hub pro centralizovaný přehled, Security Hub CSPM pro compliance kontroly
Pravidelné review findings

Incident Response

Definované playbooks pro různé typy incidentů
Automatizovaná remediace kde je to možné
Pravidelné incident response cvičení
Post-incident reviews
Dokumentace všech incidentů

Co NEDĚLAT

Vypnout CloudTrail (i dočasně)
Ignorovat alarmy (alert fatigue)
Mazat logy před koncem retention period
Mít logy přístupné všem (least privilege)
Zapomenout monitorovat production
Nemít incident response plan

Zdroje

AWS: CloudTrail concepts (říjen 2026)
AWS: AWS CloudTrail FAQs (říjen 2026)
AWS: Validating CloudTrail log file integrity (říjen 2026)
AWS: Encrypting CloudTrail log files with AWS KMS keys (říjen 2026)
AWS: Security Hub CSPM controls for Amazon CloudWatch (říjen 2026)
AWS: Introduction to AWS Security Hub (říjen 2026)
AWS: Security Hub document history (říjen 2026)
AWS: What is Amazon GuardDuty? (říjen 2026)
AWS: Logging IP traffic using VPC Flow Logs (říjen 2026)
HashiCorp: Terraform AWS provider, aws_cloudtrail resource (říjen 2026)

Proč potřebujeme Security Monitoring?

Analogie s fyzickou bezpečností

Bezpečnost je vrstvená

AWS Monitoring & Logging služby

AWS CloudTrail

AWS CloudWatch

AWS GuardDuty

AWS Security Hub a Security Hub CSPM

CloudTrail - Základní konfigurace

CloudWatch Alarmy pro bezpečnostní události

Příklad: Alarm na neúspěšné přihlášení

Další důležité alarmy

Co monitorovat?

Klíčové bezpečnostní události

Authentication & Authorization

Network & Infrastructure

Data Access

Billing & Account

Security Monitoring Best Practices

Logging

Monitoring & Alerting

Incident Response

Co NEDĚLAT

Zdroje

Další články z tématu

Bezpečnost CI/CD Pipeline

Bezpečnost kontejnerů

DAST - Dynamické testování bezpečnosti

Chcete to mít vyřešené bez vlastního DevOps týmu?

Používáme cookies