監査証跡の完全性設計 CloudTrailの組織トレイル・ログファイル検証・CloudTrail Lakeで証跡を守る

SCS-C02を目指す方向けに、「誰が何をしたか」の証跡を漏れなく集め、改ざんされず、後から確実に調べられる状態にする設計を解説します。試験では単にCloudTrailを有効にするだけでなく、組織全体の網羅性・改ざん耐性・検索性という要件から具体的な機能を選ぶ力が問われます。

覚え方：3つの要件で考える

監査証跡の設計は「漏れなく集める(網羅性)」「消させない・書き換えさせない(完全性)」「すぐ調べられる(検索性)」の3要件で整理します。それぞれ組織トレイル、ログファイル検証とS3の保護、CloudTrail LakeやAthenaが対応します。

漏れなく集める：組織トレイルとイベントの種類

AWS Organizationsの管理アカウント(または委任管理者)で組織トレイルを作成すると、すべてのメンバーアカウント・全リージョンのイベントが1つのS3バケットに集約され、メンバー側では無効化できません。既定で記録される管理イベントに加え、S3オブジェクト操作やLambda呼び出しなどのデータイベントは明示的に有効化が必要で、「特定バケットへの読み書きを追跡したい」という要件ではここが答えになります。また、Insightsイベントを有効にすると異常なAPI呼び出し量を検出できます。

消させない：ログファイル検証と保管先の保護

ログファイルの整合性検証を有効にすると、1時間ごとにダイジェストファイルが生成され、署名付きハッシュチェーンでログの改ざん・削除を検証できます(CLIのvalidate-logsで確認)。保管先のS3バケットはバケットポリシーでCloudTrailサービスのみ書き込み可とし、MFA DeleteやS3 Object Lock(コンプライアンスモード)、SSE-KMSによる暗号化を組み合わせます。バケットは監査専用のログアーカイブアカウントに置き、SCPでトレイルの停止・削除を禁止するのが定石です。

すぐ調べられる：CloudTrail LakeとAthena

CloudTrail Lakeはイベントをイベントデータストアに取り込み、SQLで直接検索できるマネージド機能で、最大10年(既定は7年)の保持と、Configの構成項目や外部ソースの取り込みにも対応します。S3に保存した既存のログを低コストで分析するならAthenaでパーティション投影テーブルを作る方法があり、リアルタイムの検知にはCloudWatch Logsへの配信とメトリクスフィルター、EventBridgeとの連携を使います。

チェックリスト

• 組織トレイルの作成場所と、メンバーアカウントで停止できない理由を説明できる
• 管理イベント・データイベント・Insightsイベントの違いを言える
• ログファイル整合性検証の仕組みと確認方法を説明できる
• ログバケットを守るためのポリシー・Object Lock・SCPの組み合わせを設計できる
• CloudTrail Lake・Athena・CloudWatch Logsの使い分けを要件から判断できる

まとめ

監査証跡は「網羅性・完全性・検索性」の3要件で設計します。組織トレイルで集め、整合性検証とObject Lockで守り、CloudTrail Lakeで調べる、という流れを押さえておけばSCSの証跡問題に対応できます。

クイズで理解度を確かめ、最新の出題範囲はAWS認定 公式ページで確認しておきましょう。