CLF / ドメイン2 セキュリティとコンプライアンス

重要な内容

AWS CloudTrail

は、AWSアカウント内で「誰が」「いつ」「どの操作を」「どのリソースに対して」行ったかをイベントとして記録するサービスです。 、、からの操作が記録の対象になり、監査、、対応の土台になります。

CLF では、「操作履歴の調査」「監査証跡」というキーワードから CloudTrail を選べること、 や など似た役割のサービスと区別できることが重要です。

Point
  • Trail（トレイル） は「足跡、小道」という意味です。
  • CloudTrail は「クラウド上に残された操作の足跡をたどるサービス」と覚えます。
  • 監査の分野では、操作の記録を Audit Trail（監査証跡） と呼びます。CloudTrail はまさにこの監査証跡を作るサービスです。
  • 和訳

概要

AWSでは、コンソールでのボタン操作も含めて、ほとんどの操作が最終的に呼び出しとして実行されます。 は、このAPI呼び出しを1件ずつイベントとして記録し、後から確認・調査できるようにするサービスです。

代表的な使い道は、「誰がこの設定を変更したのか」「誰がこのリソースを削除したのか」といったセキュリティインシデントの調査、監査人への操作記録の提出、不審な操作の追跡です。

概要の図 マネジメントコンソール API呼び出し AWS CLI SDK・アプリケーション AWS CloudTrailイベントとして記録 イベント履歴直近の操作を確認 証跡 TrailS3へ長期保存

試験では、「操作の記録・追跡・監査」なら CloudTrail、「リソースの性能監視」なら 、という判断ができるかが問われます。

主要技術

①イベント履歴と証跡（Trail）

には、記録を確認するための2つの基本的な仕組みがあります。 イベント履歴はアカウント作成時から自動で有効になっており、追加設定なしで直近の操作を調べられます。 より長い期間の保存や組織全体での記録には、証跡（Trail）を作成します。

仕組み特徴判断ポイント
イベント履歴過去90日分の管理イベントを、コンソールで表示・検索・ダウンロードできます。自動で有効になり、閲覧に追加料金はかかりません。直近の操作をすぐに調べたい場合に使います。
証跡（Trail）イベントを指定した へ継続的に配信します。管理イベント1つ目のコピーの配信は無料です（S3 の保存料金は別途かかります）。90日を超える長期保存、複数アカウントの一元記録、外部ツールでの分析に使います。

このほかに、記録の保存と分析をまとめて行う CloudTrail Lake という仕組みもありますが、CLF ではイベント履歴と証跡の違いを押さえれば十分です。

を使っている場合は、管理アカウントで組織の証跡（organization trail）を作成すると、管理アカウントとすべてのメンバーアカウントの操作を1つの S3 バケットへまとめて記録できます。メンバーアカウントのユーザーは、組織の証跡を削除したり、記録を停止したりできません。 また、証跡でログファイルの整合性の検証を有効にすると、配信後にログファイルが変更・削除されていないかを、ハッシュと電子署名を使ったダイジェストファイルで確かめられます。

⚠️ 頻出: 「操作履歴を90日を超えて保存したい」という要件は、証跡を作成して S3 へ保存するのが答えになります。

②記録される情報

のイベントには、操作を特定するための情報がひとまとまりで記録されます。

観点記録される内容調査での使い方
誰が操作した ユーザー、ロール、AWSサービス操作者の特定に使います。
いつ操作が発生した日時事象が起きた時刻との突き合わせに使います。
何を呼び出された操作（例: インスタンスの削除）何が行われたかの特定に使います。
何に対して操作対象のリソース影響を受けたリソースの特定に使います。
どこから操作元のなど想定外の場所からの操作の発見に使います。

⚠️ 頻出: 「誰がリソースを削除したか調査したい」という問題文は、この記録内容がそのまま CloudTrail を選ぶ理由になります。

③S3への長期保存とCloudWatch Logs連携

証跡を作成すると、イベントは へログファイルとして配信されます。 S3 に保存すれば、ライフサイクルルールで低コストなへ移してコストを抑えたり、 で検索・分析したりできます。

さらに、証跡のイベントは Logs へも配信できます。 CloudWatch Logs と連携すると、特定の操作（例: のサインイン）が記録されたときにで通知する、といった監視ができます。

③S3への長期保存とCloudWatch Logs連携の図 CloudTrail 証跡 S3バケット長期保存・監査用の保管 CloudWatch Logsアラームによる通知 Amazon Athenaログの検索・分析

が「記録する」役割、S3 が「保管する」役割、CloudWatch が「通知する」役割、と分けて覚えると混同しにくくなります。

④管理イベントとデータイベント

のイベントには種類があります。 CLF では、既定で記録されるのはどちらか、という点だけ簡単に押さえます。

イベントの種類内容の例判断ポイント
管理イベントリソースの作成・削除、セキュリティ設定の変更、サインインなどの管理操作既定で記録される基本のイベントです。
データイベント オブジェクトの取得・保存、 関数の実行など、リソース内のデータに対する操作既定では記録されません。有効化すると追加料金がかかります。
Point
  • 管理イベント（Management Events） は、リソースそのものを管理する操作の記録です。
  • データイベント（Data Events） は、リソースの中のデータを操作した記録です。
  • 「箱（リソース）への操作は管理イベント、箱の中身（データ）への操作はデータイベント」とイメージすると覚えやすいです。
  • データイベントは量が多くなりやすいため、既定では無効で、有効化すると課金される点が料金の考え方につながります。

⑤監査・コンプライアンスでの位置づけ ⚠️ 頻出

は、AWSアカウントの運用監査、リスク監査、、を支えるサービスと位置づけられています。 「社内規程や法令に沿って運用されているかを、記録で証明する」ための証拠づくりに使います。

  • 監査対応: 監査人に「誰がいつ何をしたか」の記録を提示できます。
  • ガバナンス: 組織のルールに反する操作がなかったかを確認できます。
  • インシデント調査: 不正アクセスや誤操作の原因と影響範囲を追跡できます。

では、CloudTrail の証跡を作成して記録を残すこと、保存したログを暗号化やアクセス制御で保護することは利用者の責任です。

Point
  • Governance（ガバナンス） は「統治、管理」という意味で、組織としてルールどおりに運用を統制することを指します。
  • Compliance（コンプライアンス） は「法令や規則の遵守」という意味です。
  • 試験では「audit（監査）」「governance」「compliance」という単語が出たら CloudTrail を思い浮かべます。
  • 和訳

⚠️ 頻出: 「コンプライアンス要件のためにアカウント内のすべての操作を記録したい」という要件は CloudTrail が答えです。

⑥混同しやすいサービスとの違い ⚠️ 頻出

CLF では、記録・監視・評価・検出を担当するサービスの使い分けが繰り返し問われます。 「何を対象に、何をするサービスか」で整理します。

サービス目的判断ポイント（試験でのキーワード）
操作の記録（監査証跡）「誰が操作したか」「操作履歴」「監査」
リソースの性能・稼働状況の監視「」「使用率」「パフォーマンス監視」「」
リソース構成の変更履歴の記録と、ルールに準拠しているかの評価「構成変更の追跡」「設定が基準に準拠しているか」
ワークロードの脆弱性や意図しないネットワーク公開の自動診断「脆弱性スキャン」「セキュリティ診断」
不正アクセスや悪意ある操作の兆候の検出（脅威検出）「脅威検出」「不審なアクティビティの検出」

CloudTrail と AWS Config は特に混同しやすい組み合わせです。 CloudTrail は「操作（API呼び出し）そのもの」を記録し、AWS Config は「リソースの設定状態の変化」を記録して評価します。

⚠️ 頻出: 「の設定が会社の基準を満たしているか継続的に確認したい」は AWS Config、「そのセキュリティグループを誰が変更したか知りたい」は CloudTrail です。

試験対策

CLF の問題では、まず「調べたい対象」を確認します。 人の操作の記録なら 、リソースの性能なら 、リソースの設定状態なら 、と対象で切り分けるのが基本です。

問題文のキーワード優先して考えるサービス・機能理由
誰がリソースを削除したか調査AWS CloudTrail操作者・時刻・操作内容を記録しています。
呼び出しの監査証跡が必要AWS CloudTrail監査・・の土台です。
操作履歴を90日を超えて保存証跡（Trail）+ イベント履歴は過去90日分のため、証跡で長期保存します。
特定の操作が行われたら通知CloudWatch Logs 連携 + 記録は CloudTrail、通知は CloudWatch の役割です。
使用率などのパフォーマンス監視Amazon CloudWatch操作の記録ではなく性能の監視の要件です。
構成変更の追跡と準拠評価AWS Config設定状態の変化と基準への準拠を評価します。
の脆弱性を自動診断操作記録ではなく脆弱性診断の要件です。
不正アクセスの兆候を検出記録の閲覧ではなく脅威検出の要件です。

よくある誤答は、名前が似ている CloudTrail と CloudWatch の混同です。 「Trail = 足跡（過去の操作の記録）」「Watch = 見張り（現在の状態の監視）」と役割で区別します。 また、CloudTrail 自体は操作を禁止するサービスではありません。 操作を許可・拒否するのは で、CloudTrail は実行された操作を後から追跡するためのサービスです。

参考文献

  1. ※1出題比率: AWS 公式の試験ガイドに記載された、採点対象の設問のうちその分野が占める割合です。

検索

キーワードを入力してください