如何检测有人擦除Cloudtrail日志
我想监视任何试图从我的 CloudTrail 的 S3 存储桶中擦除日志的人。
我曾尝试使用我自己的 IAM 用户删除此存储桶上的日志之一，但 CloudTrail 本身似乎没有注意到我已从它的存储桶中删除了一个对象。
是否有特定的监控我必须激活以检查这些日志是否被可能的攻击者删除？
还有一个优点：Guard Duty 有什么方法可以检测到我环境中的此类操作吗？
提前致谢。
回答
您可以为此使用 CloudTrail日志验证，这可以在控制台或通过 AWS CLI 启用：
要验证 CloudTrail 日志文件的完整性，您可以使用 AWS CLI 或创建您自己的解决方案。AWS CLI 将在 CloudTrail 交付文件的位置验证文件。