【初学者向け】CloudTrail + Athenaで監査レポートを作成する

投稿日 2024年04月08日
カテゴリー Cloud Trail

1.まずはAWSコンソールから「Athena」のサービスページへ移行

Amazon Athena

https://ap-northeast-1.console.aws.amazon.com/athena/home?region=ap-northeast-1

2.クエリエディタを起動

特に何もいじってません

3.まずはクエリ結果の保存先S3バケットを設定しておきましょう

上部「設定」より指定できます

4.Athena内でテーブルの作成

まずはテーブルの作成です。以下を実行します。

1行目終わりの「records_202403」がテーブルの名前になるので任意で変更が必要なのと、

最終行でS3のディレクトリ（CloudTrailログの方）を指定する必要があります

1CREATE EXTERNAL TABLE IF NOT EXISTS records_202403 (2  records ARRAY<3    STRUCT<4      eventTime:STRING,5      eventSource:STRING,6      eventName:STRING,7      awsRegion:STRING,8      sourceIPAddress:STRING,9      userIdentity:STRUCT<10        type:STRING,11        arn:STRING12      >13    >14  >15)16ROW FORMAT SERDE 'org.openx.data.jsonserde.JsonSerDe'1718LOCATION 's3://[CloudTrailログ出力バケット名]/[prefix指定があれば]/AWSLogs/[AWSアカウントID]/CloudTrail/[Region]/2024/03';

実行前

実行

作成されました！

5.とりあえず表示してみる

以下を実行してみましょう。

SELECT以下に書いてある項目が表示されるかと思います。

FROMは作成したテーブル名です！

LIMITの部分の数字を変更すれば表示数を増減できます。

1  record.eventTime,2  record.eventSource,3  record.eventName,4  record.awsRegion,5  record.sourceIPAddress,6  record.userIdentity.type,7  record.userIdentity.arn8FROM records_2024039CROSS JOIN UNNEST(records) AS t (record)10LIMIT 10;

6.必要な項目をフィルタリング

次は「WHERE」で必要なものをフィルタリングします

ここでは「eventName」から目についた「AssumeRole」を指定してみました。

1  record.eventTime,2  record.eventSource,3  record.eventName,4  record.awsRegion,5  record.sourceIPAddress,6  record.userIdentity.type,7  record.userIdentity.arn8FROM records_2024039CROSS JOIN UNNEST(records) AS t (record)10WHERE record.eventName = 'AssumeRole'11LIMIT 10;