在 Amazon Elasticsearch Service 中监控审计日志

启用 Amazon ES 域的审核日志（控制台）

1. 选择域，然后选择日志选项卡。

2. Un设置审核日志中，选择设置。

3. 创建一个 CloudWatch 日志组或选择一个现有日志组。

4. 选择一个包含适当权限的访问策略，或使用控制台提供的 JSON 创建策略：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "es.amazonaws.com"
         },
         "Action": [
           "logs:PutLogEvents",
           "logs:CreateLogStream"
         ],
         "Resource": "cw_log_group_arn"
       }
     ]
   }

5. 选择启用。

1. 打开 Kibana，然后选择安全。

2. 选择审核日志。

3. 选择启用审核日志记录。

1. In常规设置中，选择配置并确保REST 层已启用。

2. In合规性设置中，选择配置。

3. Un写入, 在观看的字段，添加accounts，以获取所有写入事件到此索引。

4. UnRead, 在观看的字段，添加ssn和id-字段accounts索引：

   {
     "accounts-": [
       "ssn",
       "id-"
     ]
   }

1. 导航到 Kibana，选择开发工具并索引示例文档：

   PUT accounts/_doc/0
   {
     "ssn": "123",
     "id-": "456"
   }

2. 要测试读取事件，请发送以下请求：

   GET accounts/_search
   {
     "query": {
       "match_all": {}
     }
   }

1. 通过以下网址打开 CloudWatch 控制台：https://console.aws.amazon.com/cloudwatch/。

2. 在导航窗格中，选择 Log groups (日志组)。

3. 选择在启用审计日志时指定的日志组。在日志组中，Amazon ES 会为您的域中的每个节点创建一个日志流。

4. In日志流中，选择搜索全部。

5. 有关读取和写入事件，请参阅相应的日志。在日志出现之前，您可能会有 5 秒的延迟。

   写入审核日志示例

   {
     "audit_compliance_operation": "CREATE",
     "audit_cluster_name": "824471164578:audit-test",
     "audit_node_name": "be217225a0b77c2bd76147d3ed3ff83c",
     "audit_category": "COMPLIANCE_DOC_WRITE",
     "audit_request_origin": "REST",
     "audit_compliance_doc_version": 1,
     "audit_node_id": "3xNJhm4XS_yTzEgDWcGRjA",
     "@timestamp": "2020-08-23T05:28:02.285+00:00",
     "audit_format_version": 4,
     "audit_request_remote_address": "3.236.145.227",
     "audit_trace_doc_id": "lxnJGXQBqZSlDB91r_uZ",
     "audit_request_effective_user": "admin",
     "audit_trace_shard_id": 8,
     "audit_trace_indices": [
       "accounts"
     ],
     "audit_trace_resolved_indices": [
       "accounts"
     ]
   }

   示例读取审核日志

   {
     "audit_cluster_name": "824471164578:audit-docs",
     "audit_node_name": "806f6050cb45437e2401b07534a1452f",
     "audit_category": "COMPLIANCE_DOC_READ",
     "audit_request_origin": "REST",
     "audit_node_id": "saSevm9ASte0-pjAtYi2UA",
     "@timestamp": "2020-08-31T17:57:05.015+00:00",
     "audit_format_version": 4,
     "audit_request_remote_address": "54.240.197.228",
     "audit_trace_doc_id": "config:7.7.0",
     "audit_request_effective_user": "admin",
     "audit_trace_shard_id": 0,
     "audit_trace_indices": [
       "accounts"
     ],
     "audit_trace_resolved_indices": [
       "accounts"
     ]
   }