监控亚马逊的审计日志OpenSearch服务

启用审核日志OpenSearch服务域（控制台）

1. 选择要打开其配置的域，然后转到 Logs（日志）选项卡。

2. 选择 Audit logs（审核日志），然后再选择 Enable（启用）。

3. 创建 CloudWatch 日志组，或选择现有日志组。

4. 选择一个包含适当权限的访问策略，或使用控制台提供的 JSON 创建策略：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "es.amazonaws.com"
         },
         "Action": [
           "logs:PutLogEvents",
           "logs:CreateLogStream"
         ],
         "Resource": "cw_log_group_arn"
       }
     ]
   }

   建议您在策略中使用 aws:SourceAccount 和 aws:SourceArn 条件键来防止出现混淆代理人问题。源帐户是域的所有者，并且源 ARN 是域的 ARN。您的域必须在服务软件 R20211203 或更高版本上才能添加这些条件键。

   例如，您可以将以下条件块添加到策略：

   "Condition": {
       "StringEquals": {
           "aws:SourceAccount": "account-id"
       },
       "ArnLike": {
           "aws:SourceArn": "arn:aws:es:region:account-id:domain/domain-name"
       }
   }

5. 请选择 Enable。

1. 打开OpenSearch仪表板并选择安全从左侧菜单中。

2. 选择审计日志。

3. 选择启用审核日志录入。

1. 在常规设置中，选择配置并确保 REST 层处于启用状态。

2. 在合规性设置中，选择配置。

3. 在写入的下面，在观看的字段中将添加所有的写入事件的 accounts 添加添加到此索引。

4. 在 Read（读取）下的 Watched Fields（监控字段）中，添加 accounts 索引的 ssn 和 id- 字段：

   {
     "accounts-": [
       "ssn",
       "id-"
     ]
   }

1. 导航到OpenSearch仪表板，选择开发工具，并为示例文档编制索引：

   PUT accounts/_doc/0
   {
     "ssn": "123",
     "id-": "456"
   }

2. 要测试读取事件，请发送以下请求：

   GET accounts/_search
   {
     "query": {
       "match_all": {}
     }
   }

1. 打开 CloudWatch 控制台 (https://console.aws.amazon.com/cloudwatch/)。

2. 在导航窗格中，选择 Log groups（日志组）。

3. 选择您在启用审核日志时指定的日志组。在日志组中，OpenSearch服务为您的域中的每个节点创建一个日志流。

4. 在日志流中，选择搜索全部。

5. 有关读取和写入事件，请参阅相应的日志。在日志出现之前，您可能会有 5 秒的延迟。

   示例写入审核日志

   {
     "audit_compliance_operation": "CREATE",
     "audit_cluster_name": "824471164578:audit-test",
     "audit_node_name": "be217225a0b77c2bd76147d3ed3ff83c",
     "audit_category": "COMPLIANCE_DOC_WRITE",
     "audit_request_origin": "REST",
     "audit_compliance_doc_version": 1,
     "audit_node_id": "3xNJhm4XS_yTzEgDWcGRjA",
     "@timestamp": "2020-08-23T05:28:02.285+00:00",
     "audit_format_version": 4,
     "audit_request_remote_address": "3.236.145.227",
     "audit_trace_doc_id": "lxnJGXQBqZSlDB91r_uZ",
     "audit_request_effective_user": "admin",
     "audit_trace_shard_id": 8,
     "audit_trace_indices": [
       "accounts"
     ],
     "audit_trace_resolved_indices": [
       "accounts"
     ]
   }

   示例读取审核日志

   {
     "audit_cluster_name": "824471164578:audit-docs",
     "audit_node_name": "806f6050cb45437e2401b07534a1452f",
     "audit_category": "COMPLIANCE_DOC_READ",
     "audit_request_origin": "REST",
     "audit_node_id": "saSevm9ASte0-pjAtYi2UA",
     "@timestamp": "2020-08-31T17:57:05.015+00:00",
     "audit_format_version": 4,
     "audit_request_remote_address": "54.240.197.228",
     "audit_trace_doc_id": "config:7.7.0",
     "audit_request_effective_user": "admin",
     "audit_trace_shard_id": 0,
     "audit_trace_indices": [
       "accounts"
     ],
     "audit_trace_resolved_indices": [
       "accounts"
     ]
   }