AWSCloudTrail

Les journaux CloudTrail, ingérés à partir du connecteur de Sentinel, contiennent tous vos événements de données et de gestion de votre compte Amazon Wev Services.

Attributs de table

Attribut	Valeur
Types de ressources	-
Catégories	Sécurité
Solutions	SecurityInsights
Journal de base	Non
Transformation au moment de l’ingestion	Oui
Exemples de requêtes	Oui

Colonnes

Colonne	Type	Description
AdditionalEventData	string	Données supplémentaires sur l’événement qui ne faisait pas partie de la demande ou de la réponse.
APIVersion	string	Identifie la version de l’API associée à la valeur eventType AwsApiCall.
AwsEventId	string	GUID généré par CloudTrail pour identifier de manière unique chaque événement. Vous pouvez utiliser cette valeur pour identifier un événement unique.
AWSRegion	string	Région AWS à laquelle la demande a été adressée.
AwsRequestId	string	déconseillé, utilisez AwsRequestId_ à la place.
AwsRequestId_	string	Valeur qui identifie la requête. Le service appelé génère cette valeur.
_BilledSize	real	Taille de l’enregistrement en octets
Catégorie	string	Affiche la catégorie d’événement utilisée dans les appels LookupEvents.
CidrIp	string	L’adresse IP CIDR se trouve sous RequestParameters dans CloudTrail et est utilisée pour spécifier les autorisations IP pour une règle de groupe de sécurité. Plage CIDR IPv4.
CipherSuite	string	facultatif. Partie de tlsDetails. Suite de chiffrement (combinaison d’algorithmes de sécurité utilisés) d’une requête.
ClientProvidedHostHeader	string	facultatif. Partie de tlsDetails. Nom d’hôte fourni par le client utilisé dans l’appel d’API de service, qui est généralement le nom de domaine complet du point de terminaison de service.
DestinationPort	string	DestinationPort se trouve sous RequestParameters dans CloudTrail, et il est utilisé pour spécifier les autorisations IP pour une règle de groupe de sécurité. Fin de la plage de ports pour les protocoles TCP et UDP ou un code ICMP.
EC2RoleDelivery	string	Nom convivial de l’utilisateur ou du rôle qui a émis la session.
ErrorCode	string	Erreur du service AWS si la requête retourne une erreur.
ErrorMessage	string	Description de l’erreur lorsqu’elle est disponible. Ce message inclut des messages pour les échecs d’autorisation. CloudTrail capture le message enregistré par le service dans sa gestion des exceptions.
EventName	string	Action demandée, qui est l’une des actions de l’API pour ce service.
EventSource	string	Service auquel la demande a été adressée. Ce nom est généralement une forme courte du nom de service sans espaces plus .amazonaws.com.
EventTypeName	string	Identifie le type d’événement qui a généré l’enregistrement d’événement. Il peut s’agir de l’une des valeurs suivantes : AwsApiCall, AwsServiceEvent, AwsConsoleAction , AwsConsoleSignIn.
EventVersion	string	Version du format d’événement du journal.
IpProtocol	string	Le protocole IP se trouve sous RequestParameters dans CloudTrail, et il est utilisé pour spécifier les autorisations IP d’une règle de groupe de sécurité. Nom ou numéro du protocole IP. Les valeurs valides sont tcp, udp, icmp ou un numéro de protocole.
_IsBillable	string	Spécifie si l’ingestion des données est facturable. Quand _IsBillable est false, l’ingestion n’est pas facturée sur votre compte Azure.
ManagementEvent	bool	Valeur booléenne qui identifie si l’événement est un événement de gestion.
NomOpération	string	Valeur constante : CloudTrail.
Lecture seule	bool	Identifie si cette opération est une opération en lecture seule.
RecipientAccountId	string	Représente l’ID de compte qui a reçu cet événement. Le recipientAccountID peut être différent de l’id de compte de l’élément UserIdentity CloudTrail. Cela peut se produire dans l’accès aux ressources inter-comptes.
RequestParameters	string	Les paramètres, le cas échéant, qui ont été envoyés avec la demande. Ces paramètres sont documentés dans la documentation de référence de l’API pour le service AWS approprié.
Ressources	string	Liste des ressources accessibles dans l’événement.
ResponseElements	string	Élément de réponse pour les actions qui apportent des modifications (créer, mettre à jour ou supprimer des actions). Si une action ne change pas d’état (par exemple, une demande d’obtention ou de liste d’objets), cet élément est omis.
ServiceEventDetails	string	Identifie l’événement de service, y compris ce qui a déclenché l’événement et le résultat.
SessionCreationDate	DATETIME	Date et heure à laquelle les informations d’identification de sécurité temporaires ont été émises.
SessionIssuerAccountId	string	Compte propriétaire de l’entité utilisée pour obtenir les informations d’identification.
SessionIssuerArn	string	ARN de la source (compte, utilisateur IAM ou rôle) utilisée pour obtenir des informations d’identification de sécurité temporaires.
SessionIssuerPrincipalId	string	ID interne de l’entité utilisée pour obtenir les informations d’identification.
SessionIssuerType	string	Source des informations d’identification de sécurité temporaires, telles que Root, IAMUser ou Role.
SessionIssuerUserName	string	Nom convivial de l’utilisateur ou du rôle qui a émis la session.
SessionMfaAuthenticated	bool	La valeur est true si l’utilisateur racine ou l’utilisateur IAM dont les informations d’identification ont été utilisées pour la demande ont également été authentifiées avec un appareil MFA ; sinon, false.
SharedEventId	string	GUID généré par CloudTrail pour identifier de manière unique les événements CloudTrail à partir de la même action AWS envoyée à différents comptes AWS.
SourceIpAddress	string	Adresse IP à partir de laquelle la requête a été effectuée. Pour les actions provenant de la console de service, l’adresse signalée concerne la ressource client sous-jacente, et non le serveur web de console. Pour les services dans AWS, seul le nom DNS est affiché.
SourcePort	string	SourcePort se trouve sous RequestParameters dans CloudTrail, et il est utilisé pour spécifier les autorisations IP pour une règle de groupe de sécurité. Début de la plage de ports pour les protocoles TCP et UDP ou un numéro de type ICMP.
SourceSystem	string	Type d’agent ayant collecté l’événement. Par exemple, OpsManager pour l’agent Windows (connexion directe ou Operations Manager), Linux pour tous les agents Linux, ou Azure pour Diagnostics Azure.
TenantId	string	ID de l’espace de travail Log Analytics
TimeGenerated	DATETIME	Horodatage (UTC). L’horodatage d’un événement provient de l’hôte local qui fournit le point de terminaison de l’API de service sur lequel l’appel d’API a été effectué.
TlsVersion	string	facultatif. Partie de tlsDetails. Version TLS d’une requête.
Type	string	Le nom de la table
UserAgent	string	Agent par le biais duquel la demande a été effectuée, telle que la console de gestion AWS, un service AWS, les kits SDK AWS ou AWS CLI.
UserIdentityAccessKeyId	string	ID de clé d’accès utilisé pour signer la demande.
UserIdentityAccountId	string	Compte propriétaire de l’entité qui a accordé des autorisations pour la demande.
UserIdentityArn	string	Nom de la ressource Amazon (ARN) du principal qui a effectué l’appel.
UserIdentityInvokedBy	string	Nom du service AWS qui a effectué la requête.
UserIdentityPrincipalid	string	Identificateur unique de l’entité qui a effectué l’appel.
UserIdentityType	string	Type de l’identité. Les valeurs suivantes sont possibles : Root, IAMUser, AssumedRole, FederatedUser, Directory, AWSAccount, AWSService, Unknown.
UserIdentityUserName	string	Nom de l’identité qui a effectué l’appel.
VpcEndpointId	string	Identifie le point de terminaison DU VPC dans lequel les demandes ont été envoyées d’un VPC à un autre service AWS.