La nouvelle version de Log Audit Service centralise la collecte des journaux pour l'ensemble des services Alibaba Cloud et des environnements d'exécution, afin de vous aider à respecter les exigences de conformité et de gouvernance des données.
Pourquoi utiliser Log Audit Service
À mesure que les entreprises migrent vers le cloud, la gestion et l'audit des journaux à grande échelle deviennent essentiels.
L'audit des journaux est une obligation légale. Les lois sur la cybersécurité et la sécurité des données imposent de surveiller l'état du réseau, d'enregistrer les événements de sécurité et de conserver les journaux pendant au moins six mois.
La conformité des données exige de gérer les données dans différentes régions conformément aux réglementations locales, tout en permettant un flux de données ordonné entre les régions.
La nouvelle version de Log Audit Service répond à ces défis en prenant en charge l'ingestion des données issues des services cloud et des environnements d'exécution. Vous pouvez centraliser, interroger et analyser les journaux sur plusieurs projets pour respecter les exigences de conformité régionales.
Fonctionnalités de base
S'appuyant sur Simple Log Service (SLS), Log Audit Service ajoute les fonctionnalités suivantes :
Ingérer les journaux des services cloud
Couverture des services cloud : prend en charge le stockage (SLS, OSS), la mise en réseau (CLB, ALB, VPC, DNS), les bases de données (RDS, PolarDB), la sécurité (Security Center, Cloud Firewall, WAF, Anti-DDoS) et l'audit (ActionTrail, Cloud Config).
Collecte automatisée des journaux : après avoir connecté un service cloud, les journaux sont automatiquement écrits dans le Logstore de destination. Le service détecte et collecte les nouvelles instances et les modifications de propriétés selon vos règles.
Règles de collecte orchestrées : trois modes de sélection des ressources sont disponibles : toutes les ressources, filtrage par instance et filtrage par propriétés.
Agrégation des données inter-régions : utilise la transformation des données pour agréger les journaux entre les régions. SLS crée automatiquement des tâches de transformation en fonction de la relation de distribution entre les Logstores par défaut et les Logstores centralisés.
Plusieurs centres de journaux : ingérez les journaux une seule fois et agrégez-les dans différents projets ou Logstores via la transformation des données. Par exemple, agrégez les journaux de Chine (Pékin) et de Chine (Hangzhou) vers Shanghai, ou de Malaisie et d'Indonésie vers Singapour.
Prise en charge multi-comptes via Resource Directory : un compte administrateur ou un compte administrateur délégué peut agréger les journaux de tous les comptes membres.
Ingérer les journaux d'exécution
Collecte des journaux d'exécution : utilise Logtail pour collecter les journaux d'exécution depuis des agents open source tels que Tetragon et Falco dans un Logstore.
Journaux Systemd Journal : utilise Logtail pour collecter les journaux Systemd Journal, y compris ceux provenant des hôtes de conteneurs dans les environnements Docker et Kubernetes.
Fonctionnement
Ingérer les journaux des services cloud
-
Les journaux des services cloud sont d'abord stockés dans leurs Logstores par défaut.
Les journaux des services cloud et les noms de leurs Logstores sont répertoriés dans Remarques sur la collecte des journaux des services cloud.
Si une instance de service cloud correspond à plusieurs règles de collecte, ses journaux sont collectés dans le Logstore par défaut tant qu'au moins une règle correspond.
-
Log Audit Service crée automatiquement des tâches de transformation de données pour agréger les journaux du Logstore par défaut dans votre projet associé.
Les types de journaux sont déterminés par vos règles de collecte configurées.
Le service détecte automatiquement les nouvelles instances ou les instances modifiées dans chaque région et met à jour les règles de collecte en conséquence.
-
Si un compte administrateur ou un compte administrateur délégué de Resource Directory configure une règle de collecte multi-comptes, les journaux sont d'abord collectés dans le Logstore par défaut de chaque compte membre, puis agrégés dans le Logstore centralisé du compte administrateur ou du compte administrateur délégué via une tâche de transformation de données automatique.
Règle de collecte 1 : collecte les journaux en fonction de la propriété de région. Elle achemine les journaux des services cloud des régions Chine (Hangzhou) et Chine (Shenzhen) vers un Logstore centralisé nommé
xxx_log_center. Ce Logstore appartient au projet centralisécenter-A-cn-shanghai.Règle de collecte 2 : collecte les journaux en fonction de la propriété de région. Elle achemine les journaux des services cloud de la région Singapour vers un Logstore centralisé nommé
xxx_log_center. Ce Logstore appartient au projet centralisécenter-A-ap-southeast-1.
Après avoir enregistré une règle de collecte, il faut environ 10 à 15 minutes pour que les données soient acheminées vers le Logstore centralisé. Aucune opération répétée n'est requise durant cette période. Si aucune donnée n'apparaît dans le Logstore centralisé, essayez les opérations suivantes :
Enregistrez à nouveau la règle de collecte pour déclencher une nouvelle collecte.
Si les données manquent toujours, cela peut être dû à un problème de synchronisation des ressources. Contactez le support technique pour déclencher manuellement la synchronisation des ressources. Les données apparaîtront environ 10 minutes après la fin de la synchronisation.
L'affichage des journaux d'audit RDS prend environ 5 minutes.
Ingérer les journaux d'exécution
Dans les environnements Docker et Kubernetes, utilisez Tetragon et Falco pour collecter les journaux d'exécution des conteneurs vers des fichiers de répertoire ou la sortie standard, puis acheminez-les vers un Logstore SLS via Logtail.
Comparaison des applications
Nouvelle version de Log Audit Service contre ancienne version de Log Audit Service
Nouvelle version de Log Audit Service contre CloudLens for XX series
Log Audit Service et CloudLens for PolarDB permettent tous deux d'activer les journaux d'audit PolarDB. Le tableau suivant compare ces solutions par scénario.
|
Scénario |
Solution recommandée |
Avantages |
|
Contrôle manuel de la collecte des journaux |
Utilisez CloudLens for PolarDB. |
Fonctionnement simple et configuration flexible. |
|
Collecte automatisée des journaux des services cloud |
Utilisez l'API de Simple Log Service pour automatiser la collecte des journaux des services cloud. |
Configuration par lots. |
|
Dumps centralisés inter-régions |
Activez les règles pertinentes dans la console de la nouvelle version de Log Audit Service. |
La synchronisation des journaux en temps réel et inter-régions vous aide à respecter les exigences de conformité des données. |
|
Livraison centralisée des journaux inter-comptes (basée sur Resource Directory) |
Activez les règles pertinentes dans la console de la nouvelle version de Log Audit Service. |
La gestion unifiée des journaux de plusieurs comptes vous aide à répondre aux besoins de gouvernance des données au niveau de l'entreprise. |
Nouvelle version de Log Audit Service contre les consoles des services cloud
Le tableau suivant compare les méthodes de collecte des journaux pour Security Center et WAF.
Service cloud | Console du service cloud | Nouvelle version de Log Audit Service |
Security Center | Activer Simple Log Service pour collecter les journaux de connexion dans la console Security Center. | Log Audit Service est utilisé uniquement pour la livraison centralisée. Utilisez la console de Log Audit Service dans les scénarios suivants :
|
WAF |
Limites
Log Audit Service est actuellement disponible uniquement sur le cloud public.
La nouvelle version de Log Audit Service est en aperçu public. Si vous rencontrez des problèmes, soumettez un ticket.
Facturation
Log Audit Service est gratuit. Après l'avoir activé, vous êtes facturé pour le stockage des journaux et le trafic. Les frais incluent les éléments suivants :
Type de frais | Description |
Frais pour le Logstore par défaut des journaux des services cloud |
|
Frais de transformation des données |
|
Frais pour les Logstores associés à Log Audit Service |
|
Frais liés aux fonctionnalités des services cloud | Certains journaux nécessitent d'activer au préalable une fonctionnalité de service cloud (par exemple, la fonctionnalité de journal de flux pour les journaux de flux VPC et la fonctionnalité SQL Explorer pour les journaux d'audit RDS), ce qui entraîne des frais supplémentaires pour ce service. Remarques sur la collecte des journaux des services cloud. |
Frais liés aux journaux d'exécution | Identiques à ceux d'un Logstore standard, sans frais supplémentaires. Éléments facturables : Éléments facturables pour la méthode de facturation au forfait, Éléments facturables pour la méthode de facturation basée sur les données ingérées. Pour réduire les coûts : Comment réduire les coûts de stockage des journaux ?. |
Types d'ingestion des services cloud
Log Audit Service classe l'ingestion des services cloud dans les types suivants. Les limites spécifiques sont documentées dans Remarques sur la collecte des journaux des services cloud.
Type d'ingestion du service cloud | Critères de classification | Limites et description | Services cloud et types de journaux applicables |
Classe d'instance | Règles configurées au niveau de l'instance par ID d'instance, région ou tags. | Les journaux sont acheminés vers un Logstore dans la région où réside l'instance. Les Logstores créés par les règles de distribution des règles de collecte de services cloud utilisent des configurations d'index par défaut. Si vous souhaitez personnaliser les configurations d'index, désactivez le commutateur Auto Update sur la page de configuration des index. Sinon, les configurations d'index seront réinitialisées aux valeurs par défaut lors de la mise à jour du service. Pour plus d'informations, consultez Créer des index. |
|
Journal global | Règles configurées uniquement au niveau global. | Les journaux sont acheminés vers un Logstore dans une région fixe. |
|
Sécurité | Les règles utilisent le mode de propriété de ressource pour récupérer les régions de distribution par défaut. | La collecte des journaux doit d'abord être activée dans la console du service cloud. Log Audit Service ne fait que centraliser et traiter ces journaux. |
|
ActionTrail et Cloud Config | Aucune règle de collecte requise. L'association est établie via le nom du Logstore. | Configurez une piste ou une règle de distribution dans la console du service cloud et associez-la au projet actuel. |
|