تصور کنید شب‌هنگام با اتومبیلی در حال رانندگی هستید که چراغ‌های جلو کاملاً خاموش است، و تنها به این دلیل که جاده یک مایل پیش خلوت بوده، اعتماد می‌کنید که جلوتر هم خالی خواهد ماند. این دقیقا حس و حال اجرای زیرساخت ابری بدون سیستم‌های جامع لاگ‌گیری و نظارت است؛ با این تفاوت که به جای یک دست‌انداز کوچک، مستقیماً به سمت حملات صفرروزه، سرقت داده‌ها و باج‌افزارهای خاموش حرکت می‌کنید. سخت‌سازی امنیتی به تنهایی هرگز یک سپر دائمی نیست و سیستم‌های تاب‌آور برای زنده ماندن در برابر نفوذهای اجتناب‌ناپذیر به دیده‌بانی مستمر نیاز دارند. چالش اصلی که این فصل حل می‌کند، پر کردن شکاف خطرناک میان دیپلوی منابع ابری امن و آگاهی واقعی از زمان، نحوه و دلیل سازش‌پذیری آن منابع با مهاجمان است. بدون داده‌های تله‌متری قابل اتکا، یک سازمان در تاریکی مطلق فعالیت می‌کند و حوادث امنیتی را هفته‌ها پس از اینکه مهاجمان پایگاه‌های خود را مستقر کرده‌اند، کشف می‌کند. هنگام وقوع یک حادثه، مهندسان ساعت‌های حیاتی را صرف کنار هم گذاشتن ردپاهای تکه‌تکه شده رویدادها می‌کنند به جای اینکه شعاع آسیب را محدود کنند. برای برقراری آگاهی موقعیتی واقعی، ابتدا باید اصول لاگ‌گیری و نظارت را درک کنیم. لاگ‌گیری عمل ثبت داده‌های خام خروجی سیستم یا اپلیکیشن است، در حالی که نظارت فرآیند فعال استفاده از لاگ‌ها برای پیگیری رویدادهای معنادار است که معمولاً از طریق داشبوردهای متمرکز نمایش داده می‌شوند. با این حال، ثبت داده‌ها بی‌فایده است اگر مهاجمانی را که قصد شکستن خطوط دفاعی شما را دارند نشناسید. مهاجمان از سبک‌های مختلف حمله استفاده می‌کنند؛ از اسکن‌های فرصت‌طلبانه گرفته تا کمپین‌های پیشرفته‌ای که به صورت تهدیدات پیشرفته مداوم (APT) ماه‌ها در شبکه‌ها مخفی می‌مانند. علاوه بر این، سویه‌های مخرب باج‌افزار به‌طور مداوم برای رمزگذاری دارایی‌های حیاتی تکامل می‌یابند، در حالی که بازیگران مخرب بین حملات غیرفعال و فعال جابه‌جا می‌شوند تا پیش از اجرای پادمان‌های مخرب، آسیب‌پذیری‌ها را نقشه برداری کنند. تشخیص این تهدیدات نیازمند تحلیل انواع لاگ است—مانند لاگ‌های اپلیکیشن، رویدادهای سیستمی و مسیرهای ممیزی—که باید به طور امن به مقصدهای مطمئن ذخیره‌سازی لاگ مانند باکت‌های رمزنگاری شده منتقل شوند، جایی که خط‌مشی‌های سخت‌گیرانه و مدیریت کلیدها امنیت داده‌ها را در حالت استراحت تضمین می‌کنند. هنگامی که داده‌ها به طور امن ذخیره شدند، مهندسان برای تشخیص ناهنجاری‌ها به ابزارهای پیشرفته متکی می‌شوند تا رفتارهای غیرعادی مانند جهش‌های غیرمنتظره پردازنده را که از خطوط پایه عملیاتی منحرف می‌شوند شناسایی کنند. هنگامی که پیکربندی‌های نادرست رخ می‌دهند، اصلاح با AWS Config وارد عمل شده و وضعیت منابع را در برابر خط‌مشی‌های امنیتی ارزیابی می‌کند. هم‌زمان، همبستگی فعالیت کاربر با CloudTrail به تیم‌های امنیتی اجازه می‌دهد تا ردیابی کنند چه کسی اقدامات API را در کل حساب انجام داده است، در حالی که نظارت شبکه با یک Amazon VPC از لاگ‌های جریان، گروه‌های امنیتی حالت‌مند و لیست‌های کنترل دسترسی شبکه بی‌حالت برای بازرسی ترافیک عبوری از مرزهای ساب‌نت استفاده می‌کند. طراحی این پایپ‌لاین تله‌متری بده‌بستان (Trade-off)‌های معماری حیاتی را معرفی می‌کند. ذخیره کردن هر لاگ منفرد به طور نامحدود، وضوح قانونی کاملی را فراهم می‌کند اما هزینه‌های ذخیره‌سازی هنگفت و سربار تطابق پیچیده‌ای را تحمیل می‌کند و تیم‌ها را مجبور می‌کند بودجه‌های نگهداری را در برابر تحمل ریسک متعادل کنند. به همین ترتیب، اتکای صرف به تشخیص ناهنجاری خودکار، خستگی انسانی را کاهش می‌دهد اما خطر خستگی هشدار ناشی از مثبت‌های کاذب را به همراه دارد. [ ] تفکیک دقیق بین ثبت خروجی‌های خام سیستم و نظارت بر رویدادهای قابل اقدام با استفاده از داشبوردها [ ] دسته‌بندی بردارهای تهدید مختلف شامل شناسایی غیرفعال، حملات فعال و تهدیدات پیشرفته مداوم [ ] پیکربندی امن ذخیره‌سازی لاگ با استفاده از باکت‌های رمزنگاری شده و کلیدهای مدیریت شده توسط مشتری [ ] پیاده‌سازی مکانیزم‌های تشخیص ناهنجاری برای کشف انحرافات در خطوط پایه عملکرد سیستم [ ] خودکارسازی بررسی‌های تطابق و جریان‌های کاری اصلاحی با استفاده از قوانین AWS Config [ ] بررسی حوادث امنیتی با همبستگی فراخوانی‌های API کاربر از طریق AWS CloudTrail [ ] تحلیل الگوهای ترافیک شبکه با استفاده از لاگ‌های جریان VPC، گروه‌های امنیتی و لیست‌های کنترل دسترسی