AWS CloudTrail: VPCエンドポイント経由のネットワークアクティビティをIAMアイデンティティで選択的にロギング可能に

AWSは、VPCエンドポイントを介して送信されるネットワークアクティビティイベントに対し、IAMユーザーのアイデンティティ（UserIdentity）に基づいた高度なフィルタリング機能を追加しました。これにより、信頼されたIAMロール等の既知の安全なアイデンティティによる定常的な通信ログを記録除外することで、ログ保存コストの削減と分析時のノイズイズンを低減し、VpceAccessDenied（アクセス拒否）などの重要なセキュリティイベントのみを効率的に記録することが可能になります。

エンジニア視点の考察

解決される課題とメリット

これまでは、VPCエンドポイント経由の通信をすべてロギングするか、あるいはログの量があまりに膨大になり、コストと分析のノイズが課題となっていました。今回のアップデートにより、「信頼されたアイデンティティによる成功したAPIコール」をログから除外し、**「未知のアイデンティティによるアクセス拒否」**に焦点を当てることができ、データ持ち出し（Data Exfiltration）の検知をよりスマートに効率化できます。

日本リージョンの提供状況

調査の結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) において、本機能は利用可能です。CloudTrailのネットワークアクティビティイベントがサポートされているすべてのリージョンで利用可能となるため、既存の環境でもすぐに導入検討が可能です。

運用上のアドバイス

データ境界（Data Perimeter）戦略を構築している組織では、非常に有用な機能です。単に「すべてを記録する」のではなく、eventName や vpcEndpointId と組み組み合わせて、**「特定のIAMロール以外からのアクセス拒否イベント」**をフィルタリング条件として設定することをお勧めします。これにより、セキュリティ監視の精度を高めつつ、CloudTrailのログ保存コストを最適化できます。

次に行うべきアクション

1. 現在のVPCエンドポイント利用状況を確認し、ログのボリュームが課題となっているか評価する。
2. CloudTrailの高度なセレクター（Advanced Selectors）高度なセレクター（Advanced Selector）をコンソールまたはCLI/SDKを使用して設定し、テスト環境で可能か確認する。

参照元: AWS CloudTrail ユーザーガイド https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html