AWS CloudTrail にデータイベントのロギング状況を可視化する「Event Coverage」が登場

AWS CloudTrail に、アカウントおよび AWS Organizations レベルでデータプレーン操作のロギング状況を可視化する新機能「Event Coverage」が導入されました。この機能により、どの AWS サービスやリソースタイプでデータイベントのロギングが有効になっているか、あるいは無効であるかを一元的に確認・管理することが可能です。ダッシュボードから直接データイベントの購読（有効化）を行うことで、ロギングのギャップを迅速に解消できます。本機能は、CloudTrail がサポートされているすべての商用リージョンで利用可能です。

🛡️ セキュリティ監視の「死角」を解消する強力なツール

データイベント（例: Amazon S3 の GetObject や PutObject）は、デフォルトではロギングが有効になっていないため、管理下にある AWS アカウントや Organizations の全サービスを俯瞰的に確認するのは非常に困難でした。今回の新機能は、その「死角」を自動的に可視化してくれるため、セキュリティ運用において非常に価値が高いです。

📍 日本国内の利用状況

リサーチの結果、東京 (ap-northeast-1) および 大阪 (ap-northeast-3) リージョンにおいて、本機能は利用可能です。CloudTrail 自体が提供されている商用リージョンであれば、どこでも利用できるという公式発表に基づいています。

💡 運用上のアドバイス

• コスト管理に注意: データイベントのロギングを有効にすると、CloudTrail のログ記録料金が発生します。全リソースを無一策に有効化するのではなく、機密性の高い S3 バケットや Lambda 関数などの重要なリソースに対して、優先順位をつけて段階的に適用していくのが実務的なアプローチです。
• ガバナンス要件の確認: Organizations を利用している場合、組織全体のロギング体制（Logging Posture）を管理する管理アカウントから管理することで、効率的にガバナンス要件を満たせます。

🚀 次のアクション

まずは CloudTrail コンソールにアクセスし、「Event Coverage」ダッシュボードをチェックして、現在の環境におけるロギングの「穴」がどこにあるかを確認してみることをお勧めします。

参照元: AWS CloudTrail ドキュメント https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-data-events-with-cloudtrail.html#logging-data-events