CloudWatch Logs

Définition

Amazon CloudWatch Logs est le service de journalisation centralisée d'AWS permettant de collecter, stocker, surveiller et analyser les logs provenant des ressources AWS, des applications et des services. Il constitue une composante fondamentale de l'observabilité et de la détection de sécurité dans les environnements AWS. CloudWatch Logs organise les logs en Log Groups (groupes logiques par application ou service) et Log Streams (flux de logs pour une instance ou un conteneur spécifique). La rétention des logs est configurable par Log Group (de 1 jour à 10 ans ou conservation indéfinie). Pour la sécurité, une rétention minimale de 90 jours est recommandée (1 an pour les données soumises à audit). L'intégration native de CloudWatch Logs avec les services AWS est extensive : les logs CloudTrail (activité API), VPC Flow Logs (trafic réseau), AWS WAF (requêtes web filtrées), Route 53 (requêtes DNS), Lambda (stdout/stderr des fonctions), ECS (logs des conteneurs), et RDS (slow query logs, error logs) peuvent tous être envoyés vers CloudWatch Logs. L'agent CloudWatch Logs (maintenant remplacé par l'agent CloudWatch unifié) collecte les logs des instances EC2 et des serveurs on-premises. La fonctionnalité Metric Filters permet d'extraire des métriques numériques depuis des logs texte et de créer des alarmes CloudWatch. Par exemple : compter les erreurs d'authentification SSH, détecter les tentatives d'accès root, ou monitorer les appels API IAM critiques (CreateUser, AttachPolicy). Cette fonctionnalité est utilisée dans les guardrails de sécurité du CIS AWS Foundations Benchmark (création d'alarmes sur les événements IAM critiques). CloudWatch Logs Insights est un moteur de requêtes permettant d'analyser les logs en temps quasi-réel avec un langage SQL-like. Il est particulièrement utile pour les investigations forensiques (requêtes sur CloudTrail pour identifier les actions d'un attaquant) et la détection d'anomalies.