VPC エンドポイントの AWS CloudTrail ネットワークアクティビティイベントが一般提供開始

本記事は、2025 年 2 月 14 日にAWS公式サイトの What’s New with AWS? に掲載された英語記事を自動翻訳したものです。

ニュース内容

VPC エンドポイントの AWS CloudTrail ネットワークアクティビティのリリースにより、VPC エンドポイントを通過する AWS API アクティビティをさらに詳しく把握できるようになり、データ境界を強化して、より優れた検出制御を実装できるようになりました。Amazon S3、Amazon EC2、AWS Key Management Service (AWS KMS)、AWS Secrets Manager、AWS CloudTrail の 5 つの AWS サービスで、VPC エンドポイントのネットワークアクティビティイベントを有効にできます。

VPC エンドポイントのネットワークアクティビティイベントを使用すると、ネットワーク内のリソースにアクセスしているユーザーの詳細を表示できるため、データ境界内の悪意のあるアクションや不正なアクションを識別して対応できるようになります。たとえば、VPC エンドポイントの所有者は、VPC エンドポイントポリシーによって拒否されたアクションのログを表示したり、データ境界外のアクターが S3 バケット内のデータにアクセスしようとしているかどうかを判断したりできます。

AWS CloudTrail コンソール、AWS CLI、SDK を使用して、VPC エンドポイントのネットワークアクティビティイベントのログ記録を有効にできます。新しいトレイルまたはイベントデータストアを作成するとき、または既存のトレイルまたはイベントデータストアを編集するときに、監視するサポート対象サービスのネットワークアクティビティイベントを選択できます。すべての API 呼び出しをログに記録するように設定することも、accessDenied 呼び出しのみをログに記録するように設定することもできます。また、高度なイベントセレクターを使用して追加のフィルタリングコントロールを使用することもできます。

VPC エンドポイントのネットワークアクティビティイベントは、すべての商用 AWS リージョンで利用できます。ネットワークアクティビティイベントの料金と開始するためのドキュメントの詳細については、CloudTrail の料金を参照してください。

原文

With the launch of AWS CloudTrail network activity for VPC endpoints, you now have additional visibility into AWS API activity that traverses your VPC endpoints, enabling you to strengthen your data perimeter and implement better detective controls. You can enable network activity events for VPC endpoints for five AWS Services: Amazon S3, Amazon EC2, AWS Key Management Service (AWS KMS), AWS Secrets Manager, and AWS CloudTrail.

With network activity events for VPC endpoints, you can view details of who is accessing resources within your network giving you greater ability to identify and respond to malicious or unauthorized actions in your data perimeter. For example, as the VPC endpoint owner, you can view logs of actions that were denied due to VPC endpoint policies or determine if an actor outside of your data perimeter is trying to access the data in your S3 buckets.

You can enable logging for network activity events logging for your VPC endpoints using the AWS CloudTrail console, AWS CLI, and SDKs. When creating a new trail or event data store or editing an existing one, you can select network activity events for supported services that you wish to monitor; you can configure to log all API calls, or log only the accessDenied calls, and you can use advanced event selectors for additional filtering controls.

Network activity events for VPC endpoints are available in all commercial AWS Regions. Refer to CloudTrail pricing to learn more about network activity events pricing and the documentation to get started.

引用元：AWS CloudTrail network activity events for VPC endpoints are now generally available