現場実践｜AWS監査・ログ管理

AWS CloudTrailとCloudWatch Logsの活用入門｜操作ログの取得・分析・アラート設定

「AWSで誰が何を操作したか記録したい」「セキュリティインシデントの調査方法を知りたい」——CloudTrailによるAPI操作ログの取得・CloudWatch Logsでの分析・異常操作のアラート設定を解説します。

読了目安：約18分更新日：2026年3月

💡 CloudTrailはAWSの「監視カメラ」。「いつ・誰が・どのAPIを・どこから呼び出したか」を全て記録します。セキュリティインシデント調査では最初に確認すべきサービスです。

この記事を書いた人

現役ITエンジニア・IT講師（経験14年）

CCNA・CCNP 取得LPIC-1 保有SES現場を複数経験

AWS環境の監査ログ設計・セキュリティインシデント調査を多数担当してきた立場から解説します。

1. CloudTrailの基本

まず、AWS CloudTrailはAWSアカウント内の全APIコールを記録するサービスです。誰が（ユーザー・IAMロール）・いつ・どのAPIを・どこから（IPアドレス）・何を対象に実行したかが全て記録されます。本番環境では必ずCloudTrailを有効化してS3に証跡を保存することを推奨します。

2. CloudTrailのベストプラクティス設定

全リージョンで有効化：CloudTrailは各リージョンで個別に有効化が必要。「管理イベント」を全リージョンで記録するオーガニゼーショントレイルを使う
S3に証跡を保存：CloudTrailのログはS3に保存する。保存先S3バケットはバケットポリシーで「CloudTrailサービスからのみ書き込み可能」に設定する
ログファイルの整合性検証：CloudTrailのログファイル整合性検証を有効化して、ログが改ざんされていないことを確認できるようにする

3. CloudWatch Logsでインシデントを調査

# CloudWatch Logs Insightsでroot使用を検索
fields @timestamp, userIdentity.type, eventName, sourceIPAddress
| filter userIdentity.type = "Root"
| sort @timestamp desc
| limit 20

# 失敗したAPIコールを検索
fields @timestamp, eventName, errorCode, sourceIPAddress
| filter errorCode like "AccessDenied"
| sort @timestamp desc
| limit 50