腾讯云云监控实践：使用云审计 CloudAudit SDK 精准管理腾讯云资源

一、什么是腾讯云的操作审计 CloudAudit

来自官方的释义：操作审计 CloudAudit 是一项支持对您的腾讯云账号进行监管、合规性检查、操作审核和风险审核的服务。借助 CloudAudit，您可以记录日志、持续监控并保留与整个腾讯云基础设施中操作相关的账号活动。CloudAudit 提供腾讯云账号活动的事件历史记录，这些活动包括通过腾讯云管理控制台、API 服务、命令行工具和其他腾讯云服务执行的操作。这一事件历史记录可以简化安全性分析、资源更改跟踪和问题排查工作。

博主总结：这个服务是腾讯云监控服务的一种，类似于 AWS 的 CloudTrail，但是又有 AWS CloudWatch 的功能，博主理解是一个 AWS CloudTrail 与 CloudWatch 的结合体，甚至包含一些 AWS Config 的功能。

总结一句话就是：CloudAudit 是一种 腾讯云的监控服务，可记录在账号上进行的活动，并可以将日志文件传送至到 COS 存储桶。

在这里插入图片描述

二、CloudAudit 有哪些优势

吹逼的话博主这里就不多哔哔了，任何一个云厂商都有类似的服务，且必须要有。如果你有监控痕迹记录，公司有云审计要求的话，那么这个服务就需要了。

三、CloudAudit 应用场景举例

这里根据官方的说明，列举几个场景的举例，适合一些小伙伴更加方便了解学习该服务。

3.1 安全分析

在云账号或资源存在安全问题的情况下，CloudAudit 记录的日志可用于深入分析原因。例如，CloudAudit 详细记录了用户的账号登录操作，包括操作时间、源 IP 地址以及是否使用多因素认证登录等信息。通过这些记录，用户能够准确判断账号是否存在潜在的安全问题。

3.2 资源变更跟踪

当用户的资源经历异常变更时，CloudAudit 记录的操作日志能够协助用户追踪变更的原因。例如，当用户发现某个 CVM 实例停机时，通过 CloudAudit 可以获取相应的操作时间和源 IP 地址，从而进行深入分析停机操作的发起原因。

3.3 合规性审计

对于拥有多个成员的组织，若用户已经使用腾讯云的 CAM 服务来管理这些成员的身份，为满足组织的合规性审计需求，用户需要获取每个成员的详细操作记录。CloudAudit 记录的操作事件能够满足这种合规性审计需求，确保用户对组织内成员的活动有全面了解。

四、使用云审计 SDK 进行云监控

接下来我们直接体验使用 云审计的 SDK 来进行监控云主机登陆信息。

4.1 安装环境包 PHP

假如您的机器的操作系统是 CentOS，可以使用以下指令安装 PHP

yum install php php-devel

在这里插入图片描述

4.2 下载并解压云审计 PHP SDK

使用的命令如下：

cd /root/
wget http://devcloudaudit-1254962721.cosgz.myqcloud.com/qcloudapi-sdk-php-master.tar
tar -xvf qcloudapi-sdk-php-master.tar

执行过程如下：

[root@VM-8-7-centos ~]# wget http://devcloudaudit-1254962721.cosgz.myqcloud.com/qcloudapi-sdk-php-master.tar
--2024-01-30 11:45:28--  http://devcloudaudit-1254962721.cosgz.myqcloud.com/qcloudapi-sdk-php-master.tar
Resolving devcloudaudit-1254962721.cosgz.myqcloud.com (devcloudaudit-1254962721.cosgz.myqcloud.com)... 169.254.0.48
Connecting to devcloudaudit-1254962721.cosgz.myqcloud.com (devcloudaudit-1254962721.cosgz.myqcloud.com)|169.254.0.48|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 68608 (67K) [application/x-tar]
Saving to: ‘qcloudapi-sdk-php-master.tar’

100%[===============================================================================================================>] 68,608      --.-K/s   in 0s

2024-01-30 11:45:28 (384 MB/s) - ‘qcloudapi-sdk-php-master.tar’ saved [68608/68608]

[root@VM-8-7-centos ~]# ll
total 68
-rw-r--r-- 1 root root 68608 Dec 16  2017 qcloudapi-sdk-php-master.tar
[root@VM-8-7-centos ~]#
[root@VM-8-7-centos ~]# tar -xvf qcloudapi-sdk-php-master.tar

执行状态结果如图所示：

在这里插入图片描述

4.3 创建的腾讯云持久证书（如果已创建请跳过）

登录腾讯云控制台 点击查看持久证书

链接：https://console.cloud.tencent.com/cam/capi

在提示的各种警告，直接点击蓝色按钮

同样点击确定按钮。

在这里插入图片描述

在 API 秘钥管理页面，点击新建秘钥按钮，之后勾选知晓警告后，点击确定按钮，进行创建秘钥。

在这里插入图片描述

4.4 配置持久证书到云审计 PHP 页面中

这里我们使用的是 PHP SDK 包中的 demo.php 做样例，也可以根据自身情况编写，将你的持久证书的SecretId与SecretKey配置到 PHP 页面中，如下图所示。

vim /root/qcloudapi-sdk-php-master/demo.php

将下图所示中，标识的SecretId和SecretKey替换成自己的 SecretId 和 SecretKey 即可。

在这里插入图片描述

4.5 安装云监控工具

cd /root/
wget http://update2.agent.tencentyun.com/update/linux_stargate_installer
chmod +x linux_stargate_installer
./linux_stargate_installer

执行命令过程如下：

[root@VM-8-7-centos ~]# cd /root/
[root@VM-8-7-centos ~]# wget http://update2.agent.tencentyun.com/update/linux_stargate_installer
--2024-01-30 13:16:56--  http://update2.agent.tencentyun.com/update/linux_stargate_installer
Resolving update2.agent.tencentyun.com (update2.agent.tencentyun.com)... 169.254.0.15
Connecting to update2.agent.tencentyun.com (update2.agent.tencentyun.com)|169.254.0.15|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 30753704 (29M) [application/octet-stream]
Saving to: ‘linux_stargate_installer’

100%[====================================================================================================>] 30,753,704  10.6MB/s   in 2.8s

2024-01-30 13:16:58 (10.6 MB/s) - ‘linux_stargate_installer’ saved [30753704/30753704]

[root@VM-8-7-centos ~]# chmod +x linux_stargate_installer
[root@VM-8-7-centos ~]# ./linux_stargate_installer
stop stargate if exist
install stargate
stargate/
stargate/logs/
stargate/admin/
stargate/admin/delcrontab.sh
stargate/admin/start.sh
stargate/admin/stop.sh
stargate/admin/uninstall.sh
stargate/admin/sgagenttask
stargate/admin/restart.sh
stargate/admin/addcrontab.sh
stargate/etc/
stargate/etc/base.conf
stargate/bin/
stargate/bin/sgagent64
stargate/bin/sgagentarm64
stargate/bin/sgagent32
stargate/lib/
stargate/lib/libstdcxx-arm64/
stargate/lib/libstdcxx-arm64/libstdc++.so.6.0.24
stargate/lib/libstdcxx-x86_64/
stargate/lib/libstdcxx-x86_64/libstdc++.so.6.0.20
install success
‘/usr/local/qcloud/stargate/bin/sgagent’ -> ‘/usr/local/qcloud/stargate/bin/sgagent64’
install python
update /usr/local/qcloud/stargate/lib/libstdc++.so.6
reset state
reset state succ.
start sgagent
stargate agent run succ
finish
[root@VM-8-7-centos ~]#

执行过程的截图如下：

在这里插入图片描述

4.5 编写简单代码设置告警

你可以自定义 demo.php 中的 $alarmAction变量，设置需要监控的 Action 名字。在本次示例中，默认的是【账户登录】事件。

在这里插入图片描述

4.6 设置 crontab 定时服务

最后我们使用crontab -e指令进行添加定时服务

crontab -e

将以下指令添加到最后一行即可，该定时任务是每分钟执行一次，并且记录警告日志。

*/1 * * * * cd /root/qcloudapi-sdk-php-master/ && php demo.php >> nohup.out > /dev/null 2>&1

在这里插入图片描述

最后重启 crontab 保证以上配置生效。

service crond restart

在这里插入图片描述

七、查看操作审计告警

在操作审计服务页面，可以查询到我们上述配置的登陆服务器敏感操作的记录信息

先访问操作审计页面（点击这里，或复制后面的链接）：https://console.cloud.tencent.com/cloudaudit

在这个操作审计页面中可以查询近七天的操作记录，这包括一些默认的操作以及类似我们调用 PHP SDK 自定义的记录。我们下图标注的第一个就是本博文配置的审计告警，用来监控登陆服务器记录的。

在这里插入图片描述

点击事件名称，进入到事件详情页面。

在这里插入图片描述

我们点击某条事件的事件名称后，右侧窗口进入到事件详情页面，在窗口右侧事件记录中可以查看到所有详细的信息，无论是时间戳，服务器，请教ID、事件ID什么操作等，都有详细记录。

{
    "userIdentity": {
        "principalId": "100099999999",
        "accountId": "100099999999",
        "secretId": "AKID999999999999999999999999999999994C6Y",
        "sessionContext": {},
        "type": "Root",
        "userName": "root"
    },
    "eventRegion": "ap-guangzhou",
    "eventVersion": 2,
    "errorCode": "0",
    "errorMessage": "permission verify",
    "requestID": "25999999999",
    "eventID": "2599999999915",
    "apiVersion": "2.0",
    "eventType": "ApiCall",
    "actionType": "Read",
    "httpMethod": "POST",
    "apiErrorCode": 0,
    "apiErrorMessage": "",
    "userAgent": "",
    "eventTime": 1706597281,
    "sensitiveAction": "0",
    "sourceIPAddress": "175.111.111.111",
    "resourceType": "cloudaudit",
    "eventName": "LookUpEvents",
    "eventSource": "cloudaudit.api.qcloud.com/v2/index.php",
    "resourceSet": [],
    "requestParameters": {
        "Action": "LookUpEvents",
        "EndTime": "1706597281",
        "LookupAttributes": "[{\"AttributeKey\":\"string\",\"AttributeValue\":\"ConsoleLogin\"}]",
        "MaxResults": "10",
        "Nonce": "35091",
        "Region": "gz",
        "RequestClient": "SDK_PHP_1.1",
        "SecretId": "AKIDjKhrmTwBC1c09Ak7GACAuX2LQM8h4C6Y",
        "StartTime": "1706597161",
        "Timestamp": "1706597281"
    },
    "responseElements": "\"{}\"",
    "resources": "[\"*\"]",
    "resourceName": "",
    "tags": [
        ""
    ]
}

八、其他 QA

8.1 什么时候应该使用 CloudAudit？

当具有以下需求的客户应该使用 CloudAudit：

• 需要跟踪资源变更情况
• 回答有关用户活动的简单问题
• 证明合规性
• 进行故障排除或执行安全分析

8.2 我可以查询多久的操作审计记录

现阶段在操作记录页面里，最多只能查询30天周期的信息，这个周期最长可以查看近3个月的记录，如果需要查看更长时间的操作记录，请使用跟踪集功能，日志数据将持久化存储到指定存储桶或CLS中。

根据等保合规2.0及网安法条例要求，企业云上业务日志必须保存180天以上，建议可以创建跟踪集，投递到存储桶，方便长期保存操作日志。

8.3 一个操作记录中包含了哪些信息？

一个操作记录包括访问密钥、区域、错误码、事件 ID 、事件名称、事件源、事件时间、请求 ID 、源 IP 地址、用户名。

8.4 CloudAudit 传送一个 API 调用事件需要多长时间？

一般情况下，CloudAudit 会在 API 调用后5 - 10分钟传送操作记录事件到用户指定的 COS Bucket。

8.5 启用 CloudAudit 是否会影响腾讯云资源的性能，或增加 API 调用的延迟？

不会。启用 CloudAudit 既不会影响腾讯云资源的性能，也不会增加 API 调用的延时。

8.6 检索到了异常操作怎么及时得到通知？

在腾讯云的可观测平台中（点击这里），提供了免费短信通知的功能（但是条数有限：1000条），同时提供了命令行发送工具 cagent_tools，就是我们上面的 shell 命令中的cagent_tools。(这里挖个坑，过几天写一个如何配置这个短信的操作)。

在这里插入图片描述

九、文末总结

在本文中，我们深入了解了腾讯云的操作审计服务 CloudAudit。首先，我们介绍了 CloudAudit 的基本概念和功能，探讨了其在安全分析、资源变更跟踪和合规性审计等方面的优势。通过具体的应用场景举例，我们展示了如何有效地利用 CloudAudit 进行实际操作，包括安全分析、资源变更跟踪和合规性审计的实施步骤。

随后，我们引导读者使用云审计 SDK 进行云监控，提供了详细的步骤，包括 PHP 环境包的安装、云审计 PHP SDK 的下载和配置，以及云监控工具的安装。我们还演示了如何通过编写简单的代码来设置告警，并通过 crontab 定时服务来定期执行操作。

最后，我们指导读者如何查看操作审计告警，并回答了一系列常见问题，涉及 CloudAudit 的最佳实践、记录查询、信息内容、事件传送时间、性能影响和异常操作通知等方面。通过本文，读者将更全面地了解如何充分利用 CloudAudit 来提升云环境的安全性、可追溯性和合规性。