EP 12 / EPISODE BRIEF
クラウド管理操作の連鎖
架空JSONLのactor・MFA・requestIdを相関する
Northstar Labの架空cloud-audit.jsonlをjqで読み取り、actor、sourceIp、action、resource、result、requestIdとMFA結果を相関します。実クラウド名や認証情報は登場せず、操作の再実行もしません。
このエピソードで学ぶこと
JSONは名前と値の組合せでデータを表します。JSONLは1行に1つのJSONを置く形式です。jqの.actorはactor欄を参照し、select(...)は条件に合う記録を選びます。
actorは主体、requestIdは要求の識別子です。MFAの判定とreadの結果を別の記録として比較します。
ミッション
- 管理操作の対象を絞る引き継いだactor=mayaに関連する監査行を抽出する
- MFA結果を分離するMFAイベントの成功・失敗とrequestIdを一覧化する
- 監査列を揃えるactor・IP・result・requestIdを一貫した順序で出す
- requestId単位で束ねる同じrequestIdに属するイベント数を数え、連鎖の単位を確認する
- 最終イベント列を整形する最終イベント列を整形し、観測と未確定を分けて引き継ぐ