如何查看AWS EC2安全组出站流量规则的变更日志？

作为AWS账户管理员，你完全可以查询安全组规则的变更记录，以下是几种直接的途径：

• AWS CloudTrail
  这是AWS默认的操作日志服务，所有涉及安全组修改的API调用都会被记录。你可以：

  1. 登录CloudTrail控制台，进入「事件历史」页面
  2. 设置筛选条件，重点关注和出站规则相关的事件名称：AuthorizeSecurityGroupEgress（添加出站规则）、RevokeSecurityGroupEgress（删除出站规则）、UpdateSecurityGroupRuleDescriptionsEgress（修改出站规则描述）
  3. 每条记录会显示操作时间、执行操作的IAM用户/角色、以及具体的规则变更内容（比如修改的端口范围、目标IP段）
     如果你习惯用CLI，也可以执行以下命令查询：

  aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=AuthorizeSecurityGroupEgress
  

  替换AttributeValue为其他出站相关事件名，就能查到对应操作。

• AWS Config
  这个服务可以跟踪资源的配置历史，对比不同时间点的安全组规则差异。进入AWS Config控制台，找到目标安全组，查看「配置历史」，就能直观看到出站规则的添加、删除或修改记录，还能生成变更对比报告。

通过以上两种方式，你可以精准定位是谁在什么时间修改了安全组出站规则，完全能验证你的怀疑。

内容的提问来源于stack exchange，提问作者Peter Couture