AWS CloudTrail Clásico2013年〜
Un servicio que registra y monitorea la actividad de API en cuentas AWS
Qué hace
AWS CloudTrail es un servicio que registra las llamadas a la API realizadas en tu cuenta de AWS, proporcionando un historial completo de auditoría. Registra quién hizo qué, cuándo, desde dónde y sobre qué recurso. Soporta eventos de gestión (operaciones del plano de control), eventos de datos (operaciones del plano de datos como lecturas/escrituras en S3) y eventos de Insights (detección de actividad inusual).
Casos de uso
Se utiliza para auditoría de seguridad y cumplimiento normativo, investigación de incidentes de seguridad, seguimiento de cambios en la configuración de recursos, detección de actividad no autorizada, y cumplimiento de requisitos regulatorios (SOC, PCI DSS, HIPAA). Es fundamental para la gobernanza y seguridad de cualquier cuenta AWS.
Analogía cotidiana
Piensa en él como las cámaras de seguridad de un edificio. Cada vez que alguien entra, sale o hace algo en el edificio (cuenta AWS), las cámaras (CloudTrail) lo graban. Si ocurre un incidente, puedes revisar las grabaciones para saber exactamente quién hizo qué y cuándo.
¿Qué es AWS CloudTrail?
AWS CloudTrail es un servicio de auditoría que registra todas las acciones realizadas en tu cuenta de AWS. Cada vez que alguien crea un recurso, modifica una configuración o accede a datos a través de la consola, CLI o SDK, CloudTrail registra el evento. Estos registros son esenciales para la seguridad, el cumplimiento normativo y la resolución de problemas.
Tipos de eventos
CloudTrail registra tres tipos de eventos. Los eventos de gestión capturan operaciones del plano de control como crear instancias EC2 o modificar políticas IAM. Los eventos de datos capturan operaciones del plano de datos como GetObject en S3 o Invoke en Lambda. Los eventos de Insights detectan automáticamente patrones de actividad inusuales, como picos repentinos en llamadas API.
Trails y almacenamiento
Un trail es una configuración que define dónde almacenar los eventos de CloudTrail. Puedes enviar eventos a un bucket S3 para almacenamiento a largo plazo y a CloudWatch Logs para monitoreo en tiempo real. CloudTrail Lake permite ejecutar consultas SQL sobre los eventos almacenados. Los eventos se entregan típicamente dentro de 15 minutos de la llamada API. Para profundizar en trails y almacenamiento, los libros en Amazon son un buen recurso.
Cómo empezar
CloudTrail está habilitado por defecto en todas las cuentas AWS, registrando los últimos 90 días de eventos de gestión sin costo. Para almacenamiento a largo plazo, crea un trail que envíe eventos a S3. En la consola de CloudTrail, haz clic en "Crear trail", especifica un bucket S3 y opcionalmente habilita el cifrado con KMS y la validación de integridad de archivos de log.
Aspectos a tener en cuenta
- デフォルトのイベント履歴は 90 日間のみ。コンプライアンス要件で長期保存が必要な場合は証跡を作成して S3 に保存すること
- データイベント (S3 オブジェクト操作、Lambda 呼び出しなど) は証跡で明示的に有効にしないと記録されない。大量のデータイベントを記録するとコストが増加するため、対象リソースを絞ること
- CloudTrail ログの改ざん防止には、ログファイルの整合性検証を有効にし、S3 バケットの MFA Delete を設定すること
