Quién hizo qué — leer un evento de CloudTrail

CloudTrail registra las llamadas a la API de AWS, hechas desde la consola, la línea de comandos, un programa o un servicio de AWS. Cada evento contesta cuatro preguntas. Quién: el campo userIdentity, con el tipo de identidad (usuario de IAM, rol asumido, usuario raíz, servicio de AWS) y su nombre. Desde dónde: sourceIPAddress y userAgent, que dice con qué programa se hizo (un navegador, un SDK, la línea de comandos). Contra qué: eventSource, el servicio, por ejemplo el de máquinas virtuales o el de identidades. Qué pidió: eventName, la operación. Si la llamada falló, aparece además errorCode.

En el laboratorio las columnas están aplanadas y renombradas: principal es el quién, ip el origen, agente el programa, fuente el servicio, evento la operación y error el código de error (un guion si no hubo).

Un evento no dice por qué alguien hizo algo. Dice que una identidad pidió una operación, a una hora, desde una dirección. El porqué se averigua fuera del registro, con la persona o con el ticket.

Abre la consola. La tabla cloudtrail tiene los siete eventos de gestión del martes (las horas van en UTC; Colombia está cinco horas por detrás). Una operación concreta se encuentra filtrando por la columna evento.

Ejecuta SELECT * FROM cloudtrail WHERE evento = 'StopInstances' y lee la columna principal.

Un evento con error distinto de un guion es una petición que AWS rechazó. Un error de permisos (AccessDenied) significa que la identidad no tenía autorización para esa operación; la petición llegó, quedó escrita y no tuvo efecto.

Ejecuta SELECT * FROM cloudtrail WHERE evento = 'CreateUser' y mira la columna ip.

Dos eventos seguidos de la misma identidad, crear un usuario y listar usuarios, ambos rechazados, no prueban un ataque ni lo descartan. Hay que mirar quién es la identidad (aquí un usuario de servicio de una aplicación de monitoreo), si su dirección es la habitual y si hay un cambio aprobado que explique llamadas nuevas. Un error de permisos es un hecho; la intención es una hipótesis.