Retención y almacenamiento de registros

Cada fuente tiene su propio plazo. El historial de eventos de la consola guarda 90 días de eventos de gestión. Un rastro entrega los eventos a un bucket de S3, y allí duran lo que diga la configuración del bucket, normalmente una regla de ciclo de vida que pasa a almacenamiento más barato y, al final, borra. Los registros de flujo van a su propio destino con su propia regla.

Hay un requisito de auditoría de 365 días y tres reglas de ciclo de vida en la tabla ciclo_de_vida.

La cadena es tan fuerte como su eslabón más débil. Abre destinos_de_registro y requisito. Entre las fuentes que tienen una retención en días, la menor queda más lejos del requisito. Calcula cuántos días le faltan a esa fuente para alcanzarlo.

S3 permite bloquear los objetos para que nadie, ni siquiera quien administra la cuenta, los borre o los sobrescriba durante un plazo. Para un archivo de evidencia es la diferencia entre un registro y un registro en el que se puede confiar. En destinos_de_registro hay una columna que dice si el bloqueo está activo.

Las reglas de ciclo de vida son configuración, no un detalle: un cambio de una cifra decide si habrá evidencia o no. Lee la tabla ciclo_de_vida y localiza la regla de eliminación del prefijo de los registros de CloudTrail.

Con la validación de integridad activada, CloudTrail calcula un resumen de cada archivo que entrega y, cada hora, entrega un archivo de resumen firmado que referencia los de esa hora. Con eso se puede comprobar si un archivo de registro fue modificado o borrado después de la entrega. La validación no impide el borrado ni arregla la retención: informa de él.