CloudTrail leído

Cada evento lleva el servicio, el nombre de la operación, la identidad que la pidió, la dirección de origen, el agente de usuario, la región y, si falló, un código de error como AccessDenied. Una llamada denegada quedó registrada igual: prueba que alguien lo intentó y qué buscaba, pero no que la acción se ejecutara.

Esa diferencia pesa en el informe. Contar una llamada denegada como una acción lograda exagera el daño; ignorarla borra una pista de intención y de alcance.

El campo de dirección de origen distingue lo habitual de lo ajeno. La persona de compras trabaja desde la oficina, y sus llamadas normales salen siempre de la misma dirección; una sesión que entra de madrugada UTC desde otra dirección es la que hay que mirar.

Los eventos del laboratorio van ordenados por hora y solo hay una sesión de consola fuera de la oficina ese día.

Los intentos denegados dibujan el mapa de lo que alguien buscaba: preguntar por usuarios, roles y permisos del propio entorno es reconocimiento. Contarlos requiere filtrar dos cosas a la vez: la dirección de origen y el resultado.

Solo cuentan las llamadas de esa dirección ajena; las de la oficina, aunque tengan fallos, son otra historia.

Entre las llamadas correctas de esa sesión hay una que no es lectura: crea algo que sobrevive al cierre de la sesión. Un reconocimiento se acaba cuando se cierra el navegador, pero una credencial nueva sigue valiendo y es lo primero que hay que encontrar y retirar.

El nombre de la operación se lee tal como lo escribe la bitácora, en inglés y con mayúsculas internas.