Fuentes de registro y retención

CloudTrail está activo en toda cuenta de AWS y ofrece, sin configurar nada, el historial de eventos: un registro consultable de los últimos 90 días de eventos de administración, por región. No muestra eventos de datos (por ejemplo, las lecturas de objetos de S3), y cada búsqueda cubre una sola cuenta y una sola región.

Para conservar más tiempo, o para ver otras categorías, hace falta crear una trail (que entrega archivos a un bucket de S3) o un almacén de eventos. Ese bucket tiene sus propias reglas de ciclo de vida, y son las que deciden hasta cuándo existe la evidencia.

Una trail guarda archivos en un bucket, y ese bucket puede borrarlos solo: una regla de ciclo de vida elimina los objetos a los N días. Esa cifra no sale de la documentación de AWS, sino de la configuración de la cuenta que investigas, y por eso se lee del inventario antes de prometerle a nadie cuánto se puede reconstruir.

En el laboratorio, la tabla de fuentes indica dónde vive cada registro y cuántos días lo conserva.

El historial de eventos cuenta sus 90 días desde la fecha del evento. El último día en que una huella todavía se puede consultar es su fecha más el plazo de la fuente, calculado con el calendario. Si la trail del bucket sí la conserva, la huella no se pierde, pero la consulta rápida desde la consola sí.

La tabla de primeras huellas trae el evento más antiguo conocido en cada fuente.

Una pregunta de respuesta a incidentes casi siempre es de datos: qué objetos se leyeron, qué se descargó. Los eventos de datos de S3 son una categoría aparte, que se activa por bucket y tiene su propio costo, y los registros de flujo de la red tampoco existen si nadie los habilitó.

Antes de comprometerse con una conclusión se contrasta la pregunta con lo que la configuración sí registra.