Recopilación de registros en CloudWatch

Amazon CloudWatch Logs es el servicio administrado que recopila, almacena y busca datos de registro de sus recursos y aplicaciones de AWS. En lugar de permanecer en servidores individuales, donde pueden perderse al terminar una instancia, los registros se transmiten a una ubicación central y duradera. Para un ingeniero de seguridad, esta centralización es precisamente lo importante: no puede detectar ni investigar aquello que no puede ver.

Un grupo de registros es un contenedor que almacena datos de registro relacionados y define configuraciones compartidas. Normalmente, un grupo de registros representa una aplicación o un servicio, como /aws/lambda/my-function. Hay dos configuraciones especialmente importantes para la seguridad: el periodo de retención, que controla cuánto tiempo se conservan los registros antes de su eliminación automática, y la clave de KMS opcional que se utiliza para cifrar los datos en reposo.

Dentro de un grupo de registros, un flujo de registros es una secuencia de eventos procedentes de un único origen, como una instancia de EC2 o un entorno de invocación de Lambda. Los eventos llegan con una marca de tiempo y un mensaje. Separarlos por flujo mantiene independientes los orígenes, de modo que puede rastrear la actividad hasta un origen específico sin dejar de agruparla lógicamente bajo un mismo grupo de registros.

Las instancias de EC2 y los servidores locales no envían registros automáticamente. El agente unificado de CloudWatch se instala en el host para enviar a CloudWatch Logs los archivos de registro del sistema operativo, de las aplicaciones y los personalizados. También recopila métricas adicionales, como el uso de memoria y disco, que el hipervisor no puede ver. El agente necesita un rol de IAM que le conceda permisos para escribir registros.

Muchos servicios de AWS registran datos directamente en CloudWatch sin ningún agente. Lambda escribe la salida de las funciones, VPC Flow Logs puede dirigirse a un grupo de registros y Route 53 puede registrar consultas DNS. CloudTrail también puede enviar eventos a CloudWatch Logs, además de a S3. Saber qué orígenes no necesitan agente y cuáles sí lo necesitan es una distinción habitual en los exámenes.

De forma predeterminada, los grupos de registros conservan los datos para siempre, lo que aumenta silenciosamente su factura. Puede establecer la retención de cada grupo de registros desde un día hasta diez años. La seguridad y el cumplimiento normativo suelen exigir una retención prolongada para las pistas de auditoría, mientras que los registros de depuración ruidosos pueden caducar rápidamente. Equilibrar ambos aspectos permite satisfacer tanto a los auditores como al equipo financiero.

CloudWatch Logs cifra los datos en reposo de forma predeterminada, pero puede asociar una clave de KMS administrada por el cliente a un grupo de registros para obtener un control más estricto. Esto le permite gobernar exactamente quién puede leer los registros mediante la política de la clave y genera un registro auditable del uso de la clave. Los registros confidenciales que contienen credenciales o información de identificación personal se benefician especialmente de esta configuración.

Un filtro de suscripción transmite los eventos de registro coincidentes casi en tiempo real a otro destino, como Lambda, Kinesis Data Streams o Amazon OpenSearch. Los equipos de seguridad lo utilizan para reenviar los registros a un SIEM o a una cuenta central de registros en cuanto llegan, en lugar de exportarlos por lotes más tarde. Así, CloudWatch Logs se convierte en una canalización activa.

Para realizar un archivado a largo plazo y de bajo costo, puede exportar los datos de registro a Amazon S3. S3 ofrece un almacenamiento más económico, reglas de ciclo de vida para Glacier y Object Lock para garantizar la inmutabilidad. Un patrón habitual consiste en conservar los registros durante poco tiempo en CloudWatch para poder buscarlos rápidamente y exportarlos a un bucket de S3 restringido para mantener el registro de cumplimiento durante años.

CloudWatch Logs Insights es un lenguaje de consulta diseñado específicamente para buscar grupos de registros de forma interactiva. Puede filtrar, agregar y ordenar grandes volúmenes sin exportar nada. Durante una investigación, le permite responder rápidamente preguntas como qué IP activó la mayor cantidad de errores, por lo que es un primer paso rápido antes de pasar a Athena para realizar un análisis más profundo.

La canalización de registros también es un objetivo. Conceda al rol del agente de CloudWatch únicamente logs:CreateLogStream y logs:PutLogEvents; nunca le otorgue permisos amplios. Proteja los grupos de registros para impedir que los atacantes los eliminen y oculten su actividad, y reenvíe rápidamente los registros críticos a una cuenta independiente. Un registro que controla de principio a fin es una evidencia en la que puede confiar.

Compruebe su comprensión de la recopilación de CloudWatch Logs.

CloudWatch Logs centraliza los datos de registro en grupos de registros compuestos por flujos de registros. EC2 y los hosts locales necesitan el agente unificado, mientras que muchos servicios se integran de forma nativa. Establezca la retención para controlar los costos, adjunte una clave de KMS para los datos confidenciales y utilice filtros de suscripción o la exportación a S3 para alimentar un SIEM o crear un archivo. Proteger la canalización mantiene la confiabilidad de sus evidencias.