Lectura de un registro de eventos de CloudTrail

Un evento de CloudTrail es un JSON record con un conjunto coherente de campos. Aprender a leerlo le permite reconstruir exactamente lo ocurrido durante una investigación.

Cada registro describe una llamada a la API: quién la realizó, qué hizo, cuándo, desde dónde y cuál fue el resultado.

El campo más importante para la seguridad es userIdentity. Describe el principal que realizó la llamada: su tipo (IAMUser, AssumedRole, Root, AWSService), su cuenta y su ARN (Amazon Resource Name).

Así puede atribuir una acción con certeza a una persona, un rol o un servicio concretos.

eventName es la acción de la API que se llamó, como DeleteBucket o RunInstances, y eventSource es el servicio al que pertenece, como s3.amazonaws.com.

Juntos indican con precisión qué operación tuvo lugar, lo que resulta esencial para comprender cualquier evento.

La marca de tiempo de eventTime (en UTC), awsRegion y sourceIPAddress sitúan la llamada en el tiempo y el espacio.

Una llamada desde una región inesperada o una IP desconocida es una señal de alerta clásica. El campo del agente de usuario también indica cómo se realizó la llamada: consola, CLI o SDK.

requestParameters muestra las entradas de la llamada: qué bucket, qué instancia o qué política se utilizó; responseElements muestra lo que AWS devolvió, como el ID de un recurso recién creado.

Estos campos permiten ver exactamente qué cambió y cuál fue el resultado, no solo que ocurrió algo.

Si se denegó una llamada, el registro incluye errorCode y errorMessage, como AccessDenied.

Una oleada de llamadas denegadas desde un mismo principal suele indicar que un atacante está comprobando qué puede hacer con una credencial robada. Los eventos fallidos son tan valiosos para una investigación como los que tienen éxito.

Cuando el acceso se realiza mediante roles asumidos, siga la cadena. userIdentity puede mostrar una sesión de rol asumido, y sessionContext revela el principal subyacente que lo asumió.

Rastrear esta cadena permite determinar quién realizó finalmente una acción, incluso cuando intervienen varios saltos entre roles.

Campos como readOnly y managementEvent indican a simple vista la naturaleza de la llamada: si cambió algo y si se trata de una operación del plano de control.

Le ayudan a filtrar rápidamente los eventos que modificaron su entorno al revisar un gran volumen de registros.

Leer un registro manualmente está bien; revisar millones no. Envíe los registros a CloudWatch Logs o consulte el archivo de S3 con Athena mediante SQL.

Puede filtrar por userIdentity, eventName, sourceIPAddress o errorCode para identificar exactamente las llamadas relevantes durante una investigación.

El campo userAgent revela cómo se realizó una llamada: desde la consola de AWS, una versión específica de la CLI, un SDK o una herramienta de automatización.

Un agente de usuario inesperado puede indicar el uso de herramientas de un atacante. Una llamada que normalmente procede de la consola y que de repente llega mediante un SDK sin procesar desde una IP inusual es el tipo de anomalía sutil que merece una segunda revisión.

Para investigar, combine los campos: quién (userIdentity) hizo qué (eventName), sobre qué recurso (requestParameters), cuándo (eventTime), desde dónde (sourceIPAddress) y con qué resultado (responseElements o errorCode).

Esta visión completa, obtenida de un solo registro, es la esencia del análisis forense de la actividad de API en AWS.

Encuentre el campo de atribución.

Un evento de CloudTrail es un registro JSON cuyos campos clave permiten responder una investigación completa: userIdentity (quién, con el ARN y la cadena de roles mediante sessionContext), eventName/eventSource (qué), eventTime/awsRegion/sourceIPAddress (cuándo y dónde) y requestParameters/responseElements o errorCode (el cambio y el resultado). Los eventos AccessDenied fallidos son señales valiosas, y Athena permite consultar registros a gran escala.