Conceptos de CloudTrail

En esta sección se resumen los conceptos básicos relacionados con CloudTrail.

Eventos de CloudTrail

Un evento en CloudTrail es el registro de una actividad en una cuenta de AWS. Esta actividad puede ser una acción de una identidad de IAM o un servicio que CloudTrail puede supervisar. Los eventos de CloudTrail proporcionan un historial de las actividades de la cuenta, tanto de la API como no de esta, que se realizan a través de la Consola de administración de AWS, los SDK de AWS, las herramientas de línea de comando y otros servicios de AWS.

Los archivos de registro de CloudTrail no rastrean el orden en la pila de las llamadas a la API públicas, por lo que los eventos no aparecen en un orden específico.

CloudTrail registra cuatro tipos de eventos:

Todos los tipos de eventos utilizan un formato de registro JSON de CloudTrail.

De forma predeterminada, los registros de seguimiento y los almacenes de datos de eventos registran los eventos de administración, pero no los eventos de datos o de Insights.

Para obtener información sobre cómo integrar Servicios de AWS con CloudTrail, consulte AWSTemas de servicio de para CloudTrail.

Eventos de administración

Los eventos de administración proporcionan información sobre las operaciones de administración que se realizan en los recursos de su cuenta de AWS. Se denominan también operaciones del plano de control.

Algunos ejemplos de eventos de administración son los siguientes:

Los eventos de administración también pueden incluir eventos no generados por la API que se producen en su cuenta. Por ejemplo, cuando un usuario inicia sesión en su cuenta, CloudTrail registra el evento ConsoleLogin. Para obtener más información, consulte Eventos no generados por la API capturados por CloudTrail.

De forma predeterminada, los registros de seguimiento y los almacenes de datos de eventos de CloudTrail Lake registran los eventos de administración. Para obtener más información sobre el registro de eventos de administración, consulte Registro de eventos de administración.

Eventos de datos

Los eventos de datos proporcionan información sobre las operaciones realizadas en un recurso o dentro de él. Se denominan también operaciones del plano de datos. Los eventos de datos suelen ser actividades de gran volumen.

Algunos ejemplos de eventos de datos son los siguientes:

En la siguiente tabla, se muestran los tipos de recursos disponibles para los registros de seguimiento y los almacenes de datos de eventos. En la columna Tipo de recurso (consola), se muestra la selección adecuada en la consola. En la columna resources.type value, se muestra el valor de resources.type que debe especificar para incluir eventos de datos de ese tipo en el registro de seguimiento o el almacén de datos de eventos por medio de la AWS CLI o las API de CloudTrail.

En el caso de los registros de seguimiento, puede utilizar selectores de eventos básicos o avanzados para registrar eventos de datos de objetos de Amazon S3 en buckets, funciones de Lambda y tablas de DynamoDB de uso general (se muestran en las tres primeras filas de la tabla). Solo puede usar selectores de eventos avanzados para registrar los tipos de recursos que se muestran en las filas restantes.

En el caso de los almacenes de datos de eventos, puede utilizar selectores de eventos avanzados para que se incluyan eventos de datos únicamente.

Eventos de datos compatibles con AWS CloudTrail

El registro de los eventos de datos está deshabilitado de forma predeterminada cuando crea un registro de seguimiento o un almacén de datos de eventos. Para registrar eventos de datos de CloudTrail, debe agregar explícitamente cada tipo de recurso cuya actividad desee recopilar. Para obtener más información sobre el registro de eventos de datos, consulte Registro de eventos de datos.

Se aplican cargos adicionales para registrar eventos de datos. Para conocer los precios de CloudTrail, consulte Precios de AWS CloudTrail.

Eventos de actividad de la red

Los eventos de actividad de la red de CloudTrail permiten a los propietarios de los puntos de conexión de VPC grabar las llamadas a la API de AWS realizadas con sus puntos de conexión de VPC desde una VPC privada al Servicio de AWS. Los eventos de actividad de la red muestran información sobre las operaciones de recursos realizadas dentro de una VPC.

Puede registrar los eventos de actividad de la red para los siguientes servicios:

El registro de los eventos de actividad de la red está deshabilitado de forma predeterminada cuando crea un registro de seguimiento o un almacén de datos de eventos. A fin de registrar eventos de actividad de la red de CloudTrail, debe establecer explícitamente el origen de los eventos cuya actividad desea recopilar. Para obtener más información, consulte Registro de eventos de actividad de la red.

Se aplican cargos adicionales por el registro de eventos de actividad de la red. Para conocer los precios de CloudTrail, consulte Precios de AWS CloudTrail.

Eventos de Insights

Los eventos de CloudTrail Insights capturan una tasa de llamadas inusuales de API o una actividad de tasa de error en su cuenta de AWS mediante el análisis de la actividad de administración de CloudTrail. Los eventos de Insights proporcionan información relevante, como la API asociada, el código de error, la hora del incidente y las estadísticas, que lo ayuda a conocer la actividad inusual y actuar en consecuencia. A diferencia de otros tipos de eventos capturados en un registro de seguimiento o un almacén de datos de eventos de CloudTrail, los eventos de Insights solo se registran cuando CloudTrail detecta cambios en el registro de la tasa de error o de uso de la API de su cuenta que difieren considerablemente de los patrones de uso típicos de la cuenta. Para obtener más información, consulte Trabajar con CloudTrail Insights.

Entre los ejemplos de actividad que podrían generar los eventos de Insights se incluyen los siguientes:

Estos ejemplos se ofrecen únicamente con fines ilustrativos. Sus resultados pueden variar según su caso de uso.

Para registrar eventos de Insights de CloudTrail, debe habilitar explícitamente los eventos de Insights en un registro de seguimiento o almacén de datos de eventos nuevo o existente. Para obtener más información acerca de la creación de un registro de seguimiento, consulte Creación de un registro de seguimiento con la consola de CloudTrail. Para obtener más información acerca de la creación de un almacén de datos de eventos, consulte Creación de un almacén de datos de eventos para los eventos de Insights con la consola.

Se aplican cargos adicionales por los eventos de Insights. Se le cobrará por separado si habilita Insights para los registros de seguimiento y almacenes de datos de eventos. Para más información, consulte Precios de AWS CloudTrail.

Historial de eventos

El historial de eventos de CloudTrail proporciona un registro visible e inmutable, que se puede buscar y descargar, de los últimos 90 días de eventos de administración de CloudTrail en una Región de AWS. Puede utilizar este historial para obtener información sobre las acciones llevadas a cabo en su cuenta de AWS en la Consola de administración de AWS, los SDK de AWS, las herramientas de línea de comando y otros servicios de AWS. Puede personalizar la vista del historial de eventos en la consola de CloudTrail al seleccionar las columnas que desea mostrar. Para obtener más información, consulte Trabajar con el historial de eventos de CloudTrail.

Registros de seguimiento

Un registro de seguimiento es una configuración que permite la entrega de eventos de CloudTrail a un bucket de S3, con envío opcional a Registros de CloudWatch y Amazon EventBridge. Puede utilizar un registro de seguimiento para elegir los eventos de CloudTrail que desea enviar, cifrar sus archivos de registros de eventos de CloudTrail con una clave de AWS KMS y configurar las notificaciones de Amazon SNS para el envío del archivo de registros. Para obtener más información acerca de cómo crear y administrar un registro de seguimiento, consulte Creación de un registro de seguimiento para su Cuenta de AWS.

Registros de seguimiento multirregión y de una sola región

Puede crear registros de seguimiento multirregión y de una sola región para su Cuenta de AWS.

Los registros de seguimiento multirregión tienen las siguientes ventajas:

Crear un registro de seguimiento de varias regiones tiene los siguientes efectos:

Independientemente de si un registro de seguimiento consta de varias regiones o de una sola región, los eventos enviados a Amazon EventBridge se reciben en el bus de eventos de cada región, en lugar de en un solo bus de eventos.

Varios registros de seguimiento por región

Si tiene diferentes grupos de usuarios, pero que están relacionados, como desarrolladores, personal de seguridad y auditores de TI, puede crear varios registros de seguimiento en cada región. De este modo, cada grupo recibe su propia copia de los archivos de registro.

CloudTrail admite cinco registros de seguimiento por región. Un registro de seguimiento multirregión cuenta como un registro de seguimiento por región.

Este es un ejemplo de una región con cinco registros de seguimiento:

Puede ver una lista de los registros de seguimiento de una Región de AWS en la página Registros de seguimiento de la consola de CloudTrail. Para obtener más información, consulte Actualización de un registro de seguimiento con la consola de CloudTrail. Para conocer los precios de CloudTrail, consulte Precios de AWS CloudTrail.

Registros de seguimiento de la organización

Un registro de seguimiento de organización es una configuración que permite el envío de eventos de CloudTrail en la cuenta de administración y en todas las cuentas miembro de una organización de AWS Organizations en el mismo bucket de Amazon S3, Registros de CloudWatch y Amazon EventBridge. La creación de un registro de seguimiento de organización lo ayuda a definir una estrategia uniforme de registro de eventos para su organización.

Todos los registros de seguimiento de la organización creados con la consola son registros de seguimiento multirregión que registran los eventos de las Regiones de AWS habilitadas en cada cuenta de miembro de la organización. Para registrar eventos en todas las particiones de AWS de su organización, cree un registro de seguimiento multirregión en cada partición. Puede crear un registro de seguimiento de la organización de una sola región o de varias regiones mediante la AWS CLI. Si crea un registro de seguimiento de una sola región, solo registrará la actividad en la Región de AWS del registro de seguimiento (también denominada región de origen).

Aunque la mayoría de Regiones de AWS están habilitadas por defecto en su Cuenta de AWS, debe habilitar manualmente determinadas regiones (también denominadas regiones optativas). Para obtener información sobre qué regiones están habilitadas por defecto, consulte Considerations before enabling and disabling Regions en la Guía de referencia de AWS Account Management. Para ver la lista de las regiones que admite CloudTrail, consulte Regiones compatibles con CloudTrail.

Al crear un registro de seguimiento de la organización, se creará una copia con el nombre que le asigne en las cuentas de miembros que pertenezcan a su organización.

Los usuarios con permisos de CloudTrail en las cuentas de miembros podrán ver el registro de seguimiento de la organización (incluido el ARN de registro de seguimiento) cuando inicien sesión en la consola de CloudTrail desde sus cuentas de AWS, o cuando ejecuten comandos de la AWS CLI, como describe-trails (aunque las cuentas de miembros deben utilizar el ARN del registro de seguimiento de la organización, y no el nombre, cuando utilicen la AWS CLI). Sin embargo, los usuarios de las cuentas de miembros no tendrán permisos suficientes para eliminar el registro de seguimiento de la organización, activar o desactivar el registro, cambiar los tipos de eventos registrados o alterar el registro de seguimiento de la organización. Para obtener más información sobre AWS Organizations, consulte Terminología y conceptos de Organizations. Para obtener más información acerca de la creación y el uso de registros de seguimiento de organización, consulte Creación de un registro de seguimiento para una organización.

CloudTrail Lake y los almacenes de datos de eventos

CloudTrail Lake le permite ejecutar consultas precisas basadas en SQL sobre sus eventos y registrar eventos de orígenes externos a AWS, incluidas sus propias aplicaciones, y de socios que están integrados con CloudTrail. No necesita tener registros de seguimiento configurados en su cuenta para utilizar CloudTrail Lake.

Los eventos se agregan en almacenes de datos de eventos, que son colecciones inmutables de eventos en función de criterios que se seleccionan aplicando selectores de eventos avanzados. Puede conservar los datos de eventos en un almacén de datos de eventos durante un máximo de 3653 días (unos 10 años) si elige la opción Precio de retención ampliable por un año, o hasta 2557 días (unos 7 años) si elige la opción Precio de retención de siete años. Puede guardar las consultas de Lake para utilizarlas en el futuro y ver los resultados de las consultas durante un máximo de siete días. También puede guardar los resultados de las consultas en un bucket de S3. CloudTrail Lake también puede almacenar eventos de una organización en AWS Organizations en un almacén de datos de eventos, o eventos de múltiples regiones y cuentas. CloudTrail Lake forma parte de una solución de auditoría que le ayuda a realizar investigaciones de seguridad y a solucionar problemas. Para obtener más información, consulte Trabajar con AWS CloudTrail Lake y Conceptos y terminología de CloudTrail Lake.

CloudTrail Insights

CloudTrail Insights ayuda a los usuarios de AWS a identificar y responder a volúmenes inusuales de llamadas a la API o errores registrados en llamadas a la API mediante el análisis continuo de eventos de administración de CloudTrail. Un evento de Insights es un registro de niveles inusuales de actividad de API de administración write o niveles inusuales de errores devueltos en la actividad de la API de administración. De forma predeterminada, los registros de seguimiento y los almacenes de datos de eventos no registran eventos de CloudTrail Insights. En la consola, puede elegir registrar eventos de Insights cuando cree o actualice un registro de seguimiento o un almacén de datos de eventos. Cuando utiliza la API de CloudTrail, puede registrar eventos de Insights al editar la configuración de un registro de seguimiento o almacén de datos de eventos existentes con la API PutInsightSelectors. Se aplican cargos adicionales por registrar eventos de CloudTrail Insights. Se le cobrará por separado si habilita Insights para los registros de seguimiento y almacenes de datos de eventos. Para obtener más información, consulte Trabajar con CloudTrail Insights y Precios de AWS CloudTrail.

Etiquetas

Una etiqueta es una clave y un valor opcional definidos por el usuario que se pueden asignar a recursos de AWS, como los registros de seguimiento de CloudTrail, los almacenes de datos de eventos y canales, los buckets de S3 que se utilizan para almacenar los archivos de registro de CloudTrail, las organizaciones y las unidades organizativas de AWS Organizations y muchos más. Si agrega las mismas etiquetas a los registros de seguimiento y a los buckets de S3 que utiliza para almacenar los archivos de registro de los registros de seguimiento, puede hacer que sea más sencillo administrar, buscar y filtrar estos recursos con Grupos de recursos de AWS. Puede implementar estrategias de etiquetado que le ayuden a encontrar y administrar los recursos de forma sencilla, coherente y eficaz. Para obtener más información, consulte Prácticas recomendadas para el etiquetado de recursos de AWS.

AWS Security Token Service y CloudTrail

AWS Security Token Service (AWS STS) es un servicio que tiene un punto de conexión global y que también admite puntos de conexión específicos para cada región. Un punto de enlace es una dirección URL que funciona como punto de entrada para solicitudes de servicios web. Por ejemplo, https://cloudtrail.us-west-2.amazonaws.com es el punto de entrada regional de EE. UU. Oeste (Oregón) para el servicio AWS CloudTrail. Los puntos de enlace regionales ayudan a reducir la latencia en sus aplicaciones.

Cuando se utiliza un punto de conexión específico para una región de AWS STS, el registro de seguimiento de esa región solo envía los eventos de AWS STS que se produzcan en esa región. Por ejemplo, si utiliza el punto de enlace sts.us-west-2.amazonaws.com, el registro de seguimiento en us-west-2 envía solamente los eventos de AWS STS que se originan en us-west-2. Para obtener más información sobre los puntos de enlace regionales de AWS STS, consulte Activación y desactivación de AWS STS en una región de AWS en la Guía del usuario de IAM.

Para obtener una lista completa de los puntos de enlace regionales de AWS, consulte Regiones y puntos de enlace de AWS en la Referencia general de AWS. Para obtener información detallada sobre los puntos de enlace de AWS STS, consulte Eventos de servicios globales.

Eventos de servicios globales

En la mayoría de los servicios, los eventos se registran en la región en la que se produjo la acción. En el caso de servicios globales como AWS Identity and Access Management (IAM), AWS STS y Amazon CloudFront, los eventos se envían a cualquier registro de seguimiento que incluya servicios globales.

En el caso de la mayoría de los servicios globales, los eventos se registran como si se produjeran en la región Este de EE. UU. (Norte de Virginia), pero algunos eventos de servicio globales se registran como si se produjeran en otras regiones, como las regiones Este de EE. UU. (Ohio) u Oeste de EE. UU. (Oregón).

Para evitar recibir eventos de servicios globales duplicados, recuerde lo siguiente:

Ejemplo: