AWS CloudTrail

Qué es: AWS CloudTrail registra cada llamada a la API de tu cuenta: quién la hizo, qué acción, cuándo, desde qué IP y si tuvo éxito.

• Qué captura: todo lo que pasa por la API, sea desde la consola, la CLI, un SDK o un servicio de AWS (Sesión 4). Por defecto, los eventos de administración, como crear un bucket o borrar una instancia. Las operaciones sobre los datos, como leer un objeto de S3, son eventos de datos y se activan aparte, con costo.
• Historial de eventos (Event history): siempre activo y gratis. Muestra los últimos 90 días de eventos de administración de cada Región.
• Trail: para guardar más de 90 días, un trail copia los eventos a un bucket de S3. La primera copia de los eventos de administración es gratis, pero pagas el almacenamiento.

Analogía: la cámara de seguridad del edificio, que graba quién entra a cada oficina y a qué hora. Dónde falla la analogía: CloudTrail no ve lo que pasa dentro de tus servidores, solo las llamadas a la API. Y su historial gratuito dura 90 días.

Ejemplo real: el lunes, Clínica Vértice no encuentra un bucket. En Event history filtra por el evento DeleteBucket: lo borró el viernes un usuario de pruebas, con la CLI. Es la respuesta a la pregunta 2 del inicio.

Úsalo cuando: debas auditar acciones, investigar un incidente o demostrar quién cambió qué. No lo uses cuando: quieras medir el rendimiento (CloudWatch) o evaluar si la configuración cumple una regla (Config).