Saltar al contenido
CLF-C02Sesión 14 · Cifrado y auditoría

Hazlo tú (20 min)

Lees los informes de acceso de IAM, buscas eventos en CloudTrail, creas y borras una alarma de CloudWatch, y encuentras su rastro.

Costo: $0. El historial de CloudTrail y los informes de IAM son gratis; CloudWatch regala diez métricas de alarma al mes, y tu alarma vive minutos. No crees un trail, claves de KMS administradas por el cliente (1 dólar al mes), secretos de Secrets Manager (0,40 al mes) ni el grabador de AWS Config, que cobra por elemento registrado.

Por qué no una alarma de facturación. Exige us-east-1 y activar las alertas de facturación en las preferencias de facturación, que tu rol no puede tocar. Ya tienes las alertas de la Sesión 2; vigilarás una métrica gratuita de uso de la API.

Plan gratuito: IAM, CloudTrail, CloudWatch y KMS figuran entre los servicios gratuitos del registro simplificado, pero AWS no lo confirma para toda cuenta del plan gratuito. Si tu cuenta no te deja crear la alarma, no pases al plan de pago: haz las partes A, B, C y F.

Identidad: estudio-diario, con MFA: su ReadOnlyAccess lee informes, historial y claves. Solo la alarma necesita el rol laboratorio-escritura.

Parte A · Informes de acceso de IAM (como estudio-diario, 5 min).

  1. Entra con estudio-diario y elige tu Región de la Sesión 2. Abre IAM y, en el menú, Credential report. Elige Download Report.
  2. Abre el CSV. En la fila <root_account>, mfa_active debe ser TRUE. En estudio-diario, mira password_last_used y comprueba que access_key_1_active es FALSE: no creaste claves.
  3. En Users, abre estudio-diario y la pestaña Last Accessed. Verás los servicios que tus permisos permiten y cuándo los usaste por última vez. La actividad reciente puede tardar hasta cuatro horas.

Comprueba: sabes decir qué informe responde “¿quién no tiene MFA?” y cuál “¿qué servicios sobran?”.

Parte B · Claves de KMS (como estudio-diario, 2 min).

  1. Abre Key Management Service › AWS managed keys. Si ves aws/ebs u otras, las creó un servicio al necesitarlas. La lista puede estar vacía: S3 cifra por defecto con claves del propio S3, y DynamoDB con claves propiedad de AWS, que no aparecen.
  2. Mira Customer managed keys sin crear ninguna.

Parte C · Historial de CloudTrail (como estudio-diario, 3 min).

  1. Abre CloudTrail y elige Event history. El filtro por defecto oculta las lecturas (Read-only = false).
  2. En Lookup attributes elige Event name y escribe DeleteBucket. Si borraste tu bucket de la Sesión 8 o de la 13 hace menos de 90 días, ahí está, con usuario y hora.
  3. Abre el evento y baja a Event record: el JSON muestra userIdentity con el rol laboratorio-escritura y tu usuario.

Comprueba: si la lista sale vacía, pasaron más de 90 días o estás en otra Región. La parte E genera un evento nuevo. Los eventos de IAM, como los de la Sesión 5, aparecen en US East (N. Virginia).

Parte D · Crear y borrar una alarma (con el rol, 6 min).

  1. Elige Switch role › laboratorio. Abre CloudWatch › Alarms › All alarms y elige Create alarm y luego Select metric.
  2. Elige Usage › By AWS Resource y busca CloudTrail. Marca la métrica CallCount del recurso LookupEvents: cuenta tus búsquedas de la parte C. Si aún no aparece, marca cualquier CallCount. Elige Select metric.
  3. Deja Statistic en Sum y Period en 5 minutes. En Conditions elige Greater/Equal y escribe 100. Elige Next.
  4. En Notification, elige Remove: tu alarma no enviará nada. Elige Next.
  5. En Alarm name escribe lab-s14-consultas. Elige Next y luego Create alarm.
  6. Mira su estado: Insufficient data y, minutos después, OK. Marca la alarma y elige Actions › Delete. Confirma.
  7. Elige Switch back.

Parte E · Encontrar tu propio rastro (como estudio-diario, 3 min).

  1. Espera unos 5 minutos. En CloudTrail › Event history, filtra por Event name = PutMetricAlarm.
  2. Abre el evento: User name muestra quién creó la alarma, y Event record, que fue con el rol. Repite con DeleteAlarms.

Comprueba: sabes quién creó la alarma, con qué rol y cuándo la borró.

Limpieza:

  1. En CloudWatch › Alarms, comprueba que lab-s14-consultas ya no existe.
  2. Borra de tu equipo el CSV del informe de credenciales: describe tu cuenta.
  3. Comprueba en el menú de arriba que volviste a estudio-diario.

Parte F · En papel (3 min). Elige el servicio para cada caso:

  1. Saber qué usuario borró una tabla de DynamoDB ayer.
  2. Recibir un aviso si la CPU de una instancia pasa del 90%.
  3. Detectar cualquier bucket que se vuelva público.
  4. Poner HTTPS en un balanceador sin pagar el certificado.
  5. Guardar la contraseña de una base de datos y cambiarla cada mes.

Comprueba: CloudTrail, CloudWatch, Config, ACM y Secrets Manager.

174