AWS CloudTrail
Tags: aws, security, cloud, devops
Published: 2023-05-19 14:18:05

**Anotações sobre o AWS CloudTrail para ajudar na preparação das certificações AWS.**

Até o momento as anotações são para as certificações abaixo:

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/se0sqtegn424nami6rz8.png)

- [Link oficial](https://aws.amazon.com/pt/cloudtrail/)
- [FAQ](https://aws.amazon.com/pt/cloudtrail/faqs/)

##**Definição do fornecedor**
_O AWS CloudTrail monitora e registra a atividade da conta por toda a infraestrutura da AWS, oferecendo controle sobre o armazenamento, análise e ações de remediação. Rastreie atividades dos usuários e uso de APIs._

##**Anotações gerais**

- Auditoria de API (_Logs API call details_)
- **Salva log´s em Bucket S3 ou Cloudwatch Logs**
- No Bucket é configurado a retenção
- É habilitado por default (_por 7 dias_)
- Notificações por SNS
- Pode agregar Regiões e Contas
- Logs a cada 5 minutos (pode chegar a 15 minutos)
- **Use SSE-S3 ou SSE-KMS p/ criptografar logs no Bucket**
- **SSE-KMS Encryption é habilitado por padrão, mas pode ser desativado**
- **Por padrão, os arquivos de log do CloudTrail são criptografados usando SSE-S3 e colocados no seu bucket do S3**
- Nem todos os eventos são logados 
- **Eventos de até 90 dias, após esse tempo pode jogar para S3 e ser consultado pelo AWS Athena**
- Na conta root, pode-se habilitar em todas as contas da organização no AWS Organizations
- **CloudWatch Logs é opcional, vem desabilitado por padrão**
- Opção de escolher entre a atividade da API (_Read e/ou Write_)
- Não precisa do Trail criado para analisar os logs
- **You cannot delete events from event history**
- **Pode configurar multiplos Trails em Buckets separados**
 - Ao configurar uma trilha para registrar eventos de gerenciamento, você pode especificar read-only, write-only ou ambos.

---

##**O que é "logado"**

- Metadata
- Identidade
- Time
- Source IP
- Parameters
- Elementos do serviço

---
##**Validar a integridade dos arquivos de log do CloudTrail**
[Link documentação oficial](https://docs.aws.amazon.com/pt_br/awscloudtrail/latest/userguide/cloudtrail-log-file-validation-intro.html)

- Para determinar se um arquivo de log foi modificado, excluído permaneceu ou inalterado depois que o CloudTrail o forneceu, você pode usar a validação de integridade dos arquivos de log do CloudTrail. 
- Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais.
- **Vem habilitado por padrão, mas pode ser desativado.**

##Comandos##

- `aws cloudtrail describe-trails`
- `aws cloudtrail validate-logs --trail-arn [ARN-HERE] --start-time 20190101T19:00:00Z`

---


##**Habilitar a validação da integridade dos arquivos de log para o CloudTrail**
[Link documentação oficial](https://docs.aws.amazon.com/pt_br/awscloudtrail/latest/userguide/cloudtrail-log-file-validation-enabling.html)

---
##**Eventos salvos por 90 dias - Event History**
[Link documentação oficial](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)
- Até 90 dias (Event History)
- Após esse período pode enviar para S3 e depois Athena

---


##**Prevenir que os logs sejam deletados**

- Restrição de acesso c/ IAM e Bucket Policies
- Configuração S3 MFA Delete

---
##**Serviços não suportados pelo CloudTrail**
[Link da documentação oficial](https://docs.aws.amazon.com/pt_br/awscloudtrail/latest/userguide/cloudtrail-unsupported-aws-services.html)

- AWS Import/Export
- AWS Deep Learning AMI
- Amazon WorkSpaces Application Manager
- AWS Artifact
- AWS DeepComposer
- AWS DeepLens
- AWS DeepRacer
- AWS Snowmobile
- Amazon Sumerian

---
##**CloudTrails Events Types**
[Link documentação oficial](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-insights-events-with-cloudtrail.html)

**Management Events**
[Link documentação oficial](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-management-events-with-cloudtrail.html)

- Capture as operações de gerenciamento realizadas em seus recursos da AWS.
- Separa Read Events de Write Events
- **Habilitado por padrão**

**Data Events**
[Link documentação oficial](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-data-events-with-cloudtrail.html)

- Registre as operações de recursos executadas em um recurso ou dentro dele.
- AWS Lambda

**Insight Events**
[Link documentação oficial](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-insights-events-with-cloudtrail.html)

- Identifique atividades incomuns, erros ou comportamento do usuário em sua conta.
- Envia para S3
- Retenção é no S3
- Entrega a cada 5 min c/ 15 min de delay
- 2 tipos- _API Call rate_// _API error rate_

---
##**Criar um Trail para sua organização no console**
[Documentação oficial](https://docs.aws.amazon.com/pt_br/awscloudtrail/latest/userguide/creating-an-organizational-trail-in-the-console.html)

- Pode criar um Trail para toda a Organizations pela Console
- **Enable for all accounts in my organization. **