c1.9 Audita la actividad de la cuenta
Registre quién hizo qué en sus cuentas y proteja ese registro para que sea confiable durante una investigación. AWS CloudTrail es la forma nativa de hacerlo: habilite un trail de organización y centralice los logs en una cuenta de logging dedicada.
Guía de implementación
Habilita, centraliza y protege los logs
AWS CloudTrail registra la actividad de API en tus cuentas — la evidencia que necesitas para investigar un incidente y revertir las acciones de un atacante. El Event history de CloudTrail es gratis para verse en línea durante los últimos 90 días, pero se elimina después, así que crea un trail que entregue los logs a un bucket de S3 para la retención de largo plazo que defina tu política de seguridad.
Usa un trail de organización para que cada cuenta quede cubierta automáticamente, y centraliza los logs en una cuenta Log Archive dedicada, para que un atacante que comprometa una cuenta de carga de trabajo no pueda leer ni borrar el rastro de auditoría. Protege el bucket (políticas restrictivas, object lock/inmutabilidad) y usa SCPs para que nadie pueda detener el registro ni manipular los archivos.
Multicuenta, hecho por ti
Si usas AWS Control Tower / gestión multicuenta, la cuenta Log Archive se aprovisiona y CloudTrail se centraliza y protege automáticamente — alineado con la AWS Security Reference Architecture.
Prepárate para usarlo
Los logs solo ayudan si puedes leerlos. Entrena a tu equipo de seguridad para buscar e investigar en CloudTrail (consola, Athena o tu SIEM) antes de necesitarlo en un incidente.
Cómo encaja
Cómo validar
- ¿Hay un trail de organización de CloudTrail habilitado para cubrir todas las cuentas?
- ¿Los logs están centralizados en una cuenta Log Archive dedicada y protegidos contra borrado/manipulación (política de bucket, object lock, SCPs)?
- ¿Nadie puede detener el registro ni manipular los archivos de log (aplicado por SCP)?
- ¿Tu equipo está preparado para buscar e investigar los logs de CloudTrail?
Amenazas que atiende
- Sin un rastro de auditoría centralizado y protegido, un atacante puede actuar sin un registro confiable — y puede borrar o alterar los logs locales para cubrir sus huellas. Centralizar y blindar CloudTrail preserva la evidencia necesaria para entender y revertir un incidente.
Servicios AWS
AWS CloudTrail 
Amazon S3 
AWS KMS Precios
Ver los últimos 90 días de eventos de administración en Event history es gratis. Pagas por los trails que entregan eventos y por el almacenamiento en S3 que usan. Consulta los precios de CloudTrail.