c1.9 Audite a atividade da conta
Registre quem fez o quê nas suas contas e proteja esse registro para que seja confiável durante uma investigação. O AWS CloudTrail é a forma nativa de fazer isso: habilite um trail de organização e centralize os logs em uma conta de logging dedicada.
Guia de implementação
Habilite, centralize e proteja os logs
O AWS CloudTrail registra a atividade de API nas suas contas — a evidência que você precisa para investigar um incidente e reverter as ações de um atacante. O Event history do CloudTrail é gratuito para visualizar online nos últimos 90 dias, mas é excluído depois disso, então crie um trail que entregue os logs a um bucket do S3 para a retenção de longo prazo definida pela sua política de segurança.
Use um trail de organização para que cada conta seja coberta automaticamente, e centralize os logs em uma conta Log Archive dedicada, para que um atacante que comprometa uma conta de carga de trabalho não consiga ler nem apagar a trilha de auditoria. Proteja o bucket (políticas restritivas, object lock/imutabilidade) e use SCPs para que ninguém possa parar o registro nem adulterar os arquivos.
Multiconta, feito para você
Se você usa o AWS Control Tower / gerenciamento multiconta, a conta Log Archive é provisionada e o CloudTrail é centralizado e protegido automaticamente — alinhado com a AWS Security Reference Architecture.
Esteja pronto para usá-lo
Os logs só ajudam se você conseguir lê-los. Treine sua equipe de segurança para pesquisar e investigar no CloudTrail (console, Athena ou seu SIEM) antes de precisar dele em um incidente.
Como se encaixa
Como validar
- Há um trail de organização do CloudTrail habilitado para cobrir todas as contas?
- Os logs estão centralizados em uma conta Log Archive dedicada e protegidos contra exclusão/adulteração (política de bucket, object lock, SCPs)?
- Ninguém pode parar o registro nem manipular os arquivos de log (imposto por SCP)?
- Sua equipe está preparada para pesquisar e investigar os logs do CloudTrail?
Ameaças atendidas
- Sem uma trilha de auditoria centralizada e protegida, um atacante pode agir sem um registro confiável — e pode apagar ou alterar os logs locais para encobrir seus rastros. Centralizar e blindar o CloudTrail preserva a evidência necessária para entender e reverter um incidente.
Serviços AWS
AWS CloudTrail 
Amazon S3 
AWS KMS Preços
Visualizar os últimos 90 dias de eventos de gerenciamento no Event history é gratuito. Você paga pelos trails que entregam eventos e pelo armazenamento no S3 que usam. Consulte os preços do CloudTrail.