AWS CloudTrail

Définition

AWS CloudTrail est un service de journalisation d'audit natif d'Amazon Web Services qui enregistre systématiquement chaque appel effectué à l'API AWS au sein d'un compte, quelle que soit son origine, console de gestion web, ligne de commande AWS CLI, SDK applicatif ou service AWS agissant pour le compte d'un utilisateur, capturant pour chaque événement l'identité de l'appelant, l'horodatage précis, l'adresse IP source, les paramètres de la requête et sa réponse. Cette journalisation exhaustive constitue la source de vérité incontournable pour la gouvernance et la conformité d'un environnement AWS : elle permet de démontrer, lors d'un audit ISO 27001 ou SOC 2, que les accès aux ressources sont tracés et attribuables individuellement, une exigence de non-répudiation centrale dans la plupart des référentiels de sécurité. Sur le plan opérationnel, CloudTrail constitue également la source de données principale exploitée par des services de détection comme GuardDuty ou par un SIEM externe pour identifier des activités suspectes : création inhabituelle d'utilisateurs IAM avec des permissions élevées, désactivation de journalisation par un compte compromis cherchant à effacer ses traces, ou modification de règles de sécurité réseau. Les journaux, stockés par défaut pendant quatre-vingt-dix jours dans l'historique des événements, doivent être configurés en trail persistant vers un bucket S3 protégé, idéalement dans un compte distinct, pour garantir leur conservation et leur intégrité dans une optique forensique.