AWS CloudTrail
cloudDéfinition
Service d'audit enregistrant toutes les actions API AWS (console, CLI, SDK) pour gouvernance, conformité et forensics. Essentiel pour détecter les accès non autorisés et les modifications.
Description
AWS CloudTrail enregistre toutes les actions API effectuées dans un compte AWS (console, CLI, SDK, services internes) sous forme d'événements JSON immuables. Il constitue la source primaire d'audit et de forensics en environnement AWS.
Contexte cloud
Activer CloudTrail multi-région avec un trail unique vers un bucket S3 centralisé (compte sécurité), protégé par MFA Delete et chiffrement KMS. Les événements de gestion (management events) sont activés par défaut ; les événements de données S3/Lambda/DynamoDB sont payants mais essentiels pour la détection d'exfiltration.
Points clés
- Requête Athena pour détecter les appels depuis des IPs inconnues :
SELECT * FROM cloudtrail_logs WHERE sourceIPAddress NOT IN (...) - Intégration native avec CloudWatch Events et AWS Security Hub pour alertes en temps réel
- Log Insights :
fields eventName, userIdentity.arn | filter errorCode = "AccessDenied"pour détecter les tentatives de reconnaissance IAM
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis