Auditoría con contexto de identidad

Una búsqueda vacía solo significa algo dentro de una cobertura demostrada.

Empieza por la pregunta

La cobertura de auditoría comprende actividades, recursos y periodos que una recopilación puede representar. AWS CloudTrail distingue eventos administrativos y eventos de datos, como leer objetos S3. Recopilar los primeros no incluye automáticamente esas lecturas.

Evidencia de una hora

A1: La exportación cubre la cuenta Museo, región eu-west-1, de 10:00 a 11:00 UTC.

A2: Un evento administrativo exitoso cambia la configuración del depósito. Registra el rol Despliegue y la etiqueta de sesión deploy17.

A3: No se recopilaron eventos de datos de objetos S3 durante ese intervalo. Buscar lecturas en la exportación devuelve cero resultados.

Supón que exportación y registro de recopilación son correctos. A2 respalda una afirmación sobre la acción registrada bajo esa sesión de rol. No identifica a la persona que inició el trabajo sin más evidencia de identidad o ejecución.

Para lecturas, informa “no determinado con este registro”, no “no hubo lecturas”. El resultado vacío es esperable por la categoría ausente en A3. Activarla después no crea retroactivamente los registros omitidos.

Una revisión útil identifica cuenta, región, intervalo, recursos, categorías y cadena de identidad necesarias. También distingue la configuración de recopilación de la evidencia de entrega y conservación correctas.

Propón una comprobación futura con una lectura conocida y aprobada: debe llegar el evento esperado con recurso e identidad coincidentes. Limita la recopilación a la pregunta, considerando valor investigador, coste y conservación. Esa comprobación posterior verifica cobertura futura; resolver la hora anterior todavía exige otra fuente histórica pertinente, si existe.