"¿Quién ha parado el servidor?" "Yo no he sido." Cuando varias personas tocan la misma cuenta de AWS, antes o después alguien hace algo que nadie reconoce. La buena noticia es que AWS apunta todo: cada acción que se hace desde la consola, desde un programa o desde una herramienta externa queda registrada con quién, cuándo, desde qué dirección y sobre qué. Ese registro se llama CloudTrail y está activado de serie, sin que hayas hecho nada.
Lo que no es tan sencillo es encontrar lo que buscas, porque los nombres son técnicos y se guardan solo 90 días. Esta guía enseña a buscar y a conservar el historial.
Antes de empezar: qué significa cada cosa
- CloudTrail
- El servicio de AWS que registra cada acción realizada en tu cuenta: quién, qué, cuándo, desde dónde y sobre qué recurso.
- Evento
- Cada acción registrada. Tiene un nombre técnico en inglés (StopInstances para parar una máquina, DeleteObject para borrar un fichero...).
- Historial de eventos
- La pantalla de CloudTrail donde se pueden buscar los eventos de los últimos 90 días sin configurar nada y sin coste.
- Registro de seguimiento (trail)
- Una configuración que guarda los eventos para siempre en un bucket S3 tuyo, para conservarlos más de 90 días.
- Usuario o rol
- Quién hizo la acción: un usuario IAM (una persona o un programa), un rol asumido (por ejemplo, una herramienta externa) o la cuenta raíz.
- IP de origen
- La dirección de internet desde la que se hizo la acción. Permite distinguir la oficina de un sitio desconocido.
- Región
- El historial se muestra por región; una acción hecha en París no aparece si estás mirando Irlanda.
Paso a paso
Abre el historial de eventos
En la consola de AWS busca CloudTrail y entra en Historial de eventos. Verás una lista con las acciones más recientes: hora, nombre del evento, quién y sobre qué. Arriba está el selector de región: elige la región donde ocurrió lo que investigas. Algunas acciones globales (de IAM, por ejemplo) aparecen en la región principal de la cuenta.
Busca por lo que sabes
Sobre la lista hay un filtro con un desplegable. Las búsquedas más útiles:
- Nombre del recurso: pega el identificador de la máquina (
i-0abc...), el nombre del bucket o de la máquina Lightsail. Aparece todo lo que se le ha hecho. - Nombre del evento: si sabes qué pasó. Parar una máquina EC2 es
StopInstances; en Lightsail,StopInstance; borrar un fichero de S3,DeleteObject; cambiar un registro DNS,ChangeResourceRecordSets; borrar una instantánea,DeleteSnapshot. - Nombre de usuario: para ver todo lo que hizo una persona concreta.
Ajusta el intervalo de fechas al día en cuestión para no perderte en la lista.
- Nombre del recurso: pega el identificador de la máquina (
Lee el detalle del evento
Pulsa el evento. En la ficha verás el usuario exacto (y si fue a través de un rol, qué rol), la dirección IP de origen, el agente (si fue desde la consola web, desde la línea de comandos o desde una herramienta externa) y, en el bloque de JSON de abajo, los detalles técnicos. Con la hora, la IP y el usuario normalmente queda claro quién fue y desde dónde, aunque fuera sin querer.
Averigua si fue una persona o un programa
Si el usuario es alguien del equipo y la IP es la de la oficina, fue esa persona desde la consola. Si el usuario es uno creado para una herramienta (un panel, un sistema de copias) o un rol asumido, fue esa herramienta: mira qué estaba programado para esa hora. Si el usuario es la cuenta raíz o la IP es de un país donde no tienes a nadie, trátalo como una posible intrusión: cambia contraseñas y claves y revisa la guía de proteger la cuenta.
Conserva el historial más de 90 días
El historial de eventos solo guarda tres meses. Para una empresa eso es poco: la pregunta de "quién borró esto" puede llegar al año siguiente. En CloudTrail, menú Registros de seguimiento, Crear registro de seguimiento: ponle nombre, deja que cree un bucket S3 nuevo para guardarlo, marca que se aplique a todas las regiones y crea. Desde entonces cada evento se guarda como ficheros en ese bucket; el primer registro de seguimiento de eventos de gestión no tiene coste de CloudTrail, aunque sí el pequeño coste del espacio en S3.
Busca en el histórico cuando haga falta
Los ficheros del bucket son JSON comprimidos, incómodos de leer a mano. Para buscar en ellos, CloudTrail ofrece almacenes de datos de eventos con consultas tipo SQL (tiene coste) o puedes descargar el día concreto y abrirlo con un editor buscando el identificador del recurso. Para la mayoría, con saber que están ahí y poder recuperarlos basta.
Qué puede salir mal
No encuentro el evento aunque sé que pasó
Región equivocada (cámbiala arriba), intervalo de fechas demasiado corto, o el evento tiene otro nombre del que crees. Prueba a filtrar solo por el nombre del recurso y mirar todo lo que le ha pasado.
Los eventos tardan en aparecer
CloudTrail no es instantáneo: una acción puede tardar varios minutos en salir en el historial. Si acaba de pasar, espera un poco.
Todos entran con el mismo usuario y no sé quién fue
Entonces el registro no puede ayudarte. Crea un usuario por persona con doble factor (guía en esta sección) y, a partir de ahí, cada acción tendrá nombre y apellido.
No veo las lecturas, solo los cambios
Por defecto el historial muestra eventos de gestión (crear, cambiar, borrar). Las lecturas de datos (abrir un fichero de S3, por ejemplo) solo se registran si lo activas en un registro de seguimiento, y generan mucho volumen.
En Simplio
En Simplio cada acción que alguien hace desde la aplicación (parar una máquina, borrar un fichero, cambiar el cortafuegos, abrir la terminal) queda en el registro de actividad con usuario, fecha, IP y objeto, escrito en lenguaje normal y buscable por máquina o por persona. Las acciones delicadas piden el doble factor antes de ejecutarse, así que no hay "yo no he sido". Y el informe mensual recoge esa actividad para entregarla a quien corresponda.
Lo mismo, en AWS y en Simplio
| En la consola de AWS | En Simplio | |
|---|---|---|
| Saber quién paró una máquina | CloudTrail, elegir región, filtrar por recurso, leer el JSON: 4 pasos, 10 minutos, si conoces el nombre del evento | Registro de actividad de la máquina: una línea con usuario, fecha e IP, en lenguaje normal |
| Conservar el historial | Crear un registro de seguimiento y un bucket S3, pagar el almacenamiento, saber leer JSON | El registro de actividad se conserva en Simplio y se exporta al informe mensual |
| Lo que se hizo fuera de la herramienta | CloudTrail lo tiene todo, en bruto | Lo que se hace desde la consola de AWS sigue estando en CloudTrail; Simplio registra todo lo hecho desde Simplio |