云审计日志溯源是什么
CloudTrail 记录 AWS 账号内几乎所有 API 调用（控制台、命令行、SDK 以及其他云服务代调用）：谁在什么时间、从哪个 IP、调用了什么接口、操作了哪个资源。云上入侵常表现为控制面动作——创建长期密钥、改安全组、改策略、关闭审计、删快照，这些都会落到 CloudTrail 里。
基本信息
| 适用范围 | 云账号的控制面与管理事件 |
|---|---|
| 关键字段 | eventTime、eventName、userIdentity、sourceIPAddress、requestParameters |
| 数据位置 | 控制台事件历史（默认保留约 90 天）、投递到对象存储的日志 |
| 注意 | 数据事件（对象读取、函数调用）需要单独开启 |
典型使用场景
- 排查访问密钥泄漏后的滥用行为
- 确认安全组、IAM 策略、存储桶权限在何时被谁改动
- 检查审计与监控是否被关闭（StopLogging、DeleteTrail）
- 追溯异常资源的创建者与创建方式
- 复盘一次云上操作的完整链条
- 核对资源标签与创建时间，识别角色代创建的行为
检索命令
检索命令
aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=CreateAccessKey --max-items 20
aws cloudtrail lookup-events --start-time 2026-10-11T00:00:00Z --end-time 2026-10-12T00:00:00Z --max-items 50
aws cloudtrail lookup-events --lookup-attributes AttributeKey=Username,AttributeValue=svc-deploy
aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=StopLogging
# 拿到 AccessKeyId 后按该凭据维度反查全部调用序列，还原操作链高风险事件名
| 事件名 | 含义 | 风险点 |
|---|---|---|
| CreateAccessKey | 创建长期访问密钥 | 凭据持久化的常用手法 |
| AttachUserPolicy | 为用户附加策略 | 快速提权途径 |
| AuthorizeSecurityGroupIngress | 放开安全组入站 | 暴露服务入口 |
| StopLogging / DeleteTrail | 关闭或删除审计 | 典型反取证行为 |
| PutBucketPolicy | 修改桶策略 | 数据暴露或外传准备 |
控制台的事件历史只保留约 90 天。更早的记录需要去对象存储里的投递日志中查询，排查历史事件前先确认投递是否已开启并覆盖目标时间。
数据事件默认不记录。查不到对象级读取记录不等于没有发生读取，报告里应写明「该类日志未开启」而不是「无数据访问」。
检索时按凭据维度反查一遍、再按事件名维度补齐一遍，两个方向互相验证，只看一个维度必然有遗漏。