AWS Certified Cloud Practitioner 모듈7 - AWS CloudTrail

AWS Training에서 제공하는 AWS Cloud Practitioner (Korean) 강의 요약 정리 내용입니다.

AWS CloudTrail이란?

AWS CloudTrail은 AWS 계정 내에서 발생하는 모든 API 호출을 기록하는 서비스입니다. 즉, AWS 리소스에 대한 사용자 활동 로그를 자동으로 수집합니다.

• 누가(API 호출자 ID)
• 언제(API 호출 시간)
• 어디서(소스 IP 주소)
• 무엇을(API 메서드, 리소스 등)

---

CloudTrail의 사용 예시

예를 들어 관리 콘솔에서 IAM을 확인하던 중 ‘Mary’라는 이름의 사용자가 새로 생성되어 있는 걸 발견했다고 가정해봅니다.

하지만 누가 만들었는지 모르겠다면?

→ CloudTrail의 이벤트 기록(Event History)를 통해 CreateUser 이벤트를 필터링해 확인할 수 있습니다.
결과적으로 다음과 같은 정보를 확인할 수 있습니다.

• 요청한 사람: John
• 요청한 시각: 2020년 1월 1일 오전 9시
• 요청 방법: AWS Management Console을 통한 직접 생성

이처럼 CloudTrail은 AWS 리소스에 대한 모든 변경 작업의 출처와 시간, 경로를 추적할 수 있게 도와줍니다.

---

CloudTrail Insights로 비정상적인 활동 감지

CloudTrail에는 CloudTrail Insights라는 기능도 존재합니다.이 기능은 사용자의 API 호출 패턴을 학습하고, 이례적인 활동을 자동 탐지합니다.

• 갑자기 EC2 인스턴스를 대량으로 시작한 경우
• 평소보다 과도한 IAM 권한 변경 요청이 있는 경우

Insights가 감지되면 자동으로 이벤트가 생성되며, 이를 통해 보안 위협이나 오용 가능성을 빠르게 파악할 수 있습니다.

---

주요 기능 요약

기능	설명
이벤트 기록	API 호출 정보를 로그로 저장
필터링	사용자, 서비스, 리소스 단위로 로그 검색 가능
통합 보기	AWS Management Console, CLI, S3 연동으로 조회 가능
Insights	비정상적인 API 호출 자동 탐지 기능 제공