CloudTrail 감사
누가 언제 어떤 API를 호출했는지 기록하는 감사 로그
이게 뭔가요? / What is this?
CloudTrail은 감시 카메라가 아니라, 계정에서 일어난 모든 API 호출("누가 무엇을 언제 했는가")을 기록으로 남기는 감사 로그 서비스입니다. 건물의 모든 출입문에 설치된 출입 기록부처럼, 누가 언제 어느 문을 드나들었는지를 남겨 나중에 되짚어 볼 수 있게 합니다.
개요 / Overview
CloudTrail은 계정의 모든 API 호출을 기록해 감사·규정 준수·사고 조사에 씁니다. "누가 이 리소스를 삭제했는가"는 언제나 CloudTrail입니다.
동작 원리 / How it works
CloudTrail은 계정에서 발생한 API 호출을 이벤트로 기록합니다. 관리 이벤트(리소스 생성·삭제·설정 변경)는 기본으로 90일간 이벤트 기록에 남고, 더 길게 보관하거나 데이터 이벤트(S3 객체 수준 읽기·쓰기, Lambda 호출)를 남기려면 추적(trail)을 만들어 S3로 보내야 합니다.
감사 로그의 신뢰성을 지키는 방법이 시험에 나옵니다 — 조직 추적으로 모든 계정을 강제 포함하고, 로그를 별도 보안 계정의 S3로 보내고, Object Lock과 로그 파일 검증을 켭니다. 그러면 침입자가 자기 흔적을 지울 수 없습니다.
시험은 무엇을 보는가 / What the exam is testing
"누가 무엇을 언제 했는가"는 언제나 CloudTrail입니다. CloudWatch(성능·지표), Config(구성 규정 준수)와의 삼각 구분이 반복 출제됩니다.
시험 포인트 / Exam points
CloudTrail은 "누가 무엇을 했나"(감사), CloudWatch는 "얼마나 잘 돌아가나"(성능·지표)입니다. 이 구분이 시험에서 반복됩니다.
조직 추적을 켜고 로그를 별도 계정의 S3에 보내며 Object Lock과 로그 파일 검증을 적용하면 공격자도 흔적을 지울 수 없습니다.
자주 틀리는 함정 / Common traps
S3 객체 접근 기록이 기본으로 남는다고 가정하는 것 — 데이터 이벤트는 별도로 켜야 합니다.
로그를 같은 계정에 두고 무결성을 주장하는 것 — 계정이 침해되면 로그도 위험합니다.
AWS CloudTrail
An audit log of who called which API and when
이게 뭔가요? / What is this?
CloudTrail is not a security camera — it is an audit-logging service that records every API call in an account, capturing who did what and when. Like a logbook kept at every door of a building, it records who badged through which door and when, so it can be traced back later.
개요 / Overview
CloudTrail records every API call for audit, compliance, and incident investigation. "Who deleted this resource" is always CloudTrail.
동작 원리 / How it works
CloudTrail records API calls in the account as events. Management events (creating, deleting, and reconfiguring resources) stay in Event history for 90 days by default; retaining longer, or capturing data events (S3 object-level reads and writes, Lambda invocations), requires a trail delivering to S3.
The exam asks how to keep that audit log trustworthy: an organization trail covering every account, delivery to S3 in a separate security account, plus Object Lock and log-file validation — so an intruder cannot erase their tracks.
시험은 무엇을 보는가 / What the exam is testing
"Who did what, when" is always CloudTrail. The three-way distinction against CloudWatch (performance) and Config (configuration compliance) recurs throughout.
시험 포인트 / Exam points
CloudTrail answers "who did what" (audit); CloudWatch answers "how is it performing" (metrics). This split recurs throughout the exam.
An organization trail delivering to S3 in a separate account, with Object Lock and log-file validation, stops an attacker from erasing tracks.
자주 틀리는 함정 / Common traps
Assuming S3 object access is logged by default — data events must be enabled explicitly.
Claiming integrity while keeping logs in the same account — a compromised account endangers the logs too.
AWS SAA Hub Pro는 독립 학습 자료이며 Amazon Web Services, Inc.의 공식 서비스가 아닙니다. 시험 정책과 서비스 사양은 AWS 공식 문서를 기준으로 확인하세요.