Amazon CloudTrail 是 AWS 的核心审计服务，它通过记录账户中的操作与 API 调用，提供安全追踪与合规保障。核心是回答“谁在何时何地执行了什么操作”的问题。CloudTrail 主要包括管理事件和数据事件。管理事件涵盖对 AWS 资源进行配置或管理的操作，如创建 EC2 实例或修改 IAM 角色、配置路由表规则、设置日志记录等，是监控账户安全的关键。数据事件则记录针对资源数据本身的操作，例如读取 S3 存储桶中的对象或调用 Lambda 函数。
默认情况下，跟踪不记录数据事件，数据事件也不会显示在 CloudTrail 事件历史记录中。由于数据事件日志量可能巨大，可能会产生高额费用，要激活数据事件日志记录，必须将支持的资源或资源类型手动添加到跟踪记录中。
数据事件，若对大型 S3 存储桶全面启用，可能产生海量日志，导致存储成本激增与查询效率下降。用户必须制定精细的过滤策略，例如仅记录关键存储桶的操作或特定 API 调用。事件完整性验证常被忽视，CloudTrail 提供的日志文件完整性校验功能，可帮助检测日志是否被意外篡改，但此功能需用户主动启用并定期检查，否则在安全事件调查中可能无法提供可信证据。多区域与多账户环境下的统一管理较为复杂，配置不当容易造成事件重复或遗漏，增加审计复杂性。用户需精心设计日志聚合架构，并确保必要的跨账户权限，这对团队的操作成熟度提出了较高要求。
牢记管理事件用于监控资源变更，数据事件适用于敏感数据访问审计，例如ConsoleLogin属于管理事件、Invoke属于数据事件。熟悉关键服务的日志细节，例如 S3 数据事件分为读写两种类型，而 Lambda 函数调用记录则属于数据事件范畴，事件历史记录仅支持管理事件。牢记安全最佳实践：管理事件应全局启用并开启日志文件验证，数据事件需审慎配置以避免成本失控，同时将所有日志加密存储并传输至独立的审计账户中。调查 S3 对象删除应启用数据事件，而跟踪 IAM 策略修改则只需管理事件。