¿Cómo puedo auditar los objetos eliminados o faltantes de mi bucket de Amazon S3?

Resolución

Para averiguar cómo se eliminó un objeto S3, puede revisar los registros de acceso al servidor o los registros de AWS CloudTrail.

Nota: El registro debe estar habilitado en el bucket antes de que se produzca el evento de eliminación. Recibirá registros solo de los eventos que se produjeron después de habilitar el registro.

Los registros de acceso al servidor realizan el seguimiento de las operaciones de S3 realizadas manualmente o como parte de una configuración del ciclo de vida. Para habilitar el registro de acceso al servidor, consulte Habilitación del registro de acceso al servidor de Amazon S3.Para obtener más información sobre cómo analizar los registros de acceso al servidor, consulte How do I analyze my Amazon S3 server access logs using Athena?

Los registros de CloudTrail pueden realizar el seguimiento de eventos de datos a nivel de objeto en un bucket de S3, como GetObject, DeleteObject y PutObject. Para habilitar los registros de CloudTrail para eventos a nivel de objeto, consulte Habilitación del registro de eventos de CloudTrail para buckets y objetos de S3Para obtener más información sobre cómo buscar eventos específicos, consulte I enabled object-level logging for my Amazon S3 bucket. Where can I find the events in the CloudTrail event history?

Nota: De forma predeterminada, CloudTrail registra los eventos a nivel de bucket. Para obtener registros de operaciones a nivel de objeto, como GetObject, DeleteObject y PutObject, debe . configurar el registro a nivel de objeto. El registro a nivel de objeto conlleva cargos adicionales, así que asegúrese de revisar los precios de los eventos de datos de CloudTrail.

Para evitar o mitigar futuras eliminaciones accidentales, tenga en cuenta las siguientes funciones:

• Habilite el control de versiones para conservar las versiones históricas de un objeto.
• Habilite la replicación entre regiones para objetos.
• Habilite la eliminación de MFA para requerir la autenticación multifactor (MFA) al eliminar una versión de objeto.