AWSCloudTrail_FullAccess + CloudWatchLogsFullAccess

Quando o CloudTrail entrega eventos ao CloudWatch Logs, é ali que ficam os alarmes de segurança da conta. AWSCloudTrail_FullAccess controla a origem; CloudWatchLogsFullAccess inclui logs:DeleteLogGroup e logs:DeleteLogStream, ou seja, o destino. A trilha e o repositório sob a mesma identidade removem a redundância que tornaria a supressão detectável.

Perda de evidência em duas camadas ao mesmo tempo, deixando apenas o bucket S3 da trilha — que muitas contas não configuram com Object Lock, e que pode estar na mesma conta.

• Entregar CloudTrail a um bucket S3 em conta separada, com Object Lock em modo compliance.
• Aplicar SCP negando logs:DeleteLogGroup nos log groups de auditoria.
• Definir retenção explícita nos log groups de segurança e alertar sobre qualquer redução dela.
• Segregar a operação de observabilidade da administração da trilha de auditoria.

• https://docs.aws.amazon.com/awscloudtrail/latest/userguide/best-practices-security.html
• https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/Working-with-log-groups-and-streams.html