모니터링이 "지금 시스템이 건강한가"를 묻는다면, 감사(audit)는 "누가 무엇을 했는가"를 묻는다. 이 둘은 비슷해 보이지만 근본적으로 다른 질문이다. CPU가 80%라는 사실은 익명의 숫자지만, "어제 새벽 3시에 누가 프로덕션 S3 버킷을 삭제했는가"는 책임의 추적이다. AWS에서 전자가 CloudWatch라면, 후자를 담당하는 게 CloudTrail — 계정 안의 모든 API 호출을 기록하는 감사 로그다. 그리고 그 기록된 사건에 자동으로 반응하게 만드는 게 EventBridge — AWS의 서버리스 이벤트 버스다. 이 둘이 결합하면 "root 계정 로그인을 감지해 즉시 알림" 같은 보안 자동화가 만들어진다.
DVA-C02 시험에서 CloudTrail은 "누가 했는지 추적" 시나리오의 정답으로, EventBridge는 "이벤트에 반응하는 아키텍처"의 핵심으로 나온다. Management Events와 Data Events의 차이, 90일 보존의 의미, EventBridge의 패턴 매칭, 그리고 두 서비스를 잇는 보안 자동화 패턴이 단골 출제 포인트다. 이번 글은 CloudTrail이 왜 "모든 것은 API 호출"이라는 AWS의 근본 구조 위에 설 수 있는지, EventBridge가 CloudWatch Events에서 어떻게 진화했는지, 그리고 이벤트 기반 아키텍처의 철학을 깊이 들여다본다.