CloudTrail 见解insightDetails元素 - Amazon CloudTrail
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

CloudTrail 见解insightDetails元素

AmazonCloudTrail 见解事件记录包含与 JSON 结构中其他 CloudTrail 事件不同的字段,有时称为payload。CloudTrail 见解事件记录包括insightDetails块,用于存储有关见解事件的基础触发器的信息,如事件源、用户身份、用户代理、历史平均值或基准、统计信息、API 名称,以及该事件是见解事件的开始还是结束。这些区域有:insightDetails块包含以下信息。

  • state-事件是开始还是结束见解事件。该值可以是 StartEnd

    从: 1.07

    可选: False

  • eventSource-Amazon服务端点,这是异常活动的来源,例如ec2.amazonaws.com

    从: 1.07

    可选: False

  • eventName-Insights 事件的名称,通常是作为异常活动来源的 API 的名称。

    从: 1.07

    可选: False

  • insightType-见解事件的类型。目前,此值为ApiCallRateInsight

    从: 1.07

    可选: False

  • insightContext -

    有关的信息Amazon工具(称为用户代理)、IAM 用户和角色(称为用户身份)以及与为生成 Insights 事件而分析的事件相关联的错误代码。此元素还包括统计信息,显示 Insights 事件中的异常活动与BASENT或正常活动。

    从: 1.07

    可选: False

    • statistics-包括有关BASENT,或者在基准期间内衡量的账户对主题 API 的典型平均调用速率、触发见解事件的平均调用速率、见解事件的持续时间(以分钟为单位)以及基准的持续时间(以分钟为单位)测量周期。

      从: 1.07

      可选: False

      • baseline-在 Insights 事件主题 API 的基准持续时间内,账户的平均每分钟 API 调用次数,在 Insights 事件开始前七天内计算出来。

        从: 1.07

        可选: False

      • insight -

        对于启动 Insights 事件,此值是异常活动开始期间每分钟平均 API 调用次数。对于结束见解事件,此值是在异常活动持续时间内每分钟 API 调用的数量。

        从: 1.07

        可选: False

      • insightDuration-见解事件的持续时间(从主题 API 上的异常活动开始到结束的时间段)(以分钟为单位)。insightDuration发生在开始和结束见解事件中。

        从: 1.07

        可选: False

      • baselineDuration-基准期间的持续时间(在主题 API 上测量正常活动的时间段)(以分钟为单位)。baselineDuration至少是见解事件之前的七天(10080 分钟)。此字段同时出现在开始和结束见解事件中。的结束时间baselineDuration测量始终是见解事件的开始。

        从: 1.07

        可选: False

    • attributions-此块包含与异常活动和基准活动相关的用户身份、用户代理和错误代码相关的信息。在 Insights 事件中最多捕获五个用户身份、五个用户代理和五个错误代码attributions块,按活动计数的平均值排序,按从最高到最低的降序排序。

      从: 1.07

      可选: True

      • attribute-包含属性类型。值可以是userIdentityArnuserAgent,或者errorCode

        • userIdentityArn-显示到前五名的块Amazon用户或 IAM 角色,这些角色在异常活动和基准期间内促成 API 调用。另请参阅userIdentityCloudTrail 记录内容

          从: 1.07

          可选: False

          • insight-一个块,最多显示在异常活动期间执行 API 调用的前五个用户身份 ARN,按从最大的 API 调用到最小的降序顺序排列。它还显示了用户身份在异常活动期间发出的 API 调用的平均数。

            从: 1.07

            可选: False

            • value-在异常活动期间对 API 调用作出贡献的前五个用户身份之一的 ARN。

              从: 1.07

              可选: False

            • average-用户身份在异常活动期间每分钟的 API 调用次数value字段。

              从: 1.07

              可选: False

          • baseline-最多显示前五个用户身份 ARN 的块,这些 ARN 对正常活动期间发出的 API 调用贡献最大。它还显示了用户身份在正常活动期间进行的 API 调用的平均数。

            从: 1.07

            可选: False

            • value-在正常活动期间对 API 调用作出贡献的前五个用户身份之一的 ARN。

              从: 1.07

              可选: False

            • average-在 Insights 活动开始时间之前的七天内,用户身份的历史平均每分钟 API 调用value字段。

              从: 1.07

              可选: False

        • userAgent-一个显示到顶部文件的块Amazon工具,用户身份在异常活动和基准期间内促进 API 调用。这些工具包括Amazon Web Services Management Console、AmazonCLI 或Amazon软件开发工具包。另请参阅userAgentCloudTrail 记录内容

          从: 1.07

          可选: False

          • insight-一个块,最多显示在异常活动期间执行 API 调用的前五个用户代理,按降序顺序从最大的 API 调用到最小。它还显示了用户代理在异常活动期间进行的 API 调用的平均数。

            从: 1.07

            可选: False

            • value-在异常活动期间对 API 调用做出贡献的前五名用户代理之一。

              从: 1.07

              可选: False

            • average-用户代理在异常活动期间每分钟的 API 调用次数value字段。

              从: 1.07

              可选: False

          • baseline-最多显示在正常活动期间对 API 调用贡献最大的前五个用户代理的块。它还显示了用户代理在正常活动期间进行的 API 调用的平均数。

            从: 1.07

            可选: False

            • value-在正常活动期间对 API 调用做出贡献的前五名用户代理之一。

              从: 1.07

              可选: False

            • average-用户代理在 Insights 活动开始时间之前七天内每分钟 API 调用的历史平均值value字段。

              从: 1.07

              可选: False

        • errorCode-一个块,最多显示在异常活动和基线期间 API 调用上发生的前五个错误代码,从最大的 API 调用到最小的降序顺序。另请参阅errorCodeCloudTrail 记录内容

          从: 1.07

          可选: False

          • insight-一个块,最多显示在异常活动期间发生的 API 调用上发生的前五个错误代码,从最大的关联 API 调用到最小的降序顺序。它还显示在异常活动期间发生错误的平均 API 调用数。

            从: 1.07

            可选: False

            • value-在异常活动期间发生的 API 调用上发生的前五个错误代码之一,例如AccessDeniedException

              如果触发 Insights 事件的任何调用都不会导致错误,则此值为null

              开始: 1.07

              可选: False

            • average-错误代码在异常活动期间每分钟调用的 API 数value字段。

              如果错误代码值为null,并且没有其他错误代码在insight块中的值,average与中的statistics块中的数据集。

              开始: 1.07

              可选: False

          • baseline-最多显示在正常活动期间发生的 API 调用上发生的前五个错误代码的块。它还显示了用户代理在正常活动期间进行的 API 调用的平均数。

            开始: 1.07

            可选: False

            • value-在正常活动期间发生的 API 调用上发生的前五个错误代码之一,例如AccessDeniedException

              开始: 1.07

              可选: False

            • average-在 Insights 活动开始时间之前的七天内,每分钟 API 调用的历史平均值是value字段。

              开始: 1.07

              可选: False

示例insightDetails数据块

下面是见解事件示例insightDetails块,用于 Application Auto Scaling API 时发生的见解事件CompleteLifecycleAction被称为一个不寻常的次数。有关完整见解事件的示例,请参阅CloudTrail 日志事件参考

此示例来自启动 Insights 事件,由"state": "Start"。调用与 Insights 事件关联的 API 的顶级用户身份CodeDeployRole1CodeDeployRole2, 和CodeDeployRole3,显示在attributions块,以及这个 Insights 事件的平均 API 调用率,以及CodeDeployRole1角色。这些区域有:attributions块还显示用户代理是codedeploy.amazonaws.com,这意味着顶级用户标识使用Amazon CodeDeploy控制台运行 API 调用。

因为没有与为生成 Insights 事件而分析的事件相关联的错误代码(值为null)、insight错误代码的平均值与整体insight整个见解事件的平均值,如statistics块。

"insightDetails": { "state": "Start", "eventSource": "autoscaling.amazonaws.com", "eventName": "CompleteLifecycleAction", "insightType": "ApiCallRateInsight", "insightContext": { "statistics": { "baseline": { "average": 0.0000882145 }, "insight": { "average": 0.6 }, "insightDuration": 5, "baselineDuration": 11336 }, "attributions": [ { "attribute": "userIdentityArn", "insight": [ { "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole1", "average": 0.2 }, { "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole2", "average": 0.2 }, { "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole3", "average": 0.2 } ], "baseline": [ { "value": "arn:aws:sts::012345678901:assumed-role/CodeDeployRole1", "average": 0.0000882145 } ] }, { "attribute": "userAgent", "insight": [ { "value": "codedeploy.amazonaws.com", "average": 0.6 } ], "baseline": [ { "value": "codedeploy.amazonaws.com", "average": 0.0000882145 } ] }, { "attribute": "errorCode", "insight": [ { "value": "null", "average": 0.6 } ], "baseline": [ { "value": "null", "average": 0.0000882145 } ] } ] } }