为 CloudTrail 事件创建 CloudWatch 警报：示例

打开 CloudWatch 控制台，网址为 https://console.aws.amazon.com/cloudwatch/。

在导航窗格中，从日志下选择日志组。

在日志组列表中，选择为跟踪创建的日志组。

从指标筛选条件或操作菜单中选择创建指标筛选条件。

在 Define pattern（定义模式）页面上的 Create filter pattern（创建筛选条件模式）中，为 Filter pattern（筛选条件模式）输入以下内容。

{ ($.eventName = AuthorizeSecurityGroupIngress) || ($.eventName = AuthorizeSecurityGroupEgress) || ($.eventName = RevokeSecurityGroupIngress) || ($.eventName = RevokeSecurityGroupEgress) || ($.eventName = CreateSecurityGroup) || ($.eventName = DeleteSecurityGroup) }

在 Test pattern（测试模式）中，保留默认值。选择下一步。

在分配指标页面上，为筛选条件名称输入 SecurityGroupEvents。

在指标详细信息中，开启新建，然后在指标命名空间中输入 CloudTrailMetrics。

对于指标名称，键入 SecurityGroupEventCount。

对于指标值，键入 1。

将 Default value（默认值）留空。

选择下一步。

在 Review and create（审核和重建）页面上，审核您的选择。选择 Create metric filter（创建指标筛选条件）以创建筛选条件，或选择 Edit（编辑）返回并更改值。

在 Metric filters（指标筛选条件）选项卡上，找到您在 创建指标筛选条件 中创建的指标筛选条件。填充指标筛选条件的复选框。在 Metric filters（指标筛选条件）栏中，选择 Create alarm（创建警报）。

在指定指标和条件字段中输入以下内容。

1. 对于 Graph（图表），根据您在创建警报时所做的其他设置，该行设置为 1。

2. 对于 Metric name（指标名称），请保留当前指标名称 SecurityGroupEventCount。

3. 对于 Statistic（统计数据），请保留默认值 Sum。

4. 对于 Period（期限），请保留默认值 5 minutes。

5. 在 Conditions（条件）中，对于 Threshold type（阈值类型），选择 Static（静态）。

6. 对于 Whenever metric_name is（每当 metric_name 为），选择 Greater/Equal（大于/等于）。

7. 为阈值输入 1。

8. 在 Additional configuration（其他配置）中，保留默认值。选择下一步。

在 “配置操作” 页面上，选择 “通知”，然后选择 “警报”，这表示当超过 5 分钟内 1 个更改事件的阈值并SecurityGroupEventCount处于警报状态时，将采取行动。

1. 对于向以下 SNS 主题发送通知，选择新建主题。

2. 输入 SecurityGroupChanges_CloudWatch_Alarms_Topic 作为 Amazon SNS 新主题的名称。

3. 在将接收通知的电子邮件端点中，输入您希望在触发此警报时接收通知的用户的电子邮件地址。用逗号分隔电子邮件地址。

   每位电子邮件收件人会收到电子邮件，要求他们确认他们想要订阅 Amazon SNS 主题。

4. 选择创建主题。

对于此示例，跳过其他操作类型。选择下一步。

在 Add name and description（添加名称和描述）页面上，输入警报的易识别名称以及描述。在此示例中，请输入 Security group configuration changes 作为名称，Raises alarms if security group configuration changes occur 作为说明。选择下一步。

在 Preview and create（预览和重建）页面上，审核您的选择。选择 Edit（编辑）以进行更改，或选择 Create alarm（创建警报）以创建警报。

创建警报后， CloudWatch 打开 “警报” 页面。在有关 SNS 主题的所有电子邮件收件人都确认他们想要订阅 SNS 通知之前，警报的 Actions（操作）列一直显示 Pending confirmation（待确认）。

打开 CloudWatch 控制台，网址为 https://console.aws.amazon.com/cloudwatch/。

在导航窗格中，从日志下选择日志组。

在日志组列表中，选择为跟踪创建的日志组。

从指标筛选条件或操作菜单中选择创建指标筛选条件。

在 Define pattern（定义模式）页面上的 Create filter pattern（创建筛选条件模式）中，为 Filter pattern（筛选条件模式）输入以下内容。

{ ($.eventName = ConsoleLogin) && ($.errorMessage = "Failed authentication") }

在 Test pattern（测试模式）中，保留默认值。选择下一步。

在分配指标页面上，为筛选条件名称输入 ConsoleSignInFailures。

在指标详细信息中，开启新建，然后在指标命名空间中输入 CloudTrailMetrics。

对于指标名称，键入 ConsoleSigninFailureCount。

对于指标值，键入 1。

将 Default value（默认值）留空。

选择下一步。

在 Review and create（审核和重建）页面上，审核您的选择。选择 Create metric filter（创建指标筛选条件）以创建筛选条件，或选择 Edit（编辑）返回并更改值。

在 Metric filters（指标筛选条件）选项卡上，找到您在 创建指标筛选条件 中创建的指标筛选条件。填充指标筛选条件的复选框。在 Metric filters（指标筛选条件）栏中，选择 Create alarm（创建警报）。

在 Create Alarm（创建警报）页面上的 Specify metric and conditions（指定指标和条件）中，输入以下内容：

1. 对于 Graph（图表），根据您在创建警报时所做的其他设置，该行设置为 3。

2. 对于 Metric name（指标名称），请保留当前指标名称 ConsoleSigninFailureCount。

3. 对于 Statistic（统计数据），请保留默认值 Sum。

4. 对于 Period（期限），请保留默认值 5 minutes。

5. 在 Conditions（条件）中，对于 Threshold type（阈值类型），选择 Static（静态）。

6. 对于 Whenever metric_name is（每当 metric_name 为），选择 Greater/Equal（大于/等于）。

7. 为阈值输入 3。

8. 在 Additional configuration（其他配置）中，保留默认值。选择下一步。

在配置操作页面上，对于通知，选择警报，这表示当超过 5 分钟内 3 个更改事件的阈值并ConsoleSigninFailureCount处于警报状态时，将采取行动。

1. 对于向以下 SNS 主题发送通知，选择新建主题。

2. 输入 ConsoleSignInFailures_CloudWatch_Alarms_Topic 作为 Amazon SNS 新主题的名称。

3. 在将接收通知的电子邮件端点中，输入您希望在触发此警报时接收通知的用户的电子邮件地址。用逗号分隔电子邮件地址。

   每位电子邮件收件人会收到电子邮件，要求他们确认他们想要订阅 Amazon SNS 主题。

4. 选择创建主题。

对于此示例，跳过其他操作类型。选择下一步。

在 Add name and description（添加名称和描述）页面上，输入警报的易识别名称以及描述。在此示例中，请输入 Console sign-in failures 作为名称，Raises alarms if more than 3 console sign-in failures occur in 5 minutes 作为说明。选择下一步。

在 Preview and create（预览和重建）页面上，审核您的选择。选择 Edit（编辑）以进行更改，或选择 Create alarm（创建警报）以创建警报。

创建警报后， CloudWatch 打开 “警报” 页面。在有关 SNS 主题的所有电子邮件收件人都确认他们想要订阅 SNS 通知之前，警报的 Actions（操作）列一直显示 Pending confirmation（待确认）。

打开 CloudWatch 控制台，网址为 https://console.aws.amazon.com/cloudwatch/。

在导航窗格中，选择日志。

在日志组列表中，选择为跟踪创建的日志组。

选择 Actions（操作），然后选择 Create metric filter（创建指标筛选条件）。

在 Define pattern（定义模式）页面上的 Create filter pattern（创建筛选条件模式）中，为 Filter pattern（筛选条件模式）输入以下内容。

{($.eventName=DeleteGroupPolicy)||($.eventName=DeleteRolePolicy)||($.eventName=DeleteUserPolicy)||($.eventName=PutGroupPolicy)||($.eventName=PutRolePolicy)||($.eventName=PutUserPolicy)||($.eventName=CreatePolicy)||($.eventName=DeletePolicy)||($.eventName=CreatePolicyVersion)||($.eventName=DeletePolicyVersion)||($.eventName=AttachRolePolicy)||($.eventName=DetachRolePolicy)||($.eventName=AttachUserPolicy)||($.eventName=DetachUserPolicy)||($.eventName=AttachGroupPolicy)||($.eventName=DetachGroupPolicy)}

在 Test pattern（测试模式）中，保留默认值。选择下一步。

在分配指标页面上，为筛选条件名称输入 IAMPolicyChanges。

在指标详细信息中，开启新建，然后在指标命名空间中输入 CloudTrailMetrics。

对于指标名称，键入 IAMPolicyEventCount。

对于指标值，键入 1。

将 Default value（默认值）留空。

选择下一步。

在 Review and create（审核和重建）页面上，审核您的选择。选择 Create metric filter（创建指标筛选条件）以创建筛选条件，或选择 Edit（编辑）返回并更改值。

在 Metric filters（指标筛选条件）选项卡上，找到您在 创建指标筛选条件 中创建的指标筛选条件。填充指标筛选条件的复选框。在 Metric filters（指标筛选条件）栏中，选择 Create alarm（创建警报）。

在 Create Alarm（创建警报）页面上的 Specify metric and conditions（指定指标和条件）中，输入以下内容：

1. 对于 Graph（图表），根据您在创建警报时所做的其他设置，该行设置为 1。

2. 对于 Metric name（指标名称），请保留当前指标名称 IAMPolicyEventCount。

3. 对于 Statistic（统计数据），请保留默认值 Sum。

4. 对于 Period（期限），请保留默认值 5 minutes。

5. 在 Conditions（条件）中，对于 Threshold type（阈值类型），选择 Static（静态）。

6. 对于 Whenever metric_name is（每当 metric_name 为），选择 Greater/Equal（大于/等于）。

7. 为阈值输入 1。

8. 在 Additional configuration（其他配置）中，保留默认值。选择下一步。

在配置操作页面上，对于通知，选择警报，这表示当超过 5 分钟内 1 个更改事件的阈值且 IAM PolicyEventCount 处于警报状态时，将采取该操作。

1. 对于向以下 SNS 主题发送通知，选择新建主题。

2. 输入 IAM_Policy_Changes_CloudWatch_Alarms_Topic 作为 Amazon SNS 新主题的名称。

3. 在将接收通知的电子邮件端点中，输入您希望在触发此警报时接收通知的用户的电子邮件地址。用逗号分隔电子邮件地址。

   每位电子邮件收件人会收到电子邮件，要求他们确认他们想要订阅 Amazon SNS 主题。

4. 选择创建主题。

对于此示例，跳过其他操作类型。选择下一步。

在 Add name and description（添加名称和描述）页面上，输入警报的易识别名称以及描述。在此示例中，请输入 IAM Policy Changes 作为名称，Raises alarms if IAM policy changes occur 作为说明。选择下一步。

在 Preview and create（预览和重建）页面上，审核您的选择。选择 Edit（编辑）以进行更改，或选择 Create alarm（创建警报）以创建警报。

创建警报后， CloudWatch 打开 “警报” 页面。在有关 SNS 主题的所有电子邮件收件人都确认他们想要订阅 SNS 通知之前，警报的 Actions（操作）列一直显示 Pending confirmation（待确认）。