记录跟踪的见解事件 - Amazon CloudTrail
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

记录跟踪的见解事件

AmazonCloudTrail 见解有助于Amazon用户识别和应对与关联的异常活动write通过持续分析 CloudTrail 管理事件进行 API 调用。

当 CloudTrail 检测到异常情况时,会记录见解事件write管理 API 活动。如果您已启用 CloudTrail 见解并且 CloudTrail 检测到异常活动,则会将见解事件传送到跟踪的目标 S3 存储桶。在 CloudTrail 控制台上查看见解事件时,还可以查看见解的类型和事件时间段。与在 CloudTrail 跟踪中捕获的其他类型的事件不同,仅在 CloudTrail 检测到账户的 API 使用情况的更改与账户的典型使用模式有显著差异时,才记录见解事件。

CloudTrail 洞察持续监控 CloudTrailwrite管理事件,并使用数学模型来确定账户的 API 和服务事件活动的正常级别。CloudTrail 见解可识别正常模式之外的行为,生成见解事件,并将这些事件传递给/CloudTrail-Insight文件夹中的跟踪。您还可以在Amazon Web Services Management Console,了解 CloudTrail。有关如何在控制台中以及使用AmazonCLI,请参阅查看 CloudTrail 见解事件

默认情况下,跟踪将记录所有管理事件,但不包含数据事件或见解事件。对于数据事件和见解事件将收取额外费用。有关更多信息,请参阅 Amazon CloudTrail 定价

当事件在您的账户中发生时,CloudTrail 将评估该事件是否与您的跟踪设置匹配。只有与您的跟踪设置匹配的事件才会传送到您的 Amazon S3 存储桶和 Amazon CloudWatch Logs 日志组。

了解见解

CloudTrail 见解可以帮助您检测Amazon帐户,通过提高见解事件。CloudTrail 见解可测量 API 调用量的正常模式,也称为基准性能,并在卷处于正常模式之外时生成 Insights 事件。生成见解事件的write管理 API。

首次对跟踪启用 CloudTrail Insights (见解) 后,如果检测到异常活动,则可能需要多达 36 个小时供 CloudTrail 才能传递第一个见解事件。CloudTrail 洞察分析分析在单个区域(而不是全局)中发生的写入管理事件。在与其支持的管理事件相同的区域中生成 CloudTrail 见解事件。

下图显示了见解事件的示例。通过从 Dashboard (控制面板)Insights (见解) 页面中选择见解事件名称,可以打开见解事件的详细信息页面。

如果对跟踪禁用 CloudTrail Insights (见解) 对跟踪禁用或对跟踪停止日志记录(禁用 CloudTrail (见解),则可能将见解事件存储在目标 S3 存储桶中或显示在见解页面,该日期从启用 “见解” 的早期时间开始。

“筛选器” 列

左列列出了与主题 API 相关的见解事件,并且具有相同的见解事件类型。通过该列,您可以选择希望了解其详细信息的 Insights 事件。在此列中选择一个事件时,该事件将在见解图TAB. 默认情况下,CloudTrail 会应用一个过滤器来限制CloudTrail 事件选项卡设置为有关在触发 Insights 事件的异常活动期间调用的特定 API 的选项卡。要显示在异常活动期间调用的所有 CloudTrail 事件(包括与 Inview 事件无关的事件),请关闭筛选器。

见解图TAB

在存储库的见解图选项卡上,见解事件的详细信息页面将显示在记录一个或多个见解事件之前和之后的一段时间内发生的 API 调用量的图表。在图表中,见解事件以垂直条突出显示,条的宽度显示见解事件的开始和结束时间。

在此示例中,突出显示的垂直带显示了异常数量的 Amazon CloudWatchDeleteAlarms账户中的 API 调用。在突出显示的区域,因为DeleteAlarms调用上升到该账户每分钟 0.05 次调用的基准平均值之外,CloudTrail 在检测到异常活动时记录了一个见解事件。见解事件记录:多达 3DeleteAlarms上午 11 时 20 分左右拨打电话。每分钟对该 API 的调用大约比该账户预期的次数多三次。在此示例中,图表的时间跨度为三个小时:上午 9:50。电子商务时间:二零零年八月五日至下午十二时五十分 PDT,2020 年 8 月 5 日。此事件的开始时间为上午 11:20。PDT,2020 年 8 月 5 日,结束时间在一分钟后。

基线是在洞察事件开始前七天内计算的。虽然基准持续时间的值(CloudTrail 针对 API 上正常活动所测量的时间段)大约为七天,但 CloudTrail 会将基准持续时间舍入为整个整数天,因此确切的基准持续时间可能会有所不同。


                    CloudTrail Insights (见解) 详细信息页面,显示作为见解事件记录的异常 API 活动。

AttributionsTAB

这些区域有:署名TAsights 事件的以下信息。


                    显示属性的 CloudTrail 见解事件详细信息页面。
  • 顶级用户身份 ARN-这张表格显示了最高的Amazon用户或 IAM 角色(用户身份),在异常活动和基准期间内促成 API 调用,按所贡献的 API 调用平均数降序排列。引起异常活动的活动总数的平均数百分比在括号中显示。如果超过五个用户身份 ARN 促成了异常活动,则它们的活动将总结在其他行。

  • 顶级用户代理-这张表格显示了最高的Amazon工具,用户身份在异常活动期间和基准期间对 API 调用作出贡献,按所贡献的 API 调用平均数降序排列。这些工具包括Amazon Web Services Management Console、AmazonCLI 或Amazon开发工具包。例如,名为ec2.amazonaws.com表示 Amazon EC2 控制台是用于调用 API 的工具之一。引起异常活动的活动总数的平均数百分比在括号中显示。如果超过五个用户代理参与了异常活动,则其活动将总结为其他行。

  • 顶部错误代码-此表显示了在异常活动和基准期间内 API 调用上发生的前五个错误代码,从最大的 API 调用到最小的降序顺序。引起异常活动的活动总数的平均数百分比在括号中显示。如果在异常活动或基准活动期间发生了五个以上的错误代码,那么它们的活动将总结在其他行。

    None作为前五个错误代码值之一,意味着很大一部分促成 Insights 事件的调用不会导致错误。如果错误代码值为None,并且表中没有其他错误代码,见解平均数基准平均数列与见解事件的总体列相同。您还可以在见解平均数基准平均数上的图例见解图选项卡,在每分钟 API 调用数

CloudTrail 事件TAB

在存储库的CloudTrail 事件选项卡上,查看 CloudTrail 分析以确定发生异常活动的相关事件。默认情况下,已为见解事件名称应用了筛选条件,该名称也是相关 API 的名称。要显示在异常活动期间记录的所有 CloudTrail 事件,请关闭仅显示所选见解事件的事件。这些区域有:CloudTrail 事件选项卡显示在见解事件的开始和结束时间之间发生的与主题 API 相关的 CloudTrail 管理事件。这些事件可帮助您执行更深入的分析,以确定见解事件的可能原因以及异常 API 活动的原因。

见解事件记录TAB

与任何 CloudTrail 事件一样,CloudTrail Insights (见解) 事件是 JSON 格式的记录。这些区域有:见解事件记录选项卡显示 Inview 开始和结束事件的 JSON 结构和内容,有时称为事件payload。有关见解事件记录的字段和内容的更多信息,请参阅见解事件记录字段CloudTrail 见解insightDetails元素

使用记录见解事件Amazon Web Services Management Console

在现有跟踪上启用 CloudTrail 见解事件。默认情况下,不启用见解事件。

  1. 在 CloudTrail 控制台的左侧导航窗格中,打开跟踪页面,然后选择跟踪名称。

  2. In见解事件选择编辑

    注意

    记录见解事件将收取额外费用。有关 CloudTrail 定价,请参阅Amazon CloudTrail定价

  3. InEvent type中,选择见解事件。您必须记录写入管理事件以记录见解事件。

  4. 选择更新跟踪保存您的更改。

如果检测到异常活动,则可能需要多达 36 个小时供 CloudTrail 传递第一个见解事件。

使用 记录见解事件Amazon命令行界面

您可以配置跟踪以使用记录见解事件AmazonCLI。

要查看您的跟踪是否正在记录见解事件,请运行get-insight-selectors命令。

aws cloudtrail get-insight-selectors --trail-name TrailName

以下结果显示跟踪的默认设置。默认情况下,跟踪不记录见解事件。InsightType 属性值为空,并且未指定见解事件选择器,因为未启用见解事件收集。

{ "InsightSelectors": [ { "InsightType": "" } ], "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/TrailName" }

要将跟踪配置为记录见解事件,请运行put-insight-selectors命令。以下示例说明如何配置您的跟踪以包含见解事件。在此版本中,唯一的见解选择器是 ApiCallRateInsight

aws cloudtrail put-insight-selectors --trail-name TrailName --insight-selectors '[{"InsightType": "ApiCallRateInsight"}]'

以下结果显示为跟踪配置的见解事件选择器。

{ "InsightSelectors": [ { "InsightType": "ApiCallRateInsight" } ], "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/TrailName" }

使用 Amazon 开发工具包记录事件

运行GetInsightSelectors操作以查看您的跟踪是否正在记录跟踪的见解事件。您可以配置跟踪以使用PutInsightSelectorsoperation. 有关详细信息,请参阅 Amazon CloudTrail API 参考

将事件发送到 Amazon CloudWatch Logs Events

CloudTrail 支持将见解事件发送到 CloudWatch Logs。在配置您的跟踪以将见解事件发送到 CloudWatch Logs 日志组时,CloudTrail Insights (见解) 仅发送您在跟踪中指定的事件。例如,如果您将跟踪配置为记录管理和见解事件,则您的跟踪将管理和见解事件传送至 CloudWatch Logs 日志组。要使用 CloudWatch 控制台或 API 配置 CloudWatch 事件,请选择AWS Insight via CloudTrail上的事件类型创建规则页面上的开发工具包。有关更多信息,请参阅 使用 Amazon CloudTrail ch Logs 监控 CloudWatch Logs 日志文件