记录跟踪的见解事件 - AWS CloudTrail
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

记录跟踪的见解事件

通过持续分析 CloudTrail 管理事件,AWS CloudTrail Insights 帮助 AWS 用户识别和应对与 write API 调用关联的异常活动。

当 CloudTrail 在您的账户中检测到异常的 write 管理 API 活动时会记录 Insights events。如果已启用 CloudTrail Insights 并且 CloudTrail 检测到异常活动,Insights events 将被传递到跟踪的目标 S3 存储桶。在 CloudTrail 控制台上查看 Insights events 时,还可以查看见解的类型和事件时间段。与在 CloudTrail 跟踪中捕获的其他类型的事件不同,仅在 CloudTrail 检测到账户的 API 使用情况的更改与账户的典型使用模式有显著差异时,才记录 Insights events。

CloudTrail Insights 持续监视 CloudTrail write 管理事件,并使用数学模型确定账户的 API 和服务事件活动的正常水平。CloudTrail Insights 识别超出正常模式的行为,生成 Insights events,然后将这些事件传递到跟踪的所选目标 S3 存储桶中的 /CloudTrail-Insight 文件夹。您还可以在 CloudTrail 的 AWS 管理控制台中访问和查看 Insights events。有关如何在控制台中以及使用 AWS CLI 访问和查看 Insights events 的信息,请参阅本指南中的查看 CloudTrail Insights 事件

默认情况下,跟踪将记录所有管理事件,但不包含数据事件或 Insights events。对于数据和 Insights events 将收取额外费用。有关更多信息,请参阅 AWS CloudTrail 定价

当您的账户中发生一个事件时,CloudTrail 会评估该事件是否与您的跟踪设置匹配。只有与您的跟踪设置匹配的事件才会传送到 Amazon S3 存储桶和 Amazon CloudWatch Logs 日志组。

了解见解

CloudTrail Insights 可以通过引发 Insights events 帮助您检测 AWS 账户中的异常 API 活动。CloudTrail Insights 跟踪您的 API 调用量的正常模式,并在调用量超出正常模式时生成 Insights events。将为 write 管理 API 生成 Insights events。

首次对跟踪启用 CloudTrail Insights 后,如果检测到异常活动,则可能需要多达 36 个小时供 CloudTrail 传递第一个见解事件。CloudTrail Insights 分析在单个区域(而不是全球)中发生的写管理事件。在与其支持的管理事件相同的区域中生成 CloudTrail Insights 事件。

下图显示了一个 Insights events 示例。通过从 Dashboard (控制面板)Insights (见解) 页面中选择见解事件名称,可以打开见解事件的详细信息页面。见解事件的详细信息页面显示在记录一个或多个 Insights events 之前和之后的一段时间内发生的 API 调用量 的图表。在图表中,Insights events 以垂直条突出显示,条的宽度显示见解事件的开始和结束时间。

在此示例中,突出显示的垂直带显示了账户中异常数量的 AWS Systems Manager UpdateInstanceInformation API 调用。在突出显示的区域中,由于 UpdateInstanceInformation 调用数量上升到该账户每分钟 100.4 次调用的正常范围之外,因此 CloudTrail 在检测到异常活动时记录了一个见解事件。见解事件记录:大约在下午 1:37 进行了多达 875 次 UpdateInstanceInformation 调用。每分钟对该 API 的调用大约比该账户预期的次数多 775 次。在此示例中,图表的时间跨度为一小时:下午 1:10。PDT,2019 年 11 月 1 日到下午 2:10PDT,2019 年 11 月 1 日。此事件的开始时间为下午 1:37。PDT,2019 年 11 月 1 日,结束时间为下午 1:38PDT。

左列列出了与主题 API 相关的 Insights events,并且具有相同的见解事件类型。


                CloudTrail Insights 详细信息页面,显示作为见解事件记录的异常 API 活动。

CloudTrail events (CloudTrail 事件) 选项卡上,查看 CloudTrail 分析的相关事件以确定发生了该异常活动。请注意,已为见解事件名称应用了筛选条件,该名称也是相关 API 的名称。CloudTrail events (CloudTrail 事件) 选项卡显示与主题 API 相关的 CloudTrail 管理事件,这些事件在见解事件的开始时间和结束时间之间发生。这些事件可帮助您执行更深入的分析,以确定见解事件的可能原因以及异常 API 活动的原因。

如果对跟踪禁用 CloudTrail Insights 或对跟踪停止日志记录(禁用 CloudTrail Insights),则可能已将 Insights events 存储在目标 S3 存储桶中或显示在控制台的 Insights (见解) 页面上,该日期始于启用“Insights (见解)”的早些时候。

使用 AWS 管理控制台记录见解事件

在现有跟踪上启用见解事件收集。默认情况下,不启用见解事件收集。

  1. 导航到 CloudTrail 控制台的 Trails (跟踪) 页面并选择跟踪。

  2. Insights events 中,选择铅笔图标。

  3. 对于 Log Insights events (记录 Insights events ),选择 Yes (是)。选择 Save 以保存您的更改。

如果检测到异常活动,可能需要长达 36 小时供 CloudTrail 传递第一个 Insights events。

使用 AWS Command Line Interface 记录见解事件

您可以配置跟踪以使用 AWS CLI 记录 Insights events。

要查看您的跟踪是否正在记录 get-insight-selectors,请运行 Insights events 命令。

aws cloudtrail get-insight-selectors --trail-name TrailName

以下结果显示跟踪的默认设置。默认情况下,跟踪不记录 Insights events。InsightType 属性值为空,并且未指定见解事件选择器,因为未启用见解事件收集。

{ "InsightSelectors": [ { "InsightType": "" } ], "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/TrailName" }

要将跟踪配置为记录 put-insight-selectors,请运行 Insights events 命令。以下示例说明如何配置跟踪以包含 Insights events。在此版本中,唯一的见解选择器是 ApiCallRateInsight

aws cloudtrail put-insight-selectors --trail-name TrailName --insight-selectors '[{"InsightType": "ApiCallRateInsight"}]'

以下结果显示为跟踪配置的见解事件选择器。

{ "InsightSelectors": [ { "InsightType": "ApiCallRateInsight" } ], "TrailARN": "arn:aws:cloudtrail:us-east-1:123456789012:trail/TrailName" }

使用 AWS 开发工具包记录事件

运行 GetInsightSelectors 操作以查看您的跟踪是否正在记录跟踪的 Insights events。您可以使用 PutInsightSelectors 操作将跟踪配置为记录 Insights events。有关更多信息,请参阅 AWS CloudTrail API Reference

将事件发送到 Amazon CloudWatch Logs

CloudTrail 支持将 Insights events 发送到 CloudWatch Logs。在配置您的跟踪以将 Insights events 发送到 CloudWatch Logs 日志组时,CloudTrail Insights 只发送您在跟踪中指定的事件。例如,如果您将跟踪配置为记录管理和 Insights events,则您的跟踪仅将管理和 Insights events 传递至您的 CloudWatch Logs 日志组。要使用 CloudWatch 控制台或 API 配置 CloudWatch Events,请在 CloudWatch 控制台的 Create rule (创建规则) 页面上选择 AWS Insight via CloudTrail 事件类型。有关更多信息,请参阅使用 Amazon CloudWatch Logs 监控 CloudTrail 日志文件