CloudWatch Alarme für CloudTrail Ereignisse erstellen: Beispiele

Öffnen Sie die CloudWatch Konsole unter https://console.aws.amazon.com/cloudwatch/.

Wählen Sie im Navigationsbereich unter Protokolle die Option Protokollgruppen aus.

Wählen Sie in der Liste von Protokollgruppen die Protokollgruppe aus, die Sie für Ihren Trail erstellt haben.

Wählen Sie im Menü Metrikfilter oder Aktionen die Option Metrikfilter erstellen aus.

Geben Sie auf der Seite Muster definieren unter Filtermuster erstellen Folgendes für Filtermuster ein.

{ ($.eventName = AuthorizeSecurityGroupIngress) || ($.eventName = AuthorizeSecurityGroupEgress) || ($.eventName = RevokeSecurityGroupIngress) || ($.eventName = RevokeSecurityGroupEgress) || ($.eventName = CreateSecurityGroup) || ($.eventName = DeleteSecurityGroup) }

Behalten Sie in Testmuster die Standardeinstellungen bei. Wählen Sie Weiter aus.

Geben Sie auf der Seite Metrik zuweisen für Filtername den Wert SecurityGroupEvents ein.

Aktivieren Sie unter Metrikdetails die Option Neu erstellen und geben Sie dann für Namespace der Metrik den Wert CloudTrailMetrics ein.

Geben Sie für Metrikname den Wert SecurityGroupEventCount ein.

Geben Sie für Metrikwert den Wert 1 ein.

Lassen Sie den Standardwert leer.

Wählen Sie Weiter aus.

Überprüfen Sie auf der Seite Prüfen und erstellen Ihre Auswahl. Wählen Sie Metrikfilter erstellen, um den Filter zu erstellen, oder wählen Sie Bearbeiten, um zurückzugehen und Werte zu ändern.

Suchen Sie auf der Registerkarte Metrikfilter den in Einen Metrikfilter erstellen erstellten Metrikfilter. Aktivieren Sie das Kontrollkästchen für den Metrikfilter. Wählen Sie in der Leiste Metrikfilter die Option Alarm erstellen aus.

Geben Sie unter Metrik und Bedingungen festlegen Folgendes ein:

1. Bei Diagramm wird die Linie basierend auf anderen Einstellungen, die Sie beim Erstellen Ihres Alarms vornehmen, auf 1 gesetzt.

2. Behalten Sie für Metrikname den aktuellen Metriknamen SecurityGroupEventCount bei.

3. Behalten Sie für Statistik den Standardwert Sum bei.

4. Behalten Sie für Zeitraum den Standardwert 5 minutes bei.

5. Wählen Sie unter Bedingungen unter Schwellenwerttyp die Option Statisch aus.

6. Für wann auch immer metric_name ist, wählen Sie Größer/Gleich.

7. Geben Sie als Schwellenwert 1 ein.

8. Übernehmen Sie unter Zusätzliche Konfiguration die Standardeinstellungen. Wählen Sie Weiter aus.

Wählen Sie auf der Seite Aktionen konfigurieren die Option Benachrichtigung und dann Bei Alarm aus. Dies bedeutet, dass die Aktion ausgeführt wird, wenn der Schwellenwert von 1 Änderungsereignis innerhalb von 5 Minuten überschritten wird und sich im SecurityGroupEventCountAlarmzustand befindet.

1. Wählen Sie unter Eine Benachrichtigung zum folgenden SNS Thema senden die Option Neues Thema erstellen aus.

2. Geben Sie SecurityGroupChanges_CloudWatch_Alarms_Topic den Namen für das neue SNS Amazon-Thema ein.

3. Geben Sie unter E-Mail-Endpunkte, die die Benachrichtigung erhalten, die E-Mail-Adressen der Benutzer ein, die Benachrichtigungen erhalten sollen, wenn dieser Alarm ausgelöst wird. Trennen Sie E-Mail-Adressen durch Kommas.

   Jeder E-Mail-Empfänger erhält eine E-Mail, in der er aufgefordert wird, zu bestätigen, dass er das SNS Amazon-Thema abonnieren möchte.

4. Wählen Sie Thema erstellen aus.

Überspringen Sie in diesem Beispiel die anderen Aktionstypen. Wählen Sie Weiter.

Geben Sie auf der Seite Name und Beschreibung hinzufügen einen Anzeigenamen für den Alarm und eine Beschreibung ein. Geben Sie in diesem Beispiel Security group configuration changes für den Namen und Raises alarms if security group configuration changes occur für die Beschreibung ein. Wählen Sie Weiter aus.

Überprüfen Sie auf der Seite Vorschau anzeigen und erstellen Ihre Auswahl. Wählen Sie Bearbeiten, um Änderungen vorzunehmen, oder wählen Sie Alarm erstellen, um den Alarm zu erstellen.

Nachdem Sie den Alarm erstellt haben, CloudWatch wird die Seite Alarme geöffnet. In der Spalte Aktionen des Alarms wird die Meldung Ausstehende Bestätigung angezeigt, bis alle E-Mail-Empfänger SNS zum Thema bestätigt haben, dass sie SNS Benachrichtigungen abonnieren möchten.

Öffnen Sie die CloudWatch Konsole unter. https://console.aws.amazon.com/cloudwatch/

Wählen Sie im Navigationsbereich unter Protokolle die Option Protokollgruppen aus.

Wählen Sie in der Liste von Protokollgruppen die Protokollgruppe aus, die Sie für Ihren Trail erstellt haben.

Wählen Sie im Menü Metrikfilter oder Aktionen die Option Metrikfilter erstellen aus.

Geben Sie auf der Seite Muster definieren unter Filtermuster erstellen Folgendes für Filtermuster ein.

{ ($.eventName = ConsoleLogin) && ($.errorMessage = "Failed authentication") }

Behalten Sie in Testmuster die Standardeinstellungen bei. Wählen Sie Weiter aus.

Geben Sie auf der Seite Metrik zuweisen für Filtername den Wert ConsoleSignInFailures ein.

Aktivieren Sie unter Metrikdetails die Option Neu erstellen und geben Sie dann für Namespace der Metrik den Wert CloudTrailMetrics ein.

Geben Sie für Metrikname den Wert ConsoleSigninFailureCount ein.

Geben Sie für Metrikwert den Wert 1 ein.

Lassen Sie den Standardwert leer.

Wählen Sie Weiter aus.

Überprüfen Sie auf der Seite Prüfen und erstellen Ihre Auswahl. Wählen Sie Metrikfilter erstellen, um den Filter zu erstellen, oder wählen Sie Bearbeiten, um zurückzugehen und Werte zu ändern.

Suchen Sie auf der Registerkarte Metrikfilter den in Einen Metrikfilter erstellen erstellten Metrikfilter. Aktivieren Sie das Kontrollkästchen für den Metrikfilter. Wählen Sie in der Leiste Metrikfilter die Option Alarm erstellen aus.

Geben Sie auf der Seite Alarm erstellen unter Metrik und Bedingungen angeben Folgendes ein.

1. Bei Diagramm, wird die Linie basierend auf anderen Einstellungen, die Sie beim Erstellen Ihres Alarms vornehmen, auf 3 gesetzt.

2. Behalten Sie für Metrikname den aktuellen Metriknamen ConsoleSigninFailureCount bei.

3. Behalten Sie für Statistik den Standardwert Sum bei.

4. Behalten Sie für Zeitraum den Standardwert 5 minutes bei.

5. Wählen Sie unter Bedingungen unter Schwellenwerttyp die Option Statisch aus.

6. Für wann auch immer metric_name ist, wählen Sie Größer/Gleich.

7. Geben Sie als Schwellenwert 3 ein.

8. Übernehmen Sie unter Zusätzliche Konfiguration die Standardeinstellungen. Wählen Sie Weiter aus.

Wählen Sie auf der Seite Aktionen konfigurieren für Benachrichtigung die Option Bei Alarm aus. Dies bedeutet, dass die Aktion ausgeführt wird, wenn der Schwellenwert von 3 Änderungsereignissen innerhalb von 5 Minuten überschritten wird und sich im ConsoleSigninFailureCountAlarmzustand befindet.

1. Wählen Sie für Eine Benachrichtigung zum folgenden SNS Thema senden die Option Neues Thema erstellen aus.

2. Geben Sie ConsoleSignInFailures_CloudWatch_Alarms_Topic den Namen für das neue SNS Amazon-Thema ein.

3. Geben Sie unter E-Mail-Endpunkte, die die Benachrichtigung erhalten, die E-Mail-Adressen der Benutzer ein, die Benachrichtigungen erhalten sollen, wenn dieser Alarm ausgelöst wird. Trennen Sie E-Mail-Adressen durch Kommas.

   Jeder E-Mail-Empfänger erhält eine E-Mail, in der er aufgefordert wird, zu bestätigen, dass er das SNS Amazon-Thema abonnieren möchte.

4. Wählen Sie Thema erstellen aus.

Überspringen Sie in diesem Beispiel die anderen Aktionstypen. Wählen Sie Weiter.

Geben Sie auf der Seite Name und Beschreibung hinzufügen einen Anzeigenamen für den Alarm und eine Beschreibung ein. Geben Sie in diesem Beispiel Console sign-in failures für den Namen und Raises alarms if more than 3 console sign-in failures occur in 5 minutes für die Beschreibung ein. Wählen Sie Weiter aus.

Überprüfen Sie auf der Seite Vorschau anzeigen und erstellen Ihre Auswahl. Wählen Sie Bearbeiten, um Änderungen vorzunehmen, oder wählen Sie Alarm erstellen, um den Alarm zu erstellen.

Nachdem Sie den Alarm erstellt haben, CloudWatch wird die Seite Alarme geöffnet. In der Spalte Aktionen des Alarms wird die Meldung Ausstehende Bestätigung angezeigt, bis alle E-Mail-Empfänger SNS zum Thema bestätigt haben, dass sie SNS Benachrichtigungen abonnieren möchten.

Öffnen Sie die CloudWatch Konsole unter https://console.aws.amazon.com/cloudwatch/.

Wählen Sie im Navigationsbereich Protokolle aus.

Wählen Sie in der Liste von Protokollgruppen die Protokollgruppe aus, die Sie für Ihren Trail erstellt haben.

Wählen Sie Aktionen und dann Metrikfilter erstellen.

Geben Sie auf der Seite Muster definieren unter Filtermuster erstellen Folgendes für Filtermuster ein.

{($.eventName=DeleteGroupPolicy)||($.eventName=DeleteRolePolicy)||($.eventName=DeleteUserPolicy)||($.eventName=PutGroupPolicy)||($.eventName=PutRolePolicy)||($.eventName=PutUserPolicy)||($.eventName=CreatePolicy)||($.eventName=DeletePolicy)||($.eventName=CreatePolicyVersion)||($.eventName=DeletePolicyVersion)||($.eventName=AttachRolePolicy)||($.eventName=DetachRolePolicy)||($.eventName=AttachUserPolicy)||($.eventName=DetachUserPolicy)||($.eventName=AttachGroupPolicy)||($.eventName=DetachGroupPolicy)}

Behalten Sie in Testmuster die Standardeinstellungen bei. Wählen Sie Weiter aus.

Geben Sie auf der Seite Metrik zuweisen für Filtername den Wert IAMPolicyChanges ein.

Aktivieren Sie unter Metrikdetails die Option Neu erstellen und geben Sie dann für Namespace der Metrik den Wert CloudTrailMetrics ein.

Geben Sie für Metrikname den Wert IAMPolicyEventCount ein.

Geben Sie für Metrikwert den Wert 1 ein.

Lassen Sie den Standardwert leer.

Wählen Sie Weiter aus.

Überprüfen Sie auf der Seite Prüfen und erstellen Ihre Auswahl. Wählen Sie Metrikfilter erstellen, um den Filter zu erstellen, oder wählen Sie Bearbeiten, um zurückzugehen und Werte zu ändern.

Suchen Sie auf der Registerkarte Metrikfilter den in Einen Metrikfilter erstellen erstellten Metrikfilter. Aktivieren Sie das Kontrollkästchen für den Metrikfilter. Wählen Sie in der Leiste Metrikfilter die Option Alarm erstellen aus.

Geben Sie auf der Seite Alarm erstellen unter Metrik und Bedingungen angeben Folgendes ein.

1. Bei Diagramm, wird die Linie basierend auf anderen Einstellungen, die Sie beim Erstellen Ihres Alarms vornehmen, auf 1 gesetzt.

2. Behalten Sie für Metrikname den aktuellen Metriknamen IAMPolicyEventCount bei.

3. Behalten Sie für Statistik den Standardwert Sum bei.

4. Behalten Sie für Zeitraum den Standardwert 5 minutes bei.

5. Wählen Sie unter Bedingungen unter Schwellenwerttyp die Option Statisch aus.

6. Für wann auch immer metric_name ist, wählen Sie Größer/Gleich.

7. Geben Sie als Schwellenwert 1 ein.

8. Übernehmen Sie unter Zusätzliche Konfiguration die Standardeinstellungen. Wählen Sie Weiter aus.

Wählen Sie auf der Seite Aktionen konfigurieren für Benachrichtigung die Option Bei Alarm aus. Dies bedeutet, dass die Aktion ausgeführt wird, wenn der Schwellenwert von 1 Änderungsereignis innerhalb von 5 Minuten überschritten wird und sich im IAMPolicyEventCountAlarmzustand befindet.

1. Wählen Sie für Eine Benachrichtigung zum folgenden SNS Thema senden die Option Neues Thema erstellen aus.

2. Geben Sie IAM_Policy_Changes_CloudWatch_Alarms_Topic den Namen für das neue SNS Amazon-Thema ein.

3. Geben Sie unter E-Mail-Endpunkte, die die Benachrichtigung erhalten, die E-Mail-Adressen der Benutzer ein, die Benachrichtigungen erhalten sollen, wenn dieser Alarm ausgelöst wird. Trennen Sie E-Mail-Adressen durch Kommas.

   Jeder E-Mail-Empfänger erhält eine E-Mail, in der er aufgefordert wird, zu bestätigen, dass er das SNS Amazon-Thema abonnieren möchte.

4. Wählen Sie Thema erstellen aus.

Überspringen Sie in diesem Beispiel die anderen Aktionstypen. Wählen Sie Weiter.

Geben Sie auf der Seite Name und Beschreibung hinzufügen einen Anzeigenamen für den Alarm und eine Beschreibung ein. Geben Sie in diesem Beispiel IAM Policy Changes für den Namen und Raises alarms if IAM policy changes occur für die Beschreibung ein. Wählen Sie Weiter aus.

Überprüfen Sie auf der Seite Vorschau anzeigen und erstellen Ihre Auswahl. Wählen Sie Bearbeiten, um Änderungen vorzunehmen, oder wählen Sie Alarm erstellen, um den Alarm zu erstellen.

Nachdem Sie den Alarm erstellt haben, CloudWatch wird die Seite Alarme geöffnet. In der Spalte Aktionen des Alarms wird die Meldung Ausstehende Bestätigung angezeigt, bis alle E-Mail-Empfänger SNS zum Thema bestätigt haben, dass sie SNS Benachrichtigungen abonnieren möchten.