Insights-Ereignisse für Trails mit der Konsole anzeigen

So zeigen Sie Insights-Ereignisse an

1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die CloudTrail Konsole unter https://console.aws.amazon.com/cloudtrail/home/.

2. Wählen Sie im Navigationsbereich Insights aus, um alle Insights-Ereignisse anzuzeigen, die in den letzten 90 Tagen in Ihrem Konto protokolliert wurden. Sie können die fünf letzten Insights-Ereignisse auch auf der Seite „Dashboards“ einsehen.

3. Auf der Seite „Einblicke“ können Sie entweder die Registerkarte „Einblicke für Verwaltungsereignisse“ oder „Einblicke für Datenereignisse“ auswählen

4. Sie können Insights-Ereignisse nach Ereignisquelle, Eventname oder Event-ID filtern. Weitere Informationen zum Filtern von Insights-Ereignissen erhalten Sie unter Filtern von Insights-Ereignissen.

5. Sie können die Liste weiter auf einen relativen oder absoluten Bereich einschränken.

So filtern Sie nach einem Attribut

1. Um die Ergebnisse nach einem Attribut zu filtern, wählen Sie ein Suchattribut aus dem Dropdownmenü aus, und geben Sie dann einen Wert in das Feld Suchwert eingeben ein, oder wählen Sie einen Wert aus.

2. Um einen Attributfilter zu entfernen, klicken Sie auf das X rechts vom Feld für den Attributfilter.

Nach einem Start- und Enddatum und Uhrzeit filtern

1. Wählen Sie im Feld Nach Datum und Uhrzeit filtern eine der folgenden Optionen aus:

   • Absoluter Bereich — Ermöglicht die Auswahl einer bestimmten Uhrzeit. Fahren Sie mit dem nächsten Schritt fort.

   • Relativer Bereich — Standardmäßig ausgewählt. Hier können Sie einen Zeitraum relativ zur Startzeit eines Insights-Ereignisses auswählen. Fahren Sie mit Schritt 3 fort.

2. Gehen Sie wie folgt vor, um einen absoluten Bereich festzulegen.

   1. Wählen Sie den Tag aus, an dem der Zeitraum beginnen soll. Geben Sie eine Startzeit am ausgewählten Tag ein. Um ein Datum manuell einzugeben, geben Sie das Datum im Format yyyy/mm/dd ein. Die Start- und Endzeiten verwenden ein 24-Stunden-Format und die Werte müssen das Format hh:mm:ss haben. Um beispielsweise eine Startzeit von 18.30 Uhr anzugeben, geben Sie 18:30:00 ein.

   2. Wählen Sie ein Enddatum für den Bereich im Kalender aus oder geben Sie ein Enddatum und eine Endzeit unterhalb des Kalenders an. Wählen Sie Anwenden aus.

3. Gehen Sie wie folgt vor, um einen relativen Bereich festzulegen.

   1. Wählen Sie einen voreingestellten Zeitraum relativ zur Startzeit von Insights-Ereignissen. Zu den voreingestellten Zeitbereichen gehören 30 Minuten, 1 Stunde, 12 Stunden oder 1 Tag. Um einen benutzerdefinierten Zeitraum anzugeben, wählen Sie Benutzerdefiniert aus.

   2. Wenn Sie die gewünschte relative Zeit eingestellt haben, wählen Sie Anwenden.

4. Um einen Zeitbereichsfilter zu entfernen, wählen Sie das Kalendersymbol rechts neben dem Feld Nach Datum und Uhrzeit filtern aus, und klicken Sie dann auf Löschen und schließen.

1. Wählen Sie ein Insights-Ereignis in der Ergebnisliste aus, um die Details dazu anzuzeigen. Auf der Seite mit den Details eines Insights-Ereignisses wird ein Diagramm mit der Zeitachse der ungewöhnlichen Aktivitäten angezeigt.

   

2. Bewegen Sie den Mauszeiger über die hervorgehobenen Bänder, um die Startzeit und Dauer jedes Insights-Ereignisses im Diagramm anzuzeigen.

   

   Die folgenden Informationen werden im Bereich Zusätzliche Informationen des Diagramms angezeigt:

   • Insight-Typ. Dies kann API-Aufrufrate oder API-Fehlerrate sein.

   • Auslöser. Dies ist ein Link zur Registerkarte Cloudtrail-Ereignisse, auf der die Management- oder Datenereignisse aufgeführt sind, die analysiert wurden, um festzustellen, dass ungewöhnliche Aktivitäten aufgetreten sind.

   • API-Aufrufe pro Minute oder Fehler pro Minute

     • Baseline-Durchschnitt – Die typische Rate von Vorkommen pro Minute für diese API, für die das Insights-Ereignis protokolliert wurde, gemessen in ungefähr den letzten sieben Tagen in einer bestimmten Region in Ihrem Konto.

     • Insight-Durchschnitt: Die Rate der Vorkommen pro Minute für diese API, von der das Insights-Ereignis ausgelöst wurde. Der CloudTrail Insights-Durchschnitt für das Startereignis ist die Rate der Aufrufe oder Fehler pro Minute in der API, die das Insights-Ereignis ausgelöst hat. In der Regel ist dies die erste Minute ungewöhnlicher Aktivitäten. Der Insights-Durchschnitt für das Endereignis ist die Rate von API-Aufrufen oder -Fehlern pro Minute für die Dauer der ungewöhnlichen Aktivitäten zwischen dem Insights-Start- und -Endereignis.

   • Ereignisquelle. Der AWS Dienstendpunkt, an dem die ungewöhnliche Anzahl von API-Aufrufen oder Fehlern protokolliert wurde. Im vorherigen Image ist die Quelle ec2.amazonaws.com, der Service-Endpunkt für Amazon EC2.

   • Startereignis-ID – Die ID des Insights-Ereignisses, das zu Beginn der ungewöhnlichen Aktivitäten protokolliert wurde.

   • Endereignis-ID – Die ID des Insights-Ereignisses, das am Ende der ungewöhnlichen Aktivitäten protokolliert wurde.

   • Gemeinsame Ereignis-ID — Bei Insights-Ereignissen ist die gemeinsame Event-ID eine GUID, die von CloudTrail Insights generiert wird, um ein Start- und Endpaar von Insights-Ereignissen eindeutig zu identifizieren. Die Gemeinsame Ereignis-ID ist für das Insights-Start- und -Endereignis gleich und dient zum Erstellen einer Korrelation zwischen den beiden Ereignissen, um ungewöhnliche Aktivitäten eindeutig identifizieren zu können.

3. Wählen Sie den Tab „Attributionen“, um Informationen zu Benutzeridentitäten, Benutzeragenten, Ressourcen-ARNs und Insights-Ereignissen mit API-Aufrufrate sowie Fehlercodes anzuzeigen, die mit ungewöhnlichen und grundlegenden Aktivitäten korrelieren. In den Tabellen auf der Registerkarte „Attributionen“ werden maximal fünf Benutzeridentitäten, fünf Benutzeragenten, fünf Ressourcen-ARNs und fünf Fehlercodes angezeigt, sortiert nach dem Durchschnitt der Anzahl der Aktivitäten, in absteigender Reihenfolge vom höchsten zum niedrigsten Wert. Die Ressourcen-ARN-Attribution ist nur für Insights-Ereignisse auf Datenereignissen verfügbar.

4. Sehen Sie sich auf der Registerkarte CloudTrail Ereignisse verwandte Ereignisse an, die CloudTrail analysiert wurden, um festzustellen, dass ungewöhnliche Aktivitäten aufgetreten sind. Standardmäßig wird bereits ein Filter für den Namen des Insights-Ereignisses angewendet. Dies ist auch der Name der zugehörigen API. Auf der Registerkarte „CloudTrail Ereignisse“ werden CloudTrail Verwaltungs- oder Datenereignisse im Zusammenhang mit der Betreff-API angezeigt, die zwischen der Startzeit (minus eine Minute) und der Endzeit (plus eine Minute) des Insights-Ereignisses eingetreten sind.

   Wenn Sie andere Insights-Ereignisse im Diagramm auswählen, ändern sich die in der CloudTrail Ereignistabelle angezeigten Ereignisse. Mit diesen Ereignissen können Sie eine eingehendere Analyse durchführen, um die wahrscheinliche Ursache eines Insights-Ereignisses und die Gründe für die ungewöhnlichen API-Aktivitäten zu ermitteln.

   Um alle CloudTrail Ereignisse anzuzeigen, die während der Dauer des Insights-Ereignisses protokolliert wurden, und nicht nur die für die zugehörige API, deaktivieren Sie den Filter.

5. Wählen Sie die Registerkarte Insights-Ereignisdatensatz, um die Insights-Start- und Endereignisse im JSON-Format anzuzeigen.

6. Wenn Sie die verknüpfte Ereignisquelle auswählen, kehren Sie zur Seite Insights zurück, die nach dieser Ereignisquelle gefiltert ist.

1. Geben Sie den Filter und Zeitraum für die Ereignisse an, die Sie herunterladen möchten. Sie können beispielsweise den Namen des Ereignisses und einen Zeitraum für die letzten 12 Stunden der Aktivität angeben. StartInstances

2. Wählen Sie Download events (Ereignisse herunterladen) und dann Download CSV (CSV herunterladen) oder Download JSON (JSON herunterladen) aus. Sie werden aufgefordert, einen Speicherort für die Datei auszuwählen.

   Anmerkung

   Ihr Download kann einige Zeit in Anspruch nehmen. Verwenden Sie für schnellere Ergebnisse einen detaillierteren Filter oder einen kürzeren Zeitbereich, um die Ergebnisse einzuschränken, bevor Sie den Download-Vorgang starten.

3. Wenn der Download abgeschlossen ist, öffnen Sie die Datei, um die Ereignisse anzuzeigen, die Sie angegeben haben.

4. Um den Download abzubrechen, wählen Sie Abbrechen. Wenn Sie einen Download abbrechen, bevor er abgeschlossen ist, enthält eine CSV- oder JSON-Datei auf Ihrem lokalen Computer möglicherweise nur einen Teil Ihrer Ereignisse.