Visualización de eventos de CloudTrail Insights para senderos con la consola

Para ver eventos de Insights

CloudTrail Los eventos de Insights deben estar habilitados en su ruta para poder ver los eventos de Insights en la consola. Si se detecta una actividad inusual, espere hasta 36 horas para CloudTrail que se entreguen los primeros eventos de Insights.

1. Inicie sesión en la CloudTrail consola AWS Management Console y ábrala en https://console.aws.amazon.com/cloudtrail/casa/.

2. En el panel de navegación, elija Dashboard (Panel) para ver los cinco eventos de Insights más recientes o Insights a fin de ver todos los eventos de Insights registrados en su cuenta en los últimos 90 días.

   En la página de Insights, puede filtrar los eventos de Insights por criterios, como la API fuente, el nombre y el ID del evento, y limitar los eventos que se muestran a los que tienen lugar dentro de un intervalo de tiempo específico. Para obtener más información sobre el filtrado de eventos de Insights, consulte Filtrado de eventos de Insights.

Para filtrar por atributo

1. Para filtrar los resultados por atributo, elija un atributo de búsqueda en el menú desplegable y, a continuación, escriba o elija un valor en el cuadro Enter a lookup value (Ingresar un valor de búsqueda).

2. Para eliminar un filtro de atributo, elija la X situada a la derecha del cuadro de filtro de atributo.

Para filtrar por una fecha y hora de inicio y finalización

1. Para reducir el intervalo de tiempo de los eventos que desea ver, seleccione un intervalo de tiempo en la barra de intervalo de tiempo en la parte superior de la tabla. Los intervalos de tiempo preestablecidos incluyen 30 minutos, 1 hora, 3 horas o 12 horas. Para especificar un intervalo de tiempo personalizado, elija Custom (Personalizado).

2. Elija una de las siguientes pestañas:

   • Absolute (Absoluto): permite elegir una hora específica. Continúe con el paso siguiente.

   • Relative to selected event (Relativo al evento seleccionado): seleccionada de forma predeterminada. Permite elegir un periodo de tiempo relativo a la hora de inicio de un evento de Insights. Continúe con el paso 4.

3. Para establecer un rango de tiempo Absolute (Absoluto), haga lo siguiente.

   1. En la pestaña Absolute (Absoluto), elija el día en el que desea que comience el intervalo de tiempo. Ingrese una hora de inicio en el día seleccionado. Para ingresar una fecha de forma manual, escriba la fecha con el formato yyyy/mm/dd. Las horas de inicio y finalización siguen el formato de 24 horas y los valores deben tener el formato hh:mm:ss. Por ejemplo, para que la hora de inicio sea a las 6:30 p. m., ingrese 18:30:00.

   2. Elija una fecha de finalización para el intervalo en el calendario o especifique una fecha y hora de finalización debajo del calendario. Seleccione Apply.

4. Para establecer un intervalo de tiempo Relative to selected event (Relativo al evento seleccionado), haga lo siguiente.

   1. Elija un periodo de tiempo predefinido relativo a la hora de inicio de los eventos de Insights. Los valores predefinidos se encuentran disponibles en minutos, horas, días o semanas. El periodo de tiempo relativo máximo es de 12 semanas.

   2. Si es necesario, personalice el valor predefinido en los cuadros situados debajo de los ajustes predefinidos. Elija Clear (Borrar) para restablecer los cambios si es necesario. Cuando haya establecido la hora relativa que desea, elija Apply (Aplicar).

5. En To (Hasta), elija el día y especifique la hora a la que desea que termine el intervalo de tiempo. Seleccione Apply.

6. Para eliminar un filtro de intervalo de tiempo, elija el icono de calendario situado a la derecha del cuadro Time range (Intervalo de tiempo) y, a continuación, elija Remove (Eliminar).

1. Elija un evento de Insights de la lista de resultados para mostrar sus detalles. La página de detalles de un evento de Insights muestra un gráfico de la línea de tiempo de la actividad inusual.

   

2. Coloque el cursor sobre las bandas resaltadas para mostrar la hora de inicio y duración de cada evento de Insights en el gráfico.

   

   La siguiente información se muestra en el área Información adicional del gráfico:

   • Insight type (Tipo de información). Puede ser la tasa de API llamadas o la tasa de API errores.

   • Desencadenador. Este es un enlace a la pestaña Cloudtrail events (Eventos de Cloudtrail), que presenta los eventos de administración que se analizaron para determinar que se produjo una actividad inusual.

   • APIllamadas por minuto

     • Media de referencia: tasa típica de ocurrencias por minuto durante API la cual se registró el evento de Insights, medida aproximadamente en los siete días anteriores, en una región específica de su cuenta.

     • Promedio de Insights: la tasa de ocurrencias por minuto API que desencadenó el evento de Insights. El promedio de CloudTrail Insights para el evento de inicio es la tasa de llamadas o errores por minuto API que desencadenaron el evento de Insights. Por lo general, este es el primer minuto de actividad inusual. El promedio de Insights para el evento final es la tasa de API llamadas o errores por minuto durante la duración de la actividad inusual, entre el evento de inicio y el evento de Insights final.

   • Fuente del evento. El punto final del AWS servicio en el que se registró el número inusual de API llamadas o errores. En la imagen anterior, la fuente es ec2.amazonaws.com el punto de enlace del servicio de AmazonEC2.

   • Evento IDs.

     • Start event ID (ID de evento de inicio): el ID del evento de Insights que registró al principio de una actividad inusual.

     • End event ID (ID de evento de finalización): ID del evento Insights que se registró al final de una actividad inusual.

     • ID de evento compartido: en los eventos de Insights, el ID de evento compartido es un GUID identificador generado por CloudTrail Insights para identificar de forma exclusiva un par de eventos de Insights de inicio y finalización. Shared event ID (ID de evento compartido) es igual en los eventos de inicio y finalización de Insights, y ayuda a relacionar ambos eventos para identificar de forma inequívoca la actividad inusual.

3. Seleccione la pestaña Atribuciones para ver información sobre las identidades de los usuarios, los agentes de usuario y los eventos de Insights sobre la frecuencia de API llamadas, los códigos de error relacionados con una actividad inusual y de referencia. Se muestra un máximo de cinco identidades de usuario, cinco agentes de usuario y cinco códigos de error en las tablas de la pestaña Attributions (Atribuciones), ordenado por un promedio del recuento de la actividad, en orden descendente de mayor a menor.

4. En la pestaña de CloudTrail eventos, consulta los eventos relacionados que CloudTrail se analizaron para determinar si se produjo una actividad inusual. De forma predeterminada, ya se ha aplicado un filtro para el nombre del evento de Insights, que también es el nombre del evento relacionadoAPI. La pestaña de CloudTrail eventos muestra los eventos de CloudTrail gestión relacionados con el tema API que se produjeron entre la hora de inicio (menos un minuto) y la hora de finalización (más un minuto) del evento de Insights.

   A medida que selecciona otros eventos de Insights en el gráfico, los eventos que se muestran en la tabla de CloudTrail eventos cambian. Estos eventos le ayudan a realizar un análisis más profundo para determinar la causa probable de un evento de Insights y los motivos de una API actividad inusual.

   Para mostrar todos los CloudTrail eventos que se registraron durante la duración del evento de Insights, y no solo los relacionadosAPI, desactive el filtro.

5. Seleccione la pestaña de registro de eventos de Insights para ver el JSON formato de los eventos de inicio y finalización de Insights.

6. Al elegir el enlace Event source (Origen de eventos), se lo redirige a la página Insights filtrada por ese origen de eventos.

1. Especifique el filtro y el intervalo de tiempo de los eventos que desee descargar. Por ejemplo, puede especificar el nombre del evento, StartInstances, y un intervalo de tiempo de los tres últimos días de actividad.

2. Selecciona Descargar eventos y, a continuación, selecciona Descargar CSV o Descargar JSON. Se le pedirá que elija una ubicación para guardar el archivo.

   nota

   La descarga podría tardar un tiempo en terminar. Antes de iniciar el proceso de descarga, y para obtener resultados más rápidos, utilice un filtro más específico o un intervalo de tiempo más breve para limitar los resultados.

3. Cuando haya finalizado la descarga, abra el archivo para ver los eventos que ha especificado.

4. Para cancelar la descarga, elija Cancel download (Cancelar descarga). Si cancelas una descarga antes de que finalice, es posible que un JSON archivo CSV o archivo de tu ordenador local contenga solo una parte de los eventos.