Création d' CloudWatch alarmes pour CloudTrail des événements : exemples

Ouvrez la CloudWatch console à l'adresse https://console.aws.amazon.com/cloudwatch/.

Dans le panneau de navigation de gauche, choisissez Journaux, Groupes de journaux.

Dans la liste des groupes de journaux, sélectionnez le groupe de journaux que vous avez créé pour votre journal de suivi.

Dans le menu Filtres métriques ou Actions, sélectionnez Créer un filtre de métrique.

Dans la page Define pattern (Définir un modèle), dans Create filter pattern (Créer un modèle de filtre), saisissez ce qui suit pour Filter pattern (Modèle de filtre).

{ ($.eventName = AuthorizeSecurityGroupIngress) || ($.eventName = AuthorizeSecurityGroupEgress) || ($.eventName = RevokeSecurityGroupIngress) || ($.eventName = RevokeSecurityGroupEgress) || ($.eventName = CreateSecurityGroup) || ($.eventName = DeleteSecurityGroup) }

Dans Test pattern (Modèle de test), laissez les valeurs par défaut. Choisissez Next (Suivant).

Dans la page Attribuer une métrique, sous Nom de filtre, saisissez SecurityGroupEvents.

Dans Détails de la métrique, activez Créer un nouveau, puis saisissez CloudTrailMetrics pour Espace de noms de métrique.

Dans Nom de la métrique, saisissez SecurityGroupEventCount.

Dans Valeur de métriques, saisissez 1.

Laissez la Valeur par défaut vide.

Choisissez Next Suivant.

Sur la page Review and create (Vérifier et créer), vérifiez vos choix. Choisissez Create metric filter (Créer un filtre de métriques) pour créer le filtre, ou choisissez Edit (Modifier) pour revenir en arrière et modifier les valeurs.

Dans la page Metric filters (Filtres de métriques), recherchez le filtre de mesure que vous avez créé dans Créer un filtre de métrique. Remplissez la case pour le filtre de métrique. Dans Metric filters (Filtres de métriques), choisissez Create alarm (Créer une alarme).

Pour Spécifier la métrique et les conditions, saisissez ce qui suit.

1. Pour Graph (Graphe), la ligne est définie sur 1 en fonction des autres paramètres que vous effectuez lorsque vous créez votre alarme.

2. Pour Metric name (Nom de la métrique), conservez le nom de la métrique actuelle, SecurityGroupEventCount.

3. Pour Statistic (Statistique), conservez la valeur par défaut, Sum.

4. Pour Period (Période), conservez la valeur par défaut, 5 minutes.

5. Dans la section Conditions sous Threshold type (Type de seuil), choisissez Static (Statique).

6. Pour n'importe quel moment metric_name c'est à dire, choisissez Greater/Equal.

7. Pour la valeur du seuil, saisissez 1.

8. Dans Additional configuration (Configuration supplémentaire), laissez les valeurs par défaut. Choisissez Next (Suivant).

Sur la page Configurer les actions, choisissez Notification, puis sélectionnez En alarme, ce qui indique que l'action est entreprise lorsque le seuil d'un événement de changement en 5 minutes est dépassé et qu'elle SecurityGroupEventCountest en état d'alarme.

1. Pour Envoyer une notification à la SNS rubrique suivante, choisissez Créer une nouvelle rubrique.

2. Entrez SecurityGroupChanges_CloudWatch_Alarms_Topic le nom du nouveau SNS sujet Amazon.

3. Dans Points de terminaison d'e-mail qui reçoivent la notification, saisissez les adresses e-mail des utilisateurs que vous souhaitez recevoir des notifications si cette alarme est déclenchée. Séparez les adresses e-mail par des virgules.

   Chaque destinataire de l'e-mail recevra un e-mail lui demandant de confirmer qu'il souhaite s'abonner au SNS sujet Amazon.

4. Choisissez Create topic (Créer une rubrique).

Dans cet exemple, ignorez les autres types d'action. Choisissez Next (Suivant).

Dans la page Add name and description (Ajouter le nom et la description), saisissez un nom convivial pour l'alarme et une description. Pour cet exemple, saisissez Security group configuration changes pour le nom, puis Raises alarms if security group configuration changes occur pour la description. Choisissez Next (Suivant).

Dans la page Preview and create (Prévisualiser et créer), vérifiez vos choix. Choisissez Edit (Modifier) pour effectuer des modifications, ou choisissez Create alarm (Créer une alarme) pour créer l'alarme.

Après avoir créé l'alarme, CloudWatch ouvre la page Alarmes. La colonne Actions de l'alarme indique En attente de confirmation jusqu'à ce que tous les destinataires du message électronique sur le SNS sujet aient confirmé qu'ils souhaitent s'abonner aux SNS notifications.

Ouvrez la CloudWatch console à l'adresse https://console.aws.amazon.com/cloudwatch/.

Dans le panneau de navigation de gauche, choisissez Journaux, Groupes de journaux.

Dans la liste des groupes de journaux, sélectionnez le groupe de journaux que vous avez créé pour votre journal de suivi.

Dans le menu Filtres métriques ou Actions, sélectionnez Créer un filtre de métrique.

Dans la page Define pattern (Définir un modèle), dans Create filter pattern (Créer un modèle de filtre), saisissez ce qui suit pour Filter pattern (Modèle de filtre).

{ ($.eventName = ConsoleLogin) && ($.errorMessage = "Failed authentication") }

Dans Test pattern (Modèle de test), laissez les valeurs par défaut. Choisissez Next (Suivant).

Dans la page Attribuer une métrique, sous Nom de filtre, saisissez ConsoleSignInFailures.

Dans Détails de la métrique, activez Créer un nouveau, puis saisissez CloudTrailMetrics pour Espace de noms de métrique.

Dans Nom de la métrique, saisissez ConsoleSigninFailureCount.

Dans Valeur de métriques, saisissez 1.

Laissez la Valeur par défaut vide.

Choisissez Next Suivant.

Sur la page Review and create (Vérifier et créer), vérifiez vos choix. Choisissez Create metric filter (Créer un filtre de métriques) pour créer le filtre, ou choisissez Edit (Modifier) pour revenir en arrière et modifier les valeurs.

Dans la page Metric filters (Filtres de métriques), recherchez le filtre de mesure que vous avez créé dans Créer un filtre de métrique. Remplissez la case pour le filtre de métrique. Dans Metric filters (Filtres de métriques), choisissez Create alarm (Créer une alarme).

Dans la page Create alarm (Créer une alarme), dans Specify metric and conditions (Spécifier la métrique et les conditions), saisissez ce qui suit.

1. Pour Graph (Graphe), la ligne est définie sur 3 en fonction des autres paramètres que vous effectuez lorsque vous créez votre alarme.

2. Pour Metric name (Nom de la métrique), conservez le nom de la métrique actuelle, ConsoleSigninFailureCount.

3. Pour Statistic (Statistique), conservez la valeur par défaut, Sum.

4. Pour Period (Période), conservez la valeur par défaut, 5 minutes.

5. Dans la section Conditions sous Threshold type (Type de seuil), choisissez Static (Statique).

6. Pour n'importe quel moment metric_name c'est à dire, choisissez Greater/Equal.

7. Pour la valeur du seuil, saisissez 3.

8. Dans Additional configuration (Configuration supplémentaire), laissez les valeurs par défaut. Choisissez Next (Suivant).

Sur la page Configurer les actions, pour Notification, choisissez En alarme, ce qui indique que l'action est entreprise lorsque le seuil de 3 événements de changement en 5 minutes est dépassé et qu'elle ConsoleSigninFailureCountest en état d'alarme.

1. Pour Envoyer une notification à la SNS rubrique suivante, choisissez Créer une nouvelle rubrique.

2. Entrez ConsoleSignInFailures_CloudWatch_Alarms_Topic le nom du nouveau SNS sujet Amazon.

3. Dans Points de terminaison d'e-mail qui reçoivent la notification, saisissez les adresses e-mail des utilisateurs que vous souhaitez recevoir des notifications si cette alarme est déclenchée. Séparez les adresses e-mail par des virgules.

   Chaque destinataire de l'e-mail recevra un e-mail lui demandant de confirmer qu'il souhaite s'abonner au SNS sujet Amazon.

4. Choisissez Create topic (Créer une rubrique).

Dans cet exemple, ignorez les autres types d'action. Choisissez Next (Suivant).

Dans la page Add name and description (Ajouter le nom et la description), saisissez un nom convivial pour l'alarme et une description. Pour cet exemple, saisissez Console sign-in failures pour le nom, puis Raises alarms if more than 3 console sign-in failures occur in 5 minutes pour la description. Choisissez Next (Suivant).

Dans la page Preview and create (Prévisualiser et créer), vérifiez vos choix. Choisissez Edit (Modifier) pour effectuer des modifications, ou choisissez Create alarm (Créer une alarme) pour créer l'alarme.

Après avoir créé l'alarme, CloudWatch ouvre la page Alarmes. La colonne Actions de l'alarme indique En attente de confirmation jusqu'à ce que tous les destinataires du message électronique sur le SNS sujet aient confirmé qu'ils souhaitent s'abonner aux SNS notifications.

Ouvrez la CloudWatch console à l'adresse https://console.aws.amazon.com/cloudwatch/.

Dans le panneau de navigation, sélectionnez Logs (Journaux).

Dans la liste des groupes de journaux, sélectionnez le groupe de journaux que vous avez créé pour votre journal de suivi.

Choisissez Actions, puis Create metric filter (Créer un filtre de métrique).

Dans la page Define pattern (Définir un modèle), dans Create filter pattern (Créer un modèle de filtre), saisissez ce qui suit pour Filter pattern (Modèle de filtre).

{($.eventName=DeleteGroupPolicy)||($.eventName=DeleteRolePolicy)||($.eventName=DeleteUserPolicy)||($.eventName=PutGroupPolicy)||($.eventName=PutRolePolicy)||($.eventName=PutUserPolicy)||($.eventName=CreatePolicy)||($.eventName=DeletePolicy)||($.eventName=CreatePolicyVersion)||($.eventName=DeletePolicyVersion)||($.eventName=AttachRolePolicy)||($.eventName=DetachRolePolicy)||($.eventName=AttachUserPolicy)||($.eventName=DetachUserPolicy)||($.eventName=AttachGroupPolicy)||($.eventName=DetachGroupPolicy)}

Dans Test pattern (Modèle de test), laissez les valeurs par défaut. Choisissez Next (Suivant).

Dans la page Attribuer une métrique, sous Nom de filtre, saisissez IAMPolicyChanges.

Dans Détails de la métrique, activez Créer un nouveau, puis saisissez CloudTrailMetrics pour Espace de noms de métrique.

Dans Nom de la métrique, saisissez IAMPolicyEventCount.

Dans Valeur de métriques, saisissez 1.

Laissez la Valeur par défaut vide.

Choisissez Next Suivant.

Sur la page Review and create (Vérifier et créer), vérifiez vos choix. Choisissez Create metric filter (Créer un filtre de métriques) pour créer le filtre, ou choisissez Edit (Modifier) pour revenir en arrière et modifier les valeurs.

Dans la page Metric filters (Filtres de métriques), recherchez le filtre de mesure que vous avez créé dans Créer un filtre de métrique. Remplissez la case pour le filtre de métrique. Dans Metric filters (Filtres de métriques), choisissez Create alarm (Créer une alarme).

Dans la page Create alarm (Créer une alarme), dans Specify metric and conditions (Spécifier la métrique et les conditions), saisissez ce qui suit.

1. Pour Graph (Graphe), la ligne est définie sur 1 en fonction des autres paramètres que vous effectuez lorsque vous créez votre alarme.

2. Pour Metric name (Nom de la métrique), conservez le nom de la métrique actuelle, IAMPolicyEventCount.

3. Pour Statistic (Statistique), conservez la valeur par défaut, Sum.

4. Pour Period (Période), conservez la valeur par défaut, 5 minutes.

5. Dans la section Conditions sous Threshold type (Type de seuil), choisissez Static (Statique).

6. Pour n'importe quel moment metric_name c'est à dire, choisissez Greater/Equal.

7. Pour la valeur du seuil, saisissez 1.

8. Dans Additional configuration (Configuration supplémentaire), laissez les valeurs par défaut. Choisissez Next (Suivant).

Sur la page Configurer les actions, pour Notification, choisissez En alarme, ce qui indique que l'action est entreprise lorsque le seuil d'un événement de changement en 5 minutes est dépassé et qu'elle IAMPolicyEventCountest en état d'alarme.

1. Pour Envoyer une notification à la SNS rubrique suivante, choisissez Créer une nouvelle rubrique.

2. Entrez IAM_Policy_Changes_CloudWatch_Alarms_Topic le nom du nouveau SNS sujet Amazon.

3. Dans Points de terminaison d'e-mail qui reçoivent la notification, saisissez les adresses e-mail des utilisateurs que vous souhaitez recevoir des notifications si cette alarme est déclenchée. Séparez les adresses e-mail par des virgules.

   Chaque destinataire de l'e-mail recevra un e-mail lui demandant de confirmer qu'il souhaite s'abonner au SNS sujet Amazon.

4. Choisissez Create topic (Créer une rubrique).

Dans cet exemple, ignorez les autres types d'action. Choisissez Next (Suivant).

Dans la page Add name and description (Ajouter le nom et la description), saisissez un nom convivial pour l'alarme et une description. Pour cet exemple, saisissez IAM Policy Changes pour le nom, puis Raises alarms if IAM policy changes occur pour la description. Choisissez Next (Suivant).

Dans la page Preview and create (Prévisualiser et créer), vérifiez vos choix. Choisissez Edit (Modifier) pour effectuer des modifications, ou choisissez Create alarm (Créer une alarme) pour créer l'alarme.

Après avoir créé l'alarme, CloudWatch ouvre la page Alarmes. La colonne Actions de l'alarme indique En attente de confirmation jusqu'à ce que tous les destinataires du message électronique sur le SNS sujet aient confirmé qu'ils souhaitent s'abonner aux SNS notifications.