Afficher CloudTrail les événements Insights pour les sentiers avec la console

Pour afficher les événements Insights

CloudTrail Les événements Insights doivent être activés sur votre parcours pour voir les événements Insights dans la console. Prévoyez jusqu'à 36 heures CloudTrail pour diffuser les premiers événements Insights, si une activité inhabituelle est détectée.

1. Connectez-vous à la CloudTrail console AWS Management Console et ouvrez-la à la https://console.aws.amazon.com/cloudtrail/maison/.

2. Dans le volet de navigation, choisissez Dashboard (Tableau de bord) pour voir les cinq événements Insights les plus récents ou Insights pour voir tous les événements Insights journalisés dans votre compte au cours des 90 derniers jours.

   Sur la page Insights, vous pouvez filtrer les événements Insights en fonction de critères tels que la API source de l'événement, le nom de l'événement et l'ID de l'événement, et limiter les événements affichés à ceux qui se produisent dans un intervalle de temps spécifique. Pour plus d'informations sur le filtrage des événements Insights, consultez Filtrage des événements Insights.

Pour filtrer par attribut

1. Pour filtrer les résultats selon un attribut, sélectionnez Rechercher un attribut dans le menu déroulant, puis tapez ou sélectionnez une valeur dans la zone Enter a lookup value (Saisir la valeur à rechercher).

2. Pour supprimer un filtre d'attributs, cliquez sur la croix à droite de la zone de filtre d'attributs.

Pour filtrer selon une date et une heure de début et de fin

1. Pour restreindre la plage de temps pour les événements que vous voulez voir, choisissez une plage de temps dans la barre de temps en haut de la table. Les plages de temps prédéfinies incluent 30 minutes, 1 heure, 3 heures ou 12 heures. Pour spécifier une plage de temps personnalisée, choisissez Custom (Personnaliser).

2. Choisissez l'un des onglets suivants.

   • Absolute (Absolu)- Vous permet de choisir une heure spécifique. Passez à l'étape suivante.

   • Relatif à l'événement sélectionné- Sélectionné par défaut. Vous permet de choisir une période par rapport à l'heure de début d'un événement Insights. Passez à l'étape 4.

3. Pour définir une plage de temps Absolute (Absolu) , effectuez les opérations suivantes.

   1. Dans l'onglet Absolute (Absolu), choisissez le jour où vous souhaitez que la plage de temps démarre. Entrez une heure de début le jour sélectionné. Pour saisir une date manuellement, tapez la date dans le format yyyy/mm/dd. Les heures de début et de fin utilisent le format horaire de 24 heures, et les valeurs doivent être au format hh:mm:ss. Par exemple, pour indiquer que l'heure de début est 18 h 30, entrez 18:30:00.

   2. Choisissez une date de fin pour la plage sur le calendrier, ou spécifiez une date et une heure de fin sous le calendrier. Choisissez Apply (Appliquer).

4. Pour définir une plage de temps Relative à l'événement sélectionné, procédez comme suit.

   1. Choisissez une période prédéfinie par rapport à l'heure de début des événements Insights. Les valeurs prédéfinies sont disponibles en minutes, heures, jours ou semaines. La période relative maximale est de 12 semaines.

   2. Si nécessaire, personnalisez la valeur prédéfinie dans les cases situées sous les paramètres prédéfinis. Choisissez Clear (Effacer) pour réinitialiser vos modifications si nécessaire. Lorsque vous avez défini l'heure relative que vous souhaitez, choisissez Apply (Appliquer).

5. Dans To (À), choisissez le jour et spécifiez l'heure de la fin de la plage de temps. Choisissez Appliquer.

6. Pour supprimer un filtre de plage de temps, cliquez sur l'icône de calendrier à droite de la zone Time range (Plage de temps), puis choisissez Remove (Supprimer).

1. Choisissez un événement Insights dans la liste des résultats pour en afficher les détails. La page des détails d'un événement Insights présente un graphique de la chronologie d'activité inhabituelle.

   

2. Passez la souris sur les bandes en surbrillance pour afficher l'heure de début et la durée de chaque événement Insights dans le graphique.

   

   Les informations suivantes sont présentées dans les Informations supplémentaires zone du graphique :

   • Insight type (Type Insight). Il peut s'agir du taux d'APIappel ou du taux API d'erreur.

   • Déclencheur. Ceci est un lien vers l'onglet CloudTrail events (Événements CloudTrail), qui répertorie les événements de gestion analysés par pour déterminer qu'une activité inhabituelle s'est produite.

   • APIappels par minute

     • Moyenne de référence : taux typique d'occurrences par minute au cours duquel API l'événement Insights a été enregistré, tel que mesuré au cours des sept jours précédents, dans une région spécifique de votre compte.

     • Moyenne d'Insights : taux d'occurrences par minute de ce API qui a déclenché l'événement Insights. La moyenne d' CloudTrail Insights pour l'événement de démarrage est le taux d'appels ou d'erreurs par minute lors du API déclenchement de l'événement Insights. Généralement, il s'agit de la première minute d'activité inhabituelle. La moyenne d'Insights pour l'événement final est le taux d'APIappels ou d'erreurs par minute pendant la durée de l'activité inhabituelle, entre l'événement Insights de début et l'événement Insights de fin.

   • Source de l'événement Point de terminaison du AWS service sur lequel le nombre inhabituel d'APIappels ou d'erreurs a été enregistré. Dans l'image précédente, la source est ec2.amazonaws.com le point de terminaison du service pour AmazonEC2.

   • Événement IDs.

     • ID de l’événement de démarrage- ID de l'événement Insights journalisé au début d'une activité inhabituelle.

     • ID de l’événement de fin- ID de l'événement Insights journalisé à la fin d'une activité inhabituelle.

     • ID d'événement partagé : dans les événements Insights, l'identifiant d'GUIDévénement partagé est généré par CloudTrail Insights pour identifier de manière unique une paire d'événements Insights de début et de fin. ID de l’événement partagé est commun entre l'événement Insights de début et de fin, et aide à créer une corrélation entre les deux événements pour identifier de manière unique l'activité inhabituelle.

3. Choisissez l'onglet Attributions pour afficher des informations sur les identités des utilisateurs, les agents utilisateurs, les événements API Call Rate Insights, les codes d'erreur corrélés à une activité inhabituelle et à une activité de référence. Un maximum de cinq identités d'utilisateur, de cinq agents utilisateur et de cinq codes d'erreur sont affichés dans les tableaux de l'onglet Attributions, trié par une moyenne du nombre d'activités, dans l'ordre décroissant du plus haut au plus bas.

4. Dans l'onglet CloudTrail Événements, consultez les événements connexes CloudTrail analysés pour déterminer qu'une activité inhabituelle s'est produite. Par défaut, un filtre est déjà appliqué pour le nom de l'événement Insights, qui est également le nom de l'événement associéAPI. L'onglet CloudTrail événements affiche les événements de CloudTrail gestion liés au sujet API survenus entre l'heure de début (moins une minute) et l'heure de fin (plus une minute) de l'événement Insights.

   Lorsque vous sélectionnez d'autres événements Insights dans le graphique, les événements présentés dans le tableau CloudTrail des événements changent. Ces événements vous aident à effectuer une analyse plus approfondie afin de déterminer la cause probable d'un événement Insights et les raisons d'une API activité inhabituelle.

   Pour afficher tous les CloudTrail événements enregistrés pendant la durée de l'événement Insights, et pas uniquement ceux associésAPI, désactivez le filtre.

5. Choisissez l'onglet Enregistrement des événements Insights pour afficher les événements de début et de fin d'Insights au JSON format.

6. Le choix de la Event source (Source d'événement) liée vous renvoie à la page Insights, filtrée en fonction de cette source d'événement.

1. Spécifiez le filtre et la plage de temps pour les événements que vous souhaitez télécharger. Par exemple, vous pouvez spécifier le nom d’événement, StartInstances, et indiquer une plage de temps pour les trois derniers jours d’activité.

2. Choisissez Télécharger les événements, puis sélectionnez Télécharger CSV ou Télécharger JSON. Vous êtes invité à choisir un emplacement pour enregistrer le fichier.

   Note

   Le téléchargement pourrait prendre un certain temps. Pour des résultats plus rapides, utilisez un filtre spécifique ou une plage de temps plus courte pour affiner les résultats avant de commencer le processus de téléchargement.

3. Une fois le téléchargement terminé, ouvrez le fichier pour afficher les événements que vous avez spécifiés.

4. Pour annuler votre téléchargement, choisissez Cancel download (Annuler le téléchargement). Si vous annulez un téléchargement avant qu'il ne soit terminé, il se peut qu'un JSON fichier CSV or sur votre ordinateur local ne contienne qu'une partie de vos événements.