Visualizzazione degli eventi CloudTrail Insights per i percorsi con la console

Per visualizzare gli eventi Insights

CloudTrail Gli eventi Insights devono essere abilitati sul percorso per visualizzare gli eventi Insights nella console. Attendi fino a 36 ore CloudTrail per la distribuzione dei primi eventi Insights, se viene rilevata un'attività insolita.

1. Accedi a AWS Management Console e apri la CloudTrail console a https://console.aws.amazon.com/cloudtrail/casa/.

2. Nel pannello di navigazione, seleziona Dashboard (Pannello di controllo) per visualizzare i cinque eventi Insights più recenti, oppure Insights per visualizzare tutti gli eventi Insights registrati nell'account negli ultimi 90 giorni.

   Nella pagina Insights, puoi filtrare gli eventi di Insights in base a criteri quali l'APIorigine dell'evento, il nome dell'evento e l'ID dell'evento e limitare gli eventi visualizzati a quelli che si verificano in un intervallo di tempo specifico. Per ulteriori informazioni sul filtro degli eventi Insights, consulta Filtro degli eventi Insights.

Per filtrare in base un attributo

1. Per filtrare i risultati in base a un attributo, scegli un attributo di ricerca dal menu a tendina e quindi digita o scegli un valore nella casella Enter a lookup value (Inserisci un valore di ricerca).

2. Per rimuovere un filtro attributo, scegliere X a destra della casella del filtro attributo.

Per filtrare in base a una data e ora di inizio e fine

1. Per restringere l'intervallo di tempo relativo agli eventi che desideri visualizzare, scegli un intervallo di tempo sulla barra dell'intervallo di tempo nella parte superiore della tabella. Gli intervalli di tempo preimpostati includono 30 minuti, 1 ora, 3 ore o 12 ore. Per specificare un intervallo di tempo personalizzato, scegli Custom (Personalizzato).

2. Scegli una delle seguenti schede.

   • Absolute (Assoluto): consente di scegliere un orario specifico. Passa alla fase successiva.

   • Relative to selected event (Relativo a evento selezionato): selezionata per impostazione predefinita. Consente di scegliere un periodo di tempo relativo all'ora di inizio di un evento Insights. Passa alla fase 4.

3. Per impostare un intervallo di tempo Absolute (Assoluto), esegui le seguenti operazioni.

   1. Nella scheda Absolute (Assoluto), scegli il giorno di inizio dell'intervallo di tempo. Inserisci un'ora di inizio nel giorno selezionato. Per inserire manualmente una data, digita la data nel formato yyyy/mm/dd. L'ora di inizio e di fine utilizzano un orologio di 24 ore e i valori devono essere nel formato hh:mm:ss. Ad esempio, per indicare un'ora di inizio alle 18:30, inserisci 18:30:00.

   2. Scegli una data di fine per l'intervallo nel calendario oppure specifica una data e un'ora di fine al di sotto del calendario. Scegli Applica.

4. Per impostare un intervallo di tempo Relative to selected event(Relativo a evento selezionato), esegui le seguenti operazioni.

   1. Scegli un periodo di tempo preimpostato relativo all'ora di inizio di eventi Insights. I valori preimpostati sono disponibili in minuti, ore, giorni o settimane. Il periodo di tempo relativo massimo è 12 settimane.

   2. Se necessario, personalizza il valore preimpostato nelle caselle sotto le impostazioni predefinite. Scegli Clear (Cancella) per ripristinare le modifiche, se necessario. Dopo aver impostato l'ora relativa che desideri, scegli Apply (Applica).

5. In To (A), selezionare il giorno e specificare l'ora preferita per la fine dell'intervallo di tempo. Scegli Applica.

6. Per rimuovere un filtro basato su un intervallo di tempo, scegliere l'icona del calendario a destra della casella Time range (Intervallo di tempo) e quindi scegliere Remove (Rimuovi).

1. Scegliere un evento Insights nell'elenco dei risultati per visualizzare i relativi dettagli. La pagina dei dettagli di un evento Insights mostra un grafico della sequenza temporale dell'attività insolita.

   

2. Passa il puntatore del mouse sulle bande evidenziate per visualizzare l'ora di inizio e la durata di ogni evento Insights nel grafico.

   

   La seguente informazione è mostrata nell'area del grafico Informazioni aggiuntive:

   • Insight type (Tipo di informazioni). Può essere la frequenza delle API chiamate o la percentuale di API errore.

   • Trigger. Questo è un collegamento alla scheda Cloudtrail events (Eventi Cloudtrail), che elenca gli eventi di gestione analizzati per determinare che si è verificata un'attività insolita.

   • APIchiamate al minuto

     • Media di base: il tasso tipico di occorrenze al minuto API in cui è stato registrato l'evento Insights, misurato all'incirca nei sette giorni precedenti, in una regione specifica dell'account.

     • Media di Insights: il tasso di occorrenze al minuto API che ha attivato l'evento Insights. La media di CloudTrail Insights per l'evento di avvio è la frequenza di chiamate o errori al minuto sull'evento API che ha attivato l'evento Insights. In genere si tratta del primo minuto di attività insolita. La media Insights per l'evento finale è la frequenza di API chiamate o errori al minuto per tutta la durata dell'attività insolita, tra l'evento Insights di inizio e l'evento Insights di fine.

   • Event source (Origine eventi). L'endpoint del AWS servizio su cui è stato registrato il numero insolito di API chiamate o errori. Nell'immagine precedente, l'origine èec2.amazonaws.com, che è l'endpoint del servizio per Amazon. EC2

   • Evento. IDs

     • ID evento di inizio - L'ID dell'evento Insights registrato all'inizio di attività insolita.

     • ID evento di fine - L'ID dell'evento Insights registrato al termine di attività insolita.

     • ID evento condiviso: negli eventi Insights, l'ID evento condiviso è generato da CloudTrail Insights per identificare in modo univoco una coppia di eventi Insights di inizio e fine. GUID ID evento condiviso è comune tra gli eventi Insights di inizio e di fine e consente di creare una correlazione tra entrambi gli eventi per identificare in modo univoco l'attività insolita.

3. Scegli la scheda Attribuzioni per visualizzare informazioni sulle identità degli utenti, sugli user agent e sugli eventi di API Call Rate Insights, sui codici di errore correlati alle attività insolite e di base. Sono visualizzati un massimo di cinque identità utente, cinque agenti dell'utente e cinque codici di errore nelle tabelle nella scheda Attributions (Attribuzioni), ordinati in base alla media del conteggio delle attività, in ordine decrescente dalla più alta alla più bassa.

4. Nella scheda CloudTrail Eventi, visualizza gli eventi correlati CloudTrail analizzati per determinare che si è verificata un'attività insolita. Per impostazione predefinita, viene già applicato un filtro per il nome dell'evento Insights, che è anche il nome dell'evento correlatoAPI. La scheda CloudTrail eventi mostra gli eventi di CloudTrail gestione relativi all'argomento API che si sono verificati tra l'ora di inizio (meno un minuto) e l'ora di fine (più un minuto) dell'evento Insights.

   Quando si selezionano altri eventi di Insights nel grafico, gli eventi mostrati nella tabella degli CloudTrail eventi cambiano. Questi eventi consentono di eseguire un'analisi più approfondita per determinare la causa probabile di un evento Insights e i motivi dell'APIattività insolita.

   Per mostrare tutti CloudTrail gli eventi registrati durante la durata dell'evento Insights, e non solo quelli correlatiAPI, disattiva il filtro.

5. Scegli la scheda di registrazione degli eventi di Insights per visualizzare gli eventi di inizio e fine di Insights nel JSON formato.

6. Selezionando l'Event source (Origine eventi) collegata, puoi tornare alla pagina Insights, filtrata in base all'origine eventi.

1. Specificare il filtro e l'intervallo di tempo per gli eventi che si desidera scaricare. Ad esempio, è possibile specificare il nome dell'evento, StartInstances, e specificare un intervallo di tempo per gli ultimi tre giorni di attività.

2. Scegli Scarica eventi, quindi scegli Scarica o Scarica. CSV JSON Viene richiesto di scegliere una posizione in cui salvare il file.

   Nota

   Il download potrebbe richiedere alcuni minuti per essere completato. Per ottenere più rapidamente i risultati, prima di avviare il processo di download, utilizzare un filtro più specifico o un intervallo di tempo più breve per limitare i risultati.

3. Al termine del download, aprire il file per visualizzare gli eventi specificati.

4. Per annullare il download, scegliere Cancel download (Annulla download). Se annulli un download prima che sia terminato, un JSON file CSV o sul computer locale potrebbe contenere solo una parte dei tuoi eventi.