Insights 이벤트 로깅

CloudTrail 콘솔의 왼쪽 탐색 창에서 트레일 페이지를 열고 트레일 이름을 선택합니다.

[Insights 이벤트(Insights events)]에서 [편집(Edit)]을 선택합니다.

이벤트 유형(Event type)에서 Insights 이벤트(Insights events)]를 선택합니다.

Insights 이벤트의 Insights 유형 선택에서 API 통화 속도, API오류율 또는 둘 다를 선택합니다. API호출 속도에 대한 Insights 이벤트를 기록하려면 트레일에서 쓰기 관리 이벤트를 로깅해야 합니다. Insights 이벤트에서 API오류율을 기록하려면 트레일에서 읽기 또는 쓰기 관리 이벤트를 로깅해야 합니다.

변경 사항을 저장하려면 변경 사항 저장을 선택합니다.

CloudTrail 콘솔의 왼쪽 탐색 창에 있는 Lake에서 이벤트 데이터 저장소를 선택합니다.

이벤트 데이터 스토어 이름을 선택합니다.

관리 이벤트(Management events)에서 편집(Edit)을 선택합니다.

Insights 활성화(Enable Insights)를 선택합니다.

Insights 이벤트를 CloudTrail 제공할 대상 이벤트 데이터 저장소를 선택합니다. 대상 이벤트 데이터 스토어는 이 이벤트 데이터 스토어의 관리 이벤트 활동을 기반으로 Insights 이벤트를 수집합니다. 대상 이벤트 데이터 스토어를 생성하는 방법에 대한 자세한 내용은 Insights 이벤트를 로그하는 대상 이벤트 데이터 스토어 생성 섹션을 참조하세요.

Insights 유형 선택에서 API 통화 속도, API오류율 또는 둘 다를 선택합니다. API호출 속도에 대한 Insights 이벤트를 기록하려면 이벤트 데이터 저장소에서 쓰기 관리 이벤트를 로깅해야 합니다. Insights 이벤트에서 API오류율을 기록하려면 이벤트 데이터 저장소가 읽기 또는 쓰기 관리 이벤트를 로깅하고 있어야 합니다.

변경 사항을 저장하려면 변경 사항 저장을 선택합니다.

aws cloudtrail create-event-data-store 명령을 실행하여 Insights 이벤트를 수집하는 대상 이벤트 데이터 스토어를 생성합니다. eventCategory의 값은 Insight이어야 합니다. Replace retention-period-days 이벤트 데이터 스토어에 이벤트를 보관하려는 일수를 기준으로 합니다.

AWS Organizations 조직의 관리 계정으로 로그인한 경우 위임된 관리자에게 이벤트 데이터 저장소에 대한 액세스 권한을 부여하려면 --organization-enabled 매개변수를 포함하세요.

aws cloudtrail create-event-data-store \
--name insights-event-data-store \
--no-multi-region-enabled \
--retention-period retention-period-days \
--advanced-event-selectors '[
    {
      "Name": "Select Insights events",
      "FieldSelectors": [
          { "Field": "eventCategory", "Equals": ["Insight"] }
        ]
    }
  ]'
            

다음은 응답의 예입니다.

{
    "Name": "insights-event-data-store",
    "ARN": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE",
    "AdvancedEventSelectors": [
        {
           "Name": "Select Insights events",
           "FieldSelectors": [
              {
                  "Field": "eventCategory",
                  "Equals": [
                      "Insight"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": false,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": "90",
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-08T15:22:33.578000+00:00",
    "UpdatedTimestamp": "2023-11-08T15:22:33.714000+00:00"
}

3단계에서는 응답의 ARN (또는 의 ID 접미사ARN) 를 --insights-destination 파라미터 값으로 사용합니다.

aws cloudtrail create-event-data-store 명령을 실행하여 관리 이벤트를 로그하는 소스 이벤트 데이터 저장소를 생성합니다. 기본적으로 이벤트 데이터 스토어는 모든 관리 이벤트를 로깅하지만 데이터 이벤트는 로깅합니다. 모든 관리 이벤트를 로그하려면, 고급 이벤트 선택기를 지정할 필요가 없습니다. Replace retention-period-days 이벤트 데이터 스토어에 이벤트를 보관하려는 기간 (일) 을 기준으로 합니다. 조직 이벤트 데이터 스토어를 생성하려면, --organization-enabled 파라미터를 포함합니다.

aws cloudtrail create-event-data-store --name source-event-data-store --retention-period retention-period-days

다음은 응답의 예입니다.

{
    "EventDataStoreArn": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLE9952-4ab9-49c0-b788-f4f3EXAMPLE",
    "Name": "source-event-data-store",
    "Status": "CREATED",
    "AdvancedEventSelectors": [
        {
            "Name": "Default management events",
            "FieldSelectors": [
                {
                    "Field": "eventCategory",
                    "Equals": [
                        "Management"
                    ]
                }
            ]
        }
    ],
    "MultiRegionEnabled": true,
    "OrganizationEnabled": false,
    "BillingMode": "EXTENDABLE_RETENTION_PRICING",
    "RetentionPeriod": 90,
    "TerminationProtectionEnabled": true,
    "CreatedTimestamp": "2023-11-08T15:25:35.578000+00:00",
    "UpdatedTimestamp": "2023-11-08T15:25:35.714000+00:00"
}

3단계에서는 응답의 ARN (또는 의 ID 접미사ARN) 를 --event-data-store 파라미터 값으로 사용합니다.

put-insight-selectors 명령을 실행하여 Insights 이벤트를 활성화합니다. Insights 선택기 값은 ApiCallRateInsight, ApiErrorRateInsight 또는 두 개 모두가 될 수 있습니다. --event-data-store파라미터에는 관리 이벤트를 기록하고 Insights를 활성화하는 소스 이벤트 데이터 저장소의 ID 접미사 ARN (또는 ID 접미사ARN) 를 지정합니다. --insights-destination파라미터에는 Insights 이벤트를 기록할 대상 이벤트 데이터 저장소의 ID 접미사 ARN (또는 ID 접미사ARN) 를 지정합니다.

aws cloudtrail put-insight-selectors --event-data-store arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLE9952-4ab9-49c0-b788-f4f3EXAMPLE --insights-destination arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE --insight-selectors '[{"InsightType": "ApiCallRateInsight"},{"InsightType": "ApiErrorRateInsight"}]'

다음 결과는 이벤트 데이터 스토어에 대해 구성된 Insights 이벤트 선택기를 보여 줍니다.

{
  "EventDataStoreARN": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLE9952-4ab9-49c0-b788-f4f3EXAMPLE",
  "InsightsDestination": "arn:aws:cloudtrail:us-east-1:111122223333:eventdatastore/EXAMPLEf852-4e8f-8bd1-bcf6cEXAMPLE",
  "InsightSelectors":
      [
         {
            "InsightType": "ApiErrorRateInsight"
         },
         {
            "InsightType": "ApiCallRateInsight"
         }
      ]
}

이벤트 데이터 저장소에서 처음으로 CloudTrail Insights를 활성화한 후 비정상적인 활동이 감지되면 첫 번째 Insights 이벤트가 전달되는 데 최대 7일이 걸릴 수 있습니다. CloudTrail

CloudTrail Insights는 전 세계가 아닌 단일 지역에서 발생하는 관리 이벤트를 분석합니다. CloudTrail Insights 이벤트는 지원 관리 이벤트가 생성된 지역과 동일한 지역에서 생성됩니다.

조직 이벤트 데이터 저장소의 경우 CloudTrail 조직의 모든 관리 이벤트 집계를 분석하는 대신 각 구성원 계정의 관리 이벤트를 분석합니다.