콘솔을 사용하여 트레일의 CloudTrail Insights 이벤트 보기

Insights 이벤트를 보려면

CloudTrail 콘솔에서 Insights 이벤트를 보려면 트레일에서 Insights 이벤트를 활성화해야 합니다. 비정상적인 활동이 감지되면 첫 번째 Insights 이벤트가 CloudTrail 전송되기까지 최대 36시간이 걸릴 수 있습니다.

1. https://console.aws.amazon.com/cloudtrail/집에 AWS Management Console 로그인하고 CloudTrail 콘솔을 여십시오/.

2. 탐색 창에서 [대시보드(Dashboard)]를 선택하여 가장 최근의 Insights 이벤트 5개를 확인하거나 [인사이트(Insights)]를 선택하여 최근 90일 동안 계정에 로그된 모든 Insights 이벤트를 확인합니다.

   Insights 페이지에서 이벤트 API 소스, 이벤트 이름, 이벤트 ID 등의 기준에 따라 Insights 이벤트를 필터링하고 특정 시간 범위 내에서 발생하는 이벤트로 표시할 이벤트를 제한할 수 있습니다. Insights 이벤트 필터링에 대한 자세한 내용은 Insights 이벤트 필터링 단원을 참조하세요.

속성을 기준으로 필터링하려면

1. 속성을 기준으로 결과를 필터링하려면 드롭다운 메뉴에서 조회 속성을 선택한 다음, [조회 값 입력(Enter a lookup value)] 상자에 값을 입력하거나 선택합니다.

2. 속성 필터를 제거하려면 속성 필터 상자의 오른쪽에 있는 X를 선택합니다.

시작/종료 날짜 및 시간을 기준으로 필터링하려면

1. 확인하려는 이벤트의 시간 범위를 좁히려면 테이블 상단의 기간 막대에서 시간 범위를 선택합니다. 사전 설정된 시간 범위로는 30분, 1시간, 3시간 또는 12시간이 있습니다. 사용자 지정 시간 범위를 지정하려면 [사용자 지정(Custom)]을 선택합니다.

2. 다음 탭 중 하나를 선택합니다.

   • [절대(Absolute)] - 특정 시간을 선택할 수 있습니다. 다음 단계로 이동합니다.

   • [선택한 이벤트에 상대적(Relative to selected event)] - 기본값으로 선택됩니다. Insights 이벤트의 시작 시간을 기준으로 기간을 선택할 수 있습니다. 4단계로 이동합니다.

3. 절대 시간 범위를 설정하려면 다음을 수행합니다.

   1. [절대(Absolute)] 탭에서 시간 범위를 시작할 날짜를 선택합니다. 선택한 날짜의 시작 시간을 입력합니다. 날짜를 수동으로 입력하려면 yyyy/mm/dd 형식으로 날짜를 입력합니다. 시작 및 종료 시간은 24시간제를 사용하며 값은 hh:mm:ss 형식이어야 합니다. 예를 들어 오후 6시 30분의 시작 시간을 나타내려면 18:30:00을 입력합니다.

   2. 달력에서 범위의 종료 날짜를 선택하거나 달력 아래에서 종료 날짜 및 시간을 지정합니다. 적용을 선택합니다.

4. 선택한 이벤트에 상대적 시간 범위를 설정하려면 다음을 수행합니다.

   1. Insights 이벤트의 시작 시간을 기준으로 사전 설정된 기간을 선택합니다. 사전 설정된 값은 분, 시간, 일 또는 주 단위로 지정 가능합니다. 최대 상대 기간은 12주입니다.

   2. 필요한 경우 사전 설정 아래의 상자에서 사전 설정 값을 사용자 지정합니다. 필요한 경우 [지우기(Clear)]를 선택하여 변경 사항을 재설정합니다. 원하는 상대 시간을 설정했으면 [적용(Apply)]을 선택합니다.

5. 끝에서 요일을 선택하고 시간 범위의 끝으로 사용할 시간을 지정합니다. 적용을 선택합니다.

6. 시간 범위 필터를 제거하려면 시간 범위 상자의 오른쪽에 있는 달력 아이콘을 선택한 다음 제거를 선택합니다.

1. 결과 목록에서 인사이트 이벤트를 선택하여 세부 정보를 표시합니다. 인사이트 이벤트의 세부 정보 페이지에는 비정상적인 활동 일정 그래프가 표시됩니다.

   

2. 그래프에서 각 Insights 이벤트의 시작 시간 및 지속 기간을 표시하려면 강조 표시된 밴드 위로 마우스를 가져갑니다.

   

   다음 정보는 그래프의 추가 정보(Additional information) 영역에 표시됩니다.

   • [인사이트 유형(Insight type)]. 이는 API 통화율이나 API 오류율일 수 있습니다.

   • [트리거(Trigger)] [CloudTrail 이벤트(Cloudtrail events)] 탭에 대한 링크로, 비정상적인 활동이 발생했는지 확인하기 위해 분석된 관리 이벤트를 나열합니다.

   • API분당 통화 수

     • 기준 평균 - 계정 내 특정 지역에서 인사이트 이벤트가 기록된 분당 일반적인 발생 횟수로, 약 지난 7일 이내에 측정한 수치입니다. API

     • 인사이트 평균 - Insights 이벤트를 트리거한 이벤트의 분당 발생률입니다API. 시작 이벤트의 CloudTrail Insights 평균은 Insights 이벤트를 API 트리거한 이벤트의 분당 통화 또는 오류 비율입니다. 일반적으로 이것은 비정상적인 활동의 첫 번째 분입니다. 최종 이벤트의 Insights 평균은 Insights 시작 이벤트와 종료 Insights 이벤트 종료 사이의 비정상적인 활동이 발생한 기간 동안의 분당 API 통화 또는 오류 비율입니다.

   • [이벤트 소스(Event source)]. 비정상적으로 많은 수의 API 통화 또는 오류가 기록된 AWS 서비스 엔드포인트입니다. 위 이미지에서 소스는 ec2.amazonaws.com EC2 Amazon의 서비스 엔드포인트입니다.

   • 이벤트 IDs.

     • 시작 이벤트 ID - 비정상적인 활동 시작 시 로그된 Insights 이벤트의 ID입니다.

     • 종료 이벤트 ID - 비정상적인 활동 종료 시 로그된 Insights 이벤트의 ID입니다.

     • 공유 이벤트 ID - Insights 이벤트에서 공유 이벤트 ID는 Insights 이벤트의 시작 및 종료 쌍을 고유하게 식별하기 위해 CloudTrail Insights에서 생성하는 ID입니다. GUID 공유 이벤트 ID는 시작 Insights 이벤트와 종료 Insights 이벤트 간에 공통으로 두 이벤트 간의 상관 관계를 생성하여 비정상적인 활동을 고유하게 식별하는 데 도움이 됩니다.

3. 어트리뷰션 탭을 선택하면 사용자 ID, 사용자 에이전트, API 통화 속도 인사이트 이벤트, 비정상적 활동 및 기본 활동과 관련된 오류 코드에 대한 정보를 볼 수 있습니다. 최대 5개의 사용자 자격 증명, 5개의 사용자 에이전트 및 5개의 오류 코드가 [속성(Attributions)] 탭의 테이블에 표시되며, 활동 수의 평균을 기준으로 가장 높은 것에서 가장 낮은 것까지 내림차순으로 정렬됩니다.

4. CloudTrail 이벤트 탭에서 비정상적인 활동이 발생했음을 확인하기 위해 CloudTrail 분석된 관련 이벤트를 볼 수 있습니다. 기본적으로 Insights 이벤트 이름 (관련 이름) 에는 필터가 이미 적용되어 API 있습니다. CloudTrail 이벤트 탭에는 Insights 이벤트의 시작 시간 (1분 미만) 과 종료 시간 (1분 추가) 사이에 API 발생한 주제 관련 CloudTrail 관리 이벤트가 표시됩니다.

   그래프에서 다른 Insights 이벤트를 선택하면 이벤트 테이블에 표시된 CloudTrail 이벤트가 변경됩니다. 이러한 이벤트는 심층 분석을 수행하여 Insights 이벤트의 가능한 원인과 비정상적인 API 활동의 원인을 파악하는 데 도움이 됩니다.

   관련 CloudTrail API 이벤트뿐 아니라 Insights 이벤트 기간 동안 기록된 모든 이벤트를 표시하려면 필터를 끄십시오.

5. Insights 이벤트 레코드 탭을 선택하면 Insights 시작 및 종료 이벤트를 JSON 형식으로 볼 수 있습니다.

6. 연결된 [이벤트 소스(Event source)]를 선택하면 해당 이벤트 소스로 필터링된 [인사이트(Insights)] 페이지로 돌아갑니다.

1. 다운로드하려는 이벤트에 대한 필터 및 시간 범위를 지정합니다. 예를 들어, 이벤트 이름 StartInstances를 지정하고 지난 3일 동안의 활동에 대한 시간 범위를 지정할 수 있습니다.

2. 이벤트 다운로드를 선택한 다음 다운로드 CSV JSON 또는 다운로드를 선택합니다. 파일을 저장할 위치를 선택하라는 메시지가 표시됩니다.

   참고

   다운로드가 완료되는 데 약간의 시간이 걸릴 수 있습니다. 더 빠른 결과를 얻으려면 다운로드 프로세스를 시작하기 전에 더 구체적인 필터 또는 더 짧은 시간 범위를 사용하여 결과를 좁히십시오.

3. 다운로드가 완료되면 파일을 열어 지정한 이벤트를 확인합니다.

4. 다운로드를 취소하려면 다운로드 취소를 선택합니다. 다운로드가 완료되기 전에 취소하면 로컬 컴퓨터에 있는 CSV 또는 JSON 파일에 이벤트의 일부만 포함될 수 있습니다.