기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

# 쿼리를 사용하여 로그 항목 필터링
<a name="cw-queries"></a>

CloudWatch 쿼리를 사용하여 Transfer Family의 로그 항목을 필터링하고 식별할 수 있습니다. 이 단원에는 몇 가지 예제가 포함되어 있습니다.

1. 에 로그인 AWS Management Console 하고 [https://console.aws.amazon.com/cloudwatch/](https://console.aws.amazon.com/cloudwatch/) CloudWatch 콘솔을 엽니다.

1. 쿼리 또는 규칙을 생성할 수 있습니다.
   + **Logs Insights** 쿼리를 생성하려면 왼쪽 탐색 패널에서 **Logs Insights**를 선택한 다음 쿼리에 대한 세부 정보를 입력합니다.
   + **Contributor Insights** 규칙을 생성하려면 왼쪽 탐색 패널에서 인사이트 > Contributor Insights를 선택한 다음 규칙의 세부 정보를 입력합니다.

1. 생성한 쿼리 또는 규칙을 실행합니다.

**상위 인증 실패 기여자 보기**

구조화된 로그에서 인증 실패 로그 항목은 다음과 비슷합니다.

```
{
  "method":"password",
  "activity-type":"AUTH_FAILURE",
  "source-ip":"999.999.999.999",
  "resource-arn":"arn:aws:transfer:us-east-1:999999999999:server/s-0123456789abcdef",
  "message":"Invalid user name or password",
  "user":"exampleUser"
}
```

다음 쿼리를 실행하여 인증 실패에 대한 상위 기여자를 확인합니다.

```
filter @logStream = 'ERRORS'
| filter `activity-type` = 'AUTH_FAILURE'
| stats count() as AuthFailures by user, method
| sort by AuthFailures desc
| limit 10
```

**CloudWatch Logs Insights를** 사용하는 대신 **CloudWatch Contributors Insights** 규칙을 생성하여 인증 실패를 볼 수 있습니다. 다음과 유사한 규칙을 생성합니다.

```
{
    "AggregateOn": "Count",
    "Contribution": {
        "Filters": [
            {
                "Match": "$.activity-type",
                "In": [
                    "AUTH_FAILURE"
                ]
            }
        ],
        "Keys": [
            "$.user"
        ]
    },
    "LogFormat": "JSON",
    "Schema": {
        "Name": "CloudWatchLogRule",
        "Version": 1
    },
    "LogGroupARNs": [
        "arn:aws:logs:us-east-1:999999999999:log-group:/customer/structured_logs"
    ]
}
```

**파일이 열린 로그 항목 보기**

구조화된 로그에서 파일 읽기 로그 항목은 다음과 비슷합니다.

```
{
  "mode":"READ",
  "path":"/fs-0df669c89d9bf7f45/avtester/example",
  "activity-type":"OPEN",
  "resource-arn":"arn:aws:transfer:us-east-1:999999999999:server/s-0123456789abcdef",
  "session-id":"0049cd844c7536c06a89"
}
```

다음 쿼리를 실행하여 파일이 열렸음을 나타내는 로그 항목을 봅니다.

```
filter `activity-type` = 'OPEN'
| display @timestamp, @logStream, `session-id`, mode, path
```