建立 CloudTrail 事件 CloudWatch 警示：範例

在開啟 CloudWatch 主控台https://console.aws.amazon.com/cloudwatch/。

在導覽窗格中，選擇日誌下方的日誌群組。

在日誌群組清單中，選擇您針對追蹤所建立之日誌群組。

在指標篩選條件或動作選單中，選擇建立指標篩選條件。

在 Define pattern (定義陣列) 頁面的 建立篩選條件模式，請針對篩選條件模式輸入以下內容。

{ ($.eventName = AuthorizeSecurityGroupIngress) || ($.eventName = AuthorizeSecurityGroupEgress) || ($.eventName = RevokeSecurityGroupIngress) || ($.eventName = RevokeSecurityGroupEgress) || ($.eventName = CreateSecurityGroup) || ($.eventName = DeleteSecurityGroup) }

在 Test pattern (測試模式)，保留預設值。選擇 Next (下一步)。

在指派指標頁面的篩選條件名稱中，輸入 SecurityGroupEvents。

在指標詳細資訊中，開啟建立新的，然後針對指標命名空間輸入 CloudTrailMetrics。

在指標名稱中，輸入 SecurityGroupEventCount。

在指標值中，輸入 1。

保留 Default value (預設值) 空白。

選擇 Next (下一步)。

在 Review and create (檢閱和建立) 頁面上，檢閱您的選擇。選擇 Create metric filter (建立指標篩選條件) 以建立篩選條件，或選擇 Edit (編輯) 返回並變更值。

在指標篩選條件索引標籤上，尋找您在 建立指標篩選條件 中建立的指標篩選條件。填入指標篩選條件的核取方塊。在 Metric filters (指標篩選條件) 列，選擇 Create alarm (建立警示)。

在指定指標和條件中，輸入以下內容。

1. 針對 Graph (圖形)，根據您在建立警示時所做的其他設定，該行被設置為 1。

2. 針對 Metric name (指標名稱)，請保留目前的指標名稱SecurityGroupEventCount。

3. 針對 Statistic (統計數字)，保留預設值。Sum。

4. 針對 Period (期間)，保留預設值。5 minutes。

5. 在 Conditions (條件) 中，針對 Threshold type (閾值類型)，選擇 Static (靜態)。

6. 對於每當 metric_name 是，選擇「大於/等於」。

7. 對於閾值，輸入 1。

8. 在 Additional configuration (其他組態) 中，保留預設值。選擇 Next (下一步)。

在 [設定動作] 頁面上，選擇 [通知]，然後選擇 [在警示中]，這表示當超過 5 分鐘內 1 個變更事件的臨界值且SecurityGroupEventCount處於警示狀態時，會採取動作。

1. 對於「傳送通知至下列SNS主題」，請選擇「建立新主題」。

2. 輸入SecurityGroupChanges_CloudWatch_Alarms_Topic作為新 Amazon SNS 主題的名稱。

3. 在將接收通知的電子郵件端點中，輸入您要在發出此警示時接收通知的使用者電子郵件地址。以逗號分隔電子郵件地址。

   每個電子郵件收件者都會收到一封電子郵件，要求他們確認是否要訂閱 Amazon SNS 主題。

4. 請選擇建立主題。

在此範例中，略過其他動作類型。選擇 Next (下一步)。

在 Add name and description (新增名稱和說明) 頁面中，輸入警示的易記名稱和說明。在此範例中，請輸入 Security group configuration changes 作為名稱，Raises alarms if security group configuration changes occur 作為說明。選擇 Next (下一步)。

在 Preview and create (預覽和建立) 頁面上，檢閱您的選擇。選擇 Edit (編輯) 來進行變更，或者選擇 Create alarm (建立警示) 來建立警示。

建立鬧鐘後， CloudWatch 開啟 [警示] 頁面。警示的 [動作] 欄會顯示 [擱置] 確認，直到該SNS主題的所有電子郵件收件者確認他們想要訂閱SNS通知為止。

在開啟 CloudWatch 主控台https://console.aws.amazon.com/cloudwatch/。

在導覽窗格中，選擇日誌下方的日誌群組。

在日誌群組清單中，選擇您針對追蹤所建立之日誌群組。

在指標篩選條件或動作選單中，選擇建立指標篩選條件。

在 Define pattern (定義陣列) 頁面的 建立篩選條件模式，請針對篩選條件模式輸入以下內容。

{ ($.eventName = ConsoleLogin) && ($.errorMessage = "Failed authentication") }

在 Test pattern (測試模式)，保留預設值。選擇 Next (下一步)。

在指派指標頁面的篩選條件名稱中，輸入 ConsoleSignInFailures。

在指標詳細資訊中，開啟建立新的，然後針對指標命名空間輸入 CloudTrailMetrics。

在指標名稱中，輸入 ConsoleSigninFailureCount。

在指標值中，輸入 1。

保留 Default value (預設值) 空白。

選擇 Next (下一步)。

在 Review and create (檢閱和建立) 頁面上，檢閱您的選擇。選擇 Create metric filter (建立指標篩選條件) 以建立篩選條件，或選擇 Edit (編輯) 返回並變更值。

在指標篩選條件索引標籤上，尋找您在 建立指標篩選條件 中建立的指標篩選條件。填入指標篩選條件的核取方塊。在 Metric filters (指標篩選條件) 列，選擇 Create alarm (建立警示)。

在 Create Alarm (建立警示) 頁面的 Specify metric and conditions (指定指標和條件) 中，輸入下列內容。

1. 針對 Graph (圖形)，根據您在建立警示時所做的其他設定，該行被設置為 3。

2. 針對 Metric name (指標名稱)，請保留目前的指標名稱ConsoleSigninFailureCount。

3. 針對 Statistic (統計數字)，保留預設值。Sum。

4. 針對 Period (期間)，保留預設值。5 minutes。

5. 在 Conditions (條件) 中，針對 Threshold type (閾值類型)，選擇 Static (靜態)。

6. 對於每當 metric_name 是，選擇「大於/等於」。

7. 對於閾值，輸入 3。

8. 在 Additional configuration (其他組態) 中，保留預設值。選擇 Next (下一步)。

在 [設定動作] 頁面上，對於 [通知]，選擇 [在警示中]，這表示當超過 5 分鐘內 3 個變更事件的臨界值且ConsoleSigninFailureCount處於警示狀態時，會採取動作。

1. 對於「傳送通知至下列SNS主題」，請選擇「建立新主題」。

2. 輸入ConsoleSignInFailures_CloudWatch_Alarms_Topic作為新 Amazon SNS 主題的名稱。

3. 在將接收通知的電子郵件端點中，輸入您要在發出此警示時接收通知的使用者電子郵件地址。以逗號分隔電子郵件地址。

   每個電子郵件收件者都會收到一封電子郵件，要求他們確認是否要訂閱 Amazon SNS 主題。

4. 請選擇建立主題。

在此範例中，略過其他動作類型。選擇 Next (下一步)。

在 Add name and description (新增名稱和說明) 頁面中，輸入警示的易記名稱和說明。在此範例中，請輸入 Console sign-in failures 作為名稱，Raises alarms if more than 3 console sign-in failures occur in 5 minutes 作為說明。選擇 Next (下一步)。

在 Preview and create (預覽和建立) 頁面上，檢閱您的選擇。選擇 Edit (編輯) 來進行變更，或者選擇 Create alarm (建立警示) 來建立警示。

建立鬧鐘後， CloudWatch 開啟 [警示] 頁面。警示的 [動作] 欄會顯示 [擱置] 確認，直到該SNS主題的所有電子郵件收件者確認他們想要訂閱SNS通知為止。

在開啟 CloudWatch 主控台https://console.aws.amazon.com/cloudwatch/。

在導覽窗格中，選擇日誌。

在日誌群組清單中，選擇您針對追蹤所建立之日誌群組。

選擇 Actions (動作)，然後選擇 Create metric filter (建立指標篩選條件)。

在 Define pattern (定義陣列) 頁面的 建立篩選條件模式，請針對篩選條件模式輸入以下內容。

{($.eventName=DeleteGroupPolicy)||($.eventName=DeleteRolePolicy)||($.eventName=DeleteUserPolicy)||($.eventName=PutGroupPolicy)||($.eventName=PutRolePolicy)||($.eventName=PutUserPolicy)||($.eventName=CreatePolicy)||($.eventName=DeletePolicy)||($.eventName=CreatePolicyVersion)||($.eventName=DeletePolicyVersion)||($.eventName=AttachRolePolicy)||($.eventName=DetachRolePolicy)||($.eventName=AttachUserPolicy)||($.eventName=DetachUserPolicy)||($.eventName=AttachGroupPolicy)||($.eventName=DetachGroupPolicy)}

在 Test pattern (測試模式)，保留預設值。選擇 Next (下一步)。

在指派指標頁面的篩選條件名稱中，輸入 IAMPolicyChanges。

在指標詳細資訊中，開啟建立新的，然後針對指標命名空間輸入 CloudTrailMetrics。

在指標名稱中，輸入 IAMPolicyEventCount。

在指標值中，輸入 1。

保留 Default value (預設值) 空白。

選擇 Next (下一步)。

在 Review and create (檢閱和建立) 頁面上，檢閱您的選擇。選擇 Create metric filter (建立指標篩選條件) 以建立篩選條件，或選擇 Edit (編輯) 返回並變更值。

在指標篩選條件索引標籤上，尋找您在 建立指標篩選條件 中建立的指標篩選條件。填入指標篩選條件的核取方塊。在 Metric filters (指標篩選條件) 列，選擇 Create alarm (建立警示)。

在 Create Alarm (建立警示) 頁面的 Specify metric and conditions (指定指標和條件) 中，輸入下列內容。

1. 針對 Graph (圖形)，根據您在建立警示時所做的其他設定，該行被設置為 1。

2. 針對 Metric name (指標名稱)，請保留目前的指標名稱IAMPolicyEventCount。

3. 針對 Statistic (統計數字)，保留預設值。Sum。

4. 針對 Period (期間)，保留預設值。5 minutes。

5. 在 Conditions (條件) 中，針對 Threshold type (閾值類型)，選擇 Static (靜態)。

6. 對於每當 metric_name 是，選擇「大於/等於」。

7. 對於閾值，輸入 1。

8. 在 Additional configuration (其他組態) 中，保留預設值。選擇 Next (下一步)。

在 [設定動作] 頁面上，對於 [通知]，選擇 [在警示中]，這表示當超過 5 分鐘內 1 個變更事件的臨界值且IAMPolicyEventCount處於警示狀態時，會採取動作。

1. 對於「傳送通知至下列SNS主題」，請選擇「建立新主題」。

2. 輸入IAM_Policy_Changes_CloudWatch_Alarms_Topic作為新 Amazon SNS 主題的名稱。

3. 在將接收通知的電子郵件端點中，輸入您要在發出此警示時接收通知的使用者電子郵件地址。以逗號分隔電子郵件地址。

   每個電子郵件收件者都會收到一封電子郵件，要求他們確認是否要訂閱 Amazon SNS 主題。

4. 請選擇建立主題。

在此範例中，略過其他動作類型。選擇 Next (下一步)。

在 Add name and description (新增名稱和說明) 頁面中，輸入警示的易記名稱和說明。在此範例中，請輸入 IAM Policy Changes 作為名稱，Raises alarms if IAM policy changes occur 作為說明。選擇 Next (下一步)。

在 Preview and create (預覽和建立) 頁面上，檢閱您的選擇。選擇 Edit (編輯) 來進行變更，或者選擇 Create alarm (建立警示) 來建立警示。

建立鬧鐘後， CloudWatch 開啟 [警示] 頁面。警示的 [動作] 欄會顯示 [擱置] 確認，直到該SNS主題的所有電子郵件收件者確認他們想要訂閱SNS通知為止。