使用主控台檢視追蹤的 CloudTrail 深入解析事件

檢視 Insights 事件

CloudTrail 必須在追蹤上啟用深入解析事件，才能在主控台中查看 Insights 事件。如果偵測到異常活動，最多需 CloudTrail 要 36 小時才能傳遞第一個「見解」事件。

1. 登入 AWS Management Console 並在家中開啟 CloudTrail https://console.aws.amazon.com/cloudtrail/主機/。

2. 在導覽窗格中，選擇 Dashboard (儀表板) 查看最近五個 Insights 事件，或選擇 Insights 查看過去 90 天內您帳戶記錄的所有 Insights 事件。

   在「見解」頁面上，您可以依照事件API來源、事件名稱和事件 ID 等條件篩選 Insights 事件，並將顯示的事件限制在特定時間範圍內發生的事件。如需有關篩選 Insights 事件的詳細資訊，請參閱篩選 Insights 事件。

依屬性篩選

1. 若要依屬性篩選結果，請從下拉式功能表中選擇查詢屬性，然後在 Enter lookup value (輸入查詢值) 方塊中輸入或選擇值。

2. 若要移除屬性篩選條件，請選擇屬性篩選條件方塊右側的 X。

依開始與結束日期及時間進行篩選

1. 若要縮小您要查看之事件的時間範圍，請選擇資料表頂部時間範圍列中的時間範圍。預設的時間範圍包括 30 分鐘、1 小時、3 小時或 12 小時。若要指定自訂時間範圍，請選擇 Custom (自訂)。

2. 選擇下列其中一個索引標籤。

   • 絕對 - 可讓您選擇特定時間。繼續進行下一個步驟。

   • 相對於所選事件 - 預設為已選取。可讓您選擇與 Insights 事件開始時間相關的時段。繼續步驟 4。

3. 若要設定 Absolute (絕對) 時間範圍，請執行下列動作。

   1. 在 Absolute (絕對) 索引標籤上，選擇時間範圍開始的日期。輸入所選日期的開始時間。若要手動輸入日期，請以 yyyy/mm/dd 格式輸入日期。開始和結束時間使用 24 小時制，且值必須是格式 hh:mm:ss。例如，若要指示下午 6:30 的開始時間，請輸入 18:30:00。

   2. 選擇行事曆上範圍的結束日期，或在行事曆下方指定結束日期與時間。選擇套用。

4. 若要設定 Relative to selected event (相對於所選事件) 時間範圍，請執行下列動作。

   1. 選擇與 Insights 事件開始時間相關的預設時段。可使用預設值 (分鐘、小時、天或週)。最大相對時段為 12 週。

   2. 如有需要，請在預設集下方的方塊中自訂預設值。選擇 Clear (清除)，視需要重設您的變更。設定您想要的相對時間後，選擇 Apply (套用)。

5. 在 To (至) 中，選擇日期，並指定您想要成為時間範圍結束的時間。選擇套用。

6. 若要移除時間範圍篩選條件，請選擇 Time range (時間範圍) 方塊右側的行事曆圖示，然後選擇 Remove (移除)。

1. 在結果清單中選擇 Insights 事件，以顯示其詳細資訊。Insights 事件的詳細資訊頁面會顯示異常活動時間表的圖表。

   

2. 將滑鼠停留在反白顯示的頻帶上，以顯示圖表中每個 Insights 事件的開始事件和持續期間。

   

   下列資訊會顯示在圖表的 Additional information (其他資訊) 區域中：

   • Insight type (Insight 類型)。這可以是API通話速率或API錯誤率。

   • 觸發條件。這是 CloudTrail 事件索引標籤的連結，其中會列出已分析以判斷發生異常活動的管理事件。

   • API每分鐘通話

     • 基準平均值-記錄 Insights 事件的每分鐘一般發生率，在您帳戶中的特定區域中，大約在過去七天內測量。API

     • 洞察平均值-觸發「見解」事件的每分鐘發生次數。API開始事件的「 CloudTrail 深入解析」平均值是觸發「見解」API 事件的呼叫率或每分鐘錯誤數。通常情況下，這是異常活動的第一分鐘。結束事件的「見解」平均值是指在異常活動持續時間內 (在開始「見解」事件和結束「見解」事件之間) 的API呼叫率或每分鐘錯誤。

   • Event source (事件來源)。記錄異常API呼叫或錯誤數目的 AWS 服務端點。在前面的映像中，來源是ec2.amazonaws.com，也就是 Amazon 的服務端點EC2。

   • 事件IDs。

     • Start event ID (開始事件 ID) - 異常活動開始時記錄的 Insights 事件 ID。

     • End event ID (結束事件 ID) - 異常活動結束時記錄的 Insights 事件 ID。

     • 共用事件 ID-在見解事件中，共用事件 ID 是由 CloudTrail 深入解析所產生的，用於唯一識別洞察事件的開始和結束配對。GUIDShared event ID (共用事件 ID) 在開始和結束 Insights 事件之間共用，有助於在這兩個事件之間建立關聯以唯一識別異常活動。

3. 選擇 [屬性] 索引標籤以檢視使用者身分識別、使用者代理程式的相關資訊，以及API通話率見解事件、與異常活動和基準活動相關的錯誤代碼。Attributions (歸因) 索引標籤上的資料表中最多會顯示五個使用者身分、五個使用者代理程式和五個錯誤碼，按活動計數的平均值按從高到低的降序排列。

4. 在CloudTrail 事件索引標籤上，檢視 CloudTrail分析的相關事件，以判斷發生異常活動。根據預設，篩選器已套用至 Insights 事件名稱，也是相關的名稱API。CloudTrail 事件索引標籤會顯示 CloudTrail 與 Insights 事件的開始時間 (減去一分鐘) 和結束時間 (加上一分鐘) 之間發生的主API旨相關的管理事件。

   當您在圖形中選取其他 Insights 事件時，事件表格中顯示的CloudTrail 事件會變更。這些事件可協助您執行更深入的分析，以判斷 Insights 事件的可能原因，以及異常API活動的原因。

   若要顯示 Insights 事件持續時間期間所 CloudTrail 記錄的所有事件，而不僅是相關事件API，請關閉篩選器。

5. 選擇「見解」事件記錄索引標籤，以JSON格式檢視「深入解析」開始和結束事件。

6. 選擇連結的 Event source (事件來源) 會返回由該事件來源篩選的 Insights 頁面。

1. 指定您要下載之事件的篩選條件和時間範圍。例如，您可以指定事件名稱 StartInstances，並指定活動的時間範圍為最後三天。

2. 選擇 [下載事件]，然後選擇 [下載] CSV 或 [下載] JSON。系統會提示您選擇儲存檔案的位置。

   注意

   您的下載可能需要一些時間才能完成。如需更快速的結果，請在您開始下載程序之前，使用更特定的篩選條件或較短的時間範圍來縮小結果範圍。

3. 下載完成後，請開啟檔案，以檢視您指定的事件。

4. 若要取消下載，請選擇 Cancel download (取消下載)。如果您在下載完成之前取消下載，則本機電腦上的CSV或JSON檔案可能只包含部分事件。