ActionTrail:Análisis de eventos en SLS

Requisitos previos

Debe haber creado una pista para entregar eventos a SLS. Create a single-account trail. Create a multi-account trail.

Investigación de una AccessKey comprometida

Si detecta llamadas a la API desde una dirección IP inusual o sospecha que una AccessKey está comprometida, analice el historial de llamadas de dicha AccessKey en SLS para identificar actividades sospechosas.

Identifique la ciudad de origen de cada llamada. Las ciudades fuera de sus ubicaciones habituales de negocio indican un posible compromiso.

1. Inicie sesión en la consola de Simple Log Service.

2. En la pestaña Projects, dentro de la sección Projects, haga clic en el nombre del proyecto correspondiente al evento.

3. Haga clic en el nombre del Logstore y utilice el selector de intervalo de tiempo situado encima del editor de consultas para establecer dicho intervalo.

4. Introduzca la siguiente consulta en el editor de consultas.

   __topic__: actiontrail_audit_event and event.userIdentity.accessKeyId:<YourAccessKeyId> | SELECT count(1) as pv, city FROM (SELECT "event.sourceIpAddress" AS ip, ip_to_city("event.sourceIpAddress") as city FROM log) WHERE ip_to_domain(ip)!='intranet' GROUP BY city ORDER BY pv DESC

   Nota

   • Reemplace <YourAccessKeyId> por su ID de AccessKey.

   • Esta consulta contabiliza las llamadas por ciudad para la AccessKey especificada. Las ciudades fuera de sus ubicaciones de negocio indican un posible compromiso.

5. Haga clic en Search & Analyze para consultar los resultados.

6. Opcional: Si una AccessKey está comprometida, ajuste los permisos del usuario de RAM correspondiente.

   Revoke permissions from a RAM user.

Rastreo de la eliminación de instancias ECS

Rastree operaciones de alto riesgo, como la eliminación de instancias ECS, para identificar quién las ejecutó.

1. Inicie sesión en la consola de Simple Log Service.

2. En la pestaña Projects, localice la sección Projects y haga clic en el nombre del proyecto asociado al evento.

3. Haga clic en el nombre del Logstore y utilice el selector de intervalo de tiempo situado encima del editor de consultas para establecer dicho intervalo.

4. Introduzca la siguiente consulta en el editor de consultas.

   __topic__: actiontrail_audit_event | SELECT serviceName, eventName, userName, count(1) as pv FROM (SELECT "event.eventName" as eventName, "event.serviceName" as serviceName, "event.userIdentity.userName" as userName FROM log) WHERE (serviceName = <TargetServiceName> and eventName = <TargetEventName>) GROUP BY serviceName, eventName, userName

   Nota

   Reemplace <TargetServiceName> por ECS y <TargetEventName> por DeleteInstances para averiguar quién eliminó una instancia ECS.

5. Haga clic en Search & Analyze para consultar los resultados.

   Los resultados muestran qué usuarios eliminaron instancias ECS y cuántas veces lo hicieron. Para investigar una operación específica, ejecute la siguiente consulta.

   __topic__: actiontrail_audit_event and event.serviceName:<TargetServiceName> and <TargetResourceId> and event.userIdentity.accessKeyId:<YourAccessKeyId>

Generación de un informe de uso de recursos

Genere informes de datos sobre el uso de recursos principales para respaldar la planificación de capacidad y la evaluación de riesgos.

Por ejemplo, analice la creación de instancias ECS durante los últimos seis meses para prever las necesidades de recursos de los próximos seis meses y optimizar costos.

1. Inicie sesión en la consola de Simple Log Service.

2. En la pestaña Projects, localice la sección Projects y haga clic en el nombre del proyecto correspondiente al evento.

3. Haga clic en el nombre del Logstore y utilice el selector de intervalo de tiempo situado encima del editor de consultas para establecer dicho intervalo.

4. Introduzca la siguiente consulta en el editor de consultas.

   __topic__: actiontrail_audit_event and event.serviceName:<TargetServiceName> and event.eventName:<TargetEventName> | select t, diff[1] as current, diff[2] as last_month, diff[3] as percentage from(select t, compare( pv , 2592000) as diff from (select count(1) as pv, date_format(from_unixtime(__time__), '%m') as t from log group by t) group by t order by t)

   Nota

   Reemplace <TargetServiceName> por ECS y <TargetEventName> por CreateInstance. Esta consulta devuelve el número de instancias ECS creadas cada mes y muestra la tasa de crecimiento intermensual.

5. Haga clic en Search & Analyze para consultar los resultados.

6. En la parte inferior de la página, haga clic en la pestaña Chart.

7. En el área General Configurations, situada en el lado derecho de la pestaña, seleccione Chart Types > en la lista de tipos de gráfico.

Utilice consultas similares para otras operaciones. El análisis de los patrones de llamadas ayuda a identificar los momentos de mayor demanda y a mejorar la utilización de los recursos.

Configuración de una alerta de anomalías

Configure una alerta que se active cuando el volumen de acceso diario de un servicio supere su promedio de 60 días en un porcentaje especificado. También puede agregar gráficos personalizados para el monitoreo en tiempo real. Add a chart to a dashboard.

1. Inicie sesión en la consola de Simple Log Service.

2. En la pestaña Projects, localice la sección Projects y haga clic en el nombre del proyecto correspondiente al evento.

3. Consulte el tráfico promedio de 60 días y el tráfico en tiempo real del día actual para cada servicio en la nube.

   1. Haga clic en el nombre del Logstore y utilice el selector de intervalo de tiempo situado encima del editor de consultas.

   2. En el área Select Time, haga clic en Custom y establezca el intervalo de tiempo en los últimos 60 días.

   3. Introduzca la siguiente consulta en el editor de consultas.

      __topic__: actiontrail_audit_event |select a.serviceName, a.avg_pv, b.today_pv from (select serviceName, avg(pv) as avg_pv from (select "event.serviceName" as serviceName, count(1) as pv, date_format(from_unixtime(__time__), '%m-%d') as day from log group by serviceName, day) group by serviceName) a join (select "event.serviceName" as serviceName, count(1) as today_pv from log where date_format(from_unixtime(__time__), '%Y-%m-%d')=current_date group by serviceName) b on a.serviceName = b.serviceName

   4. Haga clic en Search & Analyze para consultar los resultados.

   5. En la parte inferior de la página, haga clic en la pestaña Chart.

   6. En el área General Configurations, situada en el lado derecho de la pestaña, seleccione Chart Types > en la lista de tipos de gráfico.

      Nota

      Agregue condiciones de filtro para excluir servicios o eventos no deseados.

4. Configure la alerta.

   1. En la esquina superior derecha del gráfico, haga clic en el icono .

   2. En el panel Alert Monitoring Rule, configure los parámetros.

      Create an alert.

   3. Configure la condición de activación.

      $0.today_pv > $0.avg_pv && ($0.today_pv - $0.avg_pv)/$0.avg_pv > 0.5

      En esta expresión, $0 representa los datos sin procesar del gráfico obtenidos de la consulta, que incluyen los volúmenes de acceso diarios y el promedio de 60 días para cada servicio. $0.avg_pv representa el volumen promedio de acceso de 60 días para un servicio.

   4. Haga clic en Confirm.

Documentación relacionada

• Quick start for query and analysis

• FAQ about query and analysis