ActionTrail:Analyze events in SLS

Prerequisites

Vous avez créé un trail pour acheminer les événements vers SLS. Create a single-account trail. Create a multi-account trail.

Investigate a leaked AccessKey

Si vous détectez des appels API provenant d'une adresse IP inhabituelle ou si vous soupçonnez qu'un AccessKey a été compromis, analysez la trace des appels associés à cette clé dans SLS pour identifier toute activité suspecte.

Identifiez la ville d'origine de chaque appel. Les villes situées en dehors de vos zones d'activité habituelles peuvent indiquer une compromission potentielle.

1. Connectez-vous à la Simple Log Service console.

2. Dans l'onglet Projects, localisez la section Projects et cliquez sur le nom du projet associé à l'événement.

3. Cliquez sur le nom du Logstore, puis utilisez le sélecteur de plage temporelle situé au-dessus de l'éditeur de requête pour définir une période.

4. Saisissez la requête suivante dans l'éditeur de requête.

   __topic__: actiontrail_audit_event and event.userIdentity.accessKeyId:<YourAccessKeyId> | SELECT count(1) as pv, city FROM (SELECT "event.sourceIpAddress" AS ip, ip_to_city("event.sourceIpAddress") as city FROM log) WHERE ip_to_domain(ip)!='intranet' GROUP BY city ORDER BY pv DESC

   Remarque

   • Remplacez <YourAccessKeyId> par votre AccessKey ID.

   • Cette requête compte le nombre d'appels par ville pour l'AccessKey spécifié. Les villes situées en dehors de vos zones d'activité habituelles peuvent indiquer une compromission potentielle.

5. Cliquez sur Search & Analyze pour afficher les résultats.

6. Facultatif : Si un AccessKey est compromis, ajustez les permissions de l'utilisateur RAM correspondant.

   Revoke permissions from a RAM user.

Trace ECS instance deletion

Retracez les opérations à haut risque, telles que la suppression d'instances ECS, afin d'identifier les utilisateurs qui les ont effectuées.

1. Connectez-vous à la Simple Log Service console.

2. Dans l'onglet Projects, localisez la section Projects et cliquez sur le nom du projet associé à l'événement.

3. Cliquez sur le nom du Logstore, puis utilisez le sélecteur de plage temporelle situé au-dessus de l'éditeur de requête pour définir une période.

4. Saisissez la requête suivante dans l'éditeur de requête.

   __topic__: actiontrail_audit_event | SELECT serviceName, eventName, userName, count(1) as pv FROM (SELECT "event.eventName" as eventName, "event.serviceName" as serviceName, "event.userIdentity.userName" as userName FROM log) WHERE (serviceName = <TargetServiceName> and eventName = <TargetEventName>) GROUP BY serviceName, eventName, userName

   Remarque

   Remplacez <TargetServiceName> par ECS et <TargetEventName> par DeleteInstances pour identifier l'utilisateur ayant supprimé une instance ECS.

5. Cliquez sur Search & Analyze pour afficher les résultats.

   Les résultats indiquent quels utilisateurs ont supprimé des instances ECS et le nombre de fois où ils l'ont fait. Pour enquêter sur une opération spécifique, exécutez la requête suivante.

   __topic__: actiontrail_audit_event and event.serviceName:<TargetServiceName> and <TargetResourceId> and event.userIdentity.accessKeyId:<YourAccessKeyId>

Generate a resource usage report

Générez des rapports de données sur l'utilisation des ressources principales afin de soutenir la planification de la capacité et l'évaluation des risques.

Par exemple, analysez la création d'instances ECS au cours des six derniers mois pour prévoir les besoins en ressources des six prochains mois et optimiser les coûts.

1. Connectez-vous à la Simple Log Service console.

2. Dans l'onglet Projects, localisez la section Projects et cliquez sur le nom du projet associé à l'événement.

3. Cliquez sur le nom du Logstore, puis utilisez le sélecteur de plage temporelle situé au-dessus de l'éditeur de requête pour définir une période.

4. Saisissez la requête suivante dans l'éditeur de requête.

   __topic__: actiontrail_audit_event and event.serviceName:<TargetServiceName> and event.eventName:<TargetEventName> | select t, diff[1] as current, diff[2] as last_month, diff[3] as percentage from(select t, compare( pv , 2592000) as diff from (select count(1) as pv, date_format(from_unixtime(__time__), '%m') as t from log group by t) group by t order by t)

   Remarque

   Remplacez <TargetServiceName> par ECS et <TargetEventName> par CreateInstance. Cette requête renvoie le nombre d'instances ECS créées chaque mois, ainsi que le taux de croissance mensuel.

5. Cliquez sur Search & Analyze pour afficher les résultats.

6. En bas de la page, cliquez sur l'onglet Chart.

7. Dans la zone General Configurations située à droite de l'onglet, sélectionnez Chart Types > dans la liste des types de graphique.

Utilisez des requêtes similaires pour d'autres opérations. L'analyse des modèles d'appels permet d'identifier les heures de pointe et d'améliorer l'utilisation des ressources.

Configure an anomaly alert

Configurez une alerte lorsque le volume d'accès quotidien d'un service dépasse sa moyenne sur 60 jours d'un pourcentage spécifié. Vous pouvez également ajouter des graphiques personnalisés pour une surveillance en temps réel. Add a chart to a dashboard.

1. Connectez-vous à la Simple Log Service console.

2. Dans l'onglet Projects, localisez la section Projects et cliquez sur le nom du projet associé à l'événement.

3. Interrogez le trafic moyen sur 60 jours et le trafic en temps réel de la journée en cours pour chaque cloud service.

   1. Cliquez sur le nom du Logstore, puis utilisez le sélecteur de plage temporelle situé au-dessus de l'éditeur de requête.

   2. Dans la zone Select Time, cliquez sur Custom et définissez la plage temporelle sur les 60 derniers jours.

   3. Saisissez la requête suivante dans l'éditeur de requête.

      __topic__: actiontrail_audit_event |select a.serviceName, a.avg_pv, b.today_pv from (select serviceName, avg(pv) as avg_pv from (select "event.serviceName" as serviceName, count(1) as pv, date_format(from_unixtime(__time__), '%m-%d') as day from log group by serviceName, day) group by serviceName) a join (select "event.serviceName" as serviceName, count(1) as today_pv from log where date_format(from_unixtime(__time__), '%Y-%m-%d')=current_date group by serviceName) b on a.serviceName = b.serviceName

   4. Cliquez sur Search & Analyze pour afficher les résultats.

   5. En bas de la page, cliquez sur l'onglet Chart.

   6. Dans la zone General Configurations située à droite de l'onglet, sélectionnez Chart Types > dans la liste des types de graphique.

      Remarque

      Ajoutez des conditions de filtrage pour exclure les services ou événements indésirables.

4. Configurez l'alerte.

   1. Dans le coin supérieur droit du graphique, cliquez sur l'icône .

   2. Dans le panneau Alert Monitoring Rule, configurez les paramètres.

      Create an alert.

   3. Configurez la condition de déclenchement.

      $0.today_pv > $0.avg_pv && ($0.today_pv - $0.avg_pv)/$0.avg_pv > 0.5

      Dans cette expression, $0 représente les données brutes du graphique issues de la requête, qui incluent les volumes d'accès quotidiens et la moyenne sur 60 jours pour chaque service. $0.avg_pv représente le volume d'accès moyen sur 60 jours pour un service.

   4. Cliquez sur Confirm.

Related documentation

• Quick start for query and analysis

• FAQ about query and analysis