ActionTrail:SLS でのイベント分析

漏洩した AccessKey の調査

通常と異なる IP アドレスからの API 呼び出しを検出した場合、または AccessKey が侵害された疑いがある場合は、SLS で AccessKey の呼び出しトレースを分析し、不審なアクティビティを特定します。

各呼び出しの発信元の都市を特定します。通常の業務拠点以外の都市は、侵害の可能性を示します。

1. Simple Log Service コンソールにログインします。

2. プロジェクト タブの プロジェクト一覧 で、イベントのプロジェクト名をクリックします。

3. ログストア名をクリックし、クエリエディターの上にある時間範囲ピッカーを使用して時間範囲を設定します。

4. クエリエディターで、次のクエリを入力します。

   __topic__: actiontrail_audit_event and event.userIdentity.accessKeyId:<お使いの AccessKeyId> | SELECT count(1) as pv, city FROM (SELECT "event.sourceIpAddress" AS ip, ip_to_city("event.sourceIpAddress") as city FROM log) WHERE ip_to_domain(ip)!='intranet' GROUP BY city ORDER BY pv DESC

   説明

   • <YourAccessKeyId> を、お使いの AccessKey ID に置き換えてください。

   • このクエリは、指定した AccessKey の都市別の呼び出し数をカウントします。業務拠点以外の都市は、侵害の可能性を示します。

5. 検索と分析 をクリックすると、結果が表示されます。

6. 任意: AccessKey が侵害された場合は、対応する RAM ユーザーの権限を調整します。

   RAM ユーザーから権限を取り消す。

ECS インスタンス削除のトレース

ECS インスタンスの削除などの高リスク操作をトレースして、誰が実行したかを特定します。

1. Simple Log Service コンソールにログインします。

2. プロジェクト タブの プロジェクト一覧 セクションで、イベントに関連付けられているプロジェクト名をクリックします。

3. ログストア名をクリックし、クエリエディターの上にある時間範囲ピッカーを使用して時間範囲を設定します。

4. クエリエディターに次のクエリを入力します。

   __topic__: actiontrail_audit_event | SELECT serviceName, eventName, userName, count(1) as pv FROM (SELECT "event.eventName" as eventName, "event.serviceName" as serviceName, "event.userIdentity.userName" as userName FROM log) WHERE (serviceName = <TargetServiceName> and eventName = <TargetEventName>) GROUP BY serviceName, eventName, userName

   説明

   ECS インスタンスを削除したユーザーを特定するには、<TargetServiceName> を ECS に、<TargetEventName> を DeleteInstances に置き換えます。

5. 検索と分析 をクリックして結果を表示します。

   結果には、ECS インスタンスを削除したユーザーとその回数が表示されます。特定の操作を調査するには、次のクエリを実行します。

   __topic__: actiontrail_audit_event and event.serviceName:<対象サービス名> and <対象リソース ID> and event.userIdentity.accessKeyId:<お使いの AccessKeyId>

リソース使用状況レポートの生成

主要なリソース使用状況に関するデータレポートを生成し、容量計画とリスクアセスメントを支援します。

たとえば、直近 6 か月の ECS インスタンス作成を分析して、今後 6 か月のリソース需要を予測し、コストを最適化します。

1. Simple Log Service コンソールにログインします。

2. プロジェクト タブで、プロジェクト一覧 を見つけ、イベントのプロジェクト名をクリックします。

3. ログストア名をクリックし、クエリエディタの上にある時間範囲ピッカーで時間範囲を設定します。

4. クエリエディターで、次のクエリを入力します。

   __topic__: actiontrail_audit_event and event.serviceName:<TargetServiceName> and event.eventName:<TargetEventName> | select t, diff[1] as current, diff[2] as last_month, diff[3] as percentage from(select t, compare( pv , 2592000) as diff from (select count(1) as pv, date_format(from_unixtime(__time__), '%m') as t from log group by t) group by t order by t)

   説明

   <TargetServiceName> を ECS に、<TargetEventName> を CreateInstance に置き換えます。このクエリは、毎月作成された ECS インスタンスの数を返し、前月比の増加率を表示します。

5. 検索と分析 をクリックして結果を表示します。

6. ページの下部で、グラフ タブをクリックします。

7. タブの右側にある 共通設定 エリアで、チャートタイプリストから グラフ種別 > を選択します。

他の操作についても同様のクエリを使用できます。呼び出しパターンを分析すると、ピーク時間の特定やリソース使用率の改善に役立ちます。

異常アラートの設定

サービスの日次アクセス量が 60 日平均を指定した割合で上回った場合にアラートを設定します。リアルタイムモニタリング用にカスタムチャートを追加することもできます。詳細については、「ダッシュボードにチャートを追加する」をご参照ください。

1. Simple Log Service コンソールにログインします。

2. プロジェクト タブで、プロジェクト一覧 を見つけ、イベントのプロジェクト名をクリックします。

3. 各クラウドサービスの 60日間の平均トラフィックと当日のリアルタイムトラフィックを照会します。

   1. Logstore の名前をクリックし、次にクエリエディターの上にある時間範囲ピッカーを使用します。

   2. 時間の選択 エリアで、カスタム をクリックし、時間範囲を過去 60 日間に設定します。

   3. クエリエディターで、次のクエリを入力します。

      __topic__: actiontrail_audit_event |select a.serviceName, a.avg_pv, b.today_pv from (select serviceName, avg(pv) as avg_pv from (select "event.serviceName" as serviceName, count(1) as pv, date_format(from_unixtime(__time__), '%m-%d') as day from log group by serviceName, day) group by serviceName) a join (select "event.serviceName" as serviceName, count(1) as today_pv from log where date_format(from_unixtime(__time__), '%Y-%m-%d')=current_date group by serviceName) b on a.serviceName = b.serviceName

   4. 検索と分析 をクリックして結果を表示します。

   5. ページの下部で、グラフ タブをクリックします。

   6. タブの右側にある共通設定 エリアで、グラフタイプリストからグラフ種別 > を選択します。

      説明

      不要なサービスやイベントを除外するためのフィルター条件を追加してください。

4. アラートを設定します。

   1. チャートの右上隅で、 アイコンをクリックします。

   2. Alert Monitoring Rule パネルで、パラメーターを設定します。

      詳細については、「アラートの作成」をご参照ください。

   3. トリガー条件を設定します。

      $0.today_pv > $0.avg_pv && ($0.today_pv - $0.avg_pv)/$0.avg_pv > 0.5

      この式では、$0 は、各サービスの日次および 60 日間の平均アクセスボリュームを含む、クエリからの生のグラフデータを表します。 $0.avg_pv は、サービスの 60 日間の平均アクセスボリュームを表します。

   4. 決定 をクリックします。

関連ドキュメント

• クエリと分析のクイックスタート

• クエリと分析に関するよくある質問