ActionTrail:カスタムアラート ルールの作成

シナリオ

説明

カスタムアラート文

クラウド サービスの特定のイベントをクエリする

serviceName パラメーターと eventName パラメーターを構成して、クラウド サービスの特定のイベントをクエリできます。

• クラウド サービスのイベントをクエリします。たとえば、次の文を使用して、Elastic Compute Service (ECS) インスタンスの作成時に生成されるイベントをクエリできます。

  event.serviceName: Ecs and event.eventName: RunInstances

• クラウド サービスの複数のイベントをクエリします。たとえば、次の文を使用して、ApsaraDB RDS インスタンスのリリース時に生成されるイベントをクエリできます。

  event.serviceName: RDS and (event.eventName: DeleteDBInstance or event.eventName: Release or event.eventName: DestroyDBInstance)

• 異なるクラウド サービスの複数のイベントをクエリします。たとえば、次の文を使用して、Resource Management と Resource Access Management (RAM) の権限変更に関するイベントをクエリできます。

  (event.serviceName: ResourceManager and (event.eventName: AttachPolicy or event.eventName: DetachPolicy )) or (event.serviceName: Ram and (event.eventName: AttachPolicyToUser or event.eventName: AttachPolicyToGroup or event.eventName: AttachPolicyToRole or event.eventName: DetachPolicyFromUser or event.eventName: DetachPolicyFromGroup or event.eventName: DetachPolicyFromRole))

指定されたパラメーターの値をクエリする

イベントパラメーターは、JSON フォーマットで event.requestParameterJson パラメーターに格納されます。ActionTrail では、カスタムアラートルールを作成して、イベントパラメーターの値がクエリされたときにアラートを生成できます。

• ECS インスタンスのリリース保護属性が false に変更されたときに生成されるイベントをクエリします。

  event.serviceName: Ecs and event.eventName: ModifyInstanceAttribute | SELECT * FROM (SELECT cast(json_extract("event.requestParameterJson", '$.DeletionProtection') as varchar) as deletion_protection FROM log) WHERE deletion_protection = 'false'

• IP アドレス 0.0.0.0 が ApsaraDB RDS インスタンスのホワイトリストに追加されたときに生成されるイベントをクエリします。

  event.serviceName: Rds and event.eventName: ModifySecurityIps | SELECT * FROM (SELECT cast(json_extract("event.requestParameterJson", '$.SecurityIps') as varchar) as security_ips FROM log) WHERE security_ips like '%0.0.0.0%'

リソースをクエリする

resourceName パラメーターと resourceType パラメーターを構成して、特定のイベントに関連するリソースをクエリできます。

パラメーターの詳細については、「管理イベントの構造」をご参照ください。

リソースをクエリします。たとえば、次の文を使用して、インスタンス リリース イベントでリリースされた ECS インスタンスの ID をクエリできます。

event.serviceName: Ecs and (event.eventName: DeleteInstances or event.eventName: DeleteInstance or event.eventName: Release) | SELECT resourceArray[num] as instance_id FROM (SELECT split("event.resourceName", ';') as resourceArray, array_position(split("event.resourceType", ';'), 'ACS::ECS::Instance') as num FROM log) where num > 0

アイデンティティの照会

特定のイベントの ID に関する情報をクエリし、特定の ID に対してアラートを生成するカスタムアラート ルールを作成できます。

userIdentity パラメーターには、type、userName、principalId、accountId などの複数のフィールドが含まれています。パラメーターの詳細については、「管理イベントの構造」をご参照ください。

• ID のタイプをクエリします。

  * | SELECT "event.userIdentity.type" as user_type

• ID の名前をクエリします。

  * | SELECT "event.userIdentity.userName" as user_name

• ID の ID をクエリします。

  * | SELECT "event.userIdentity.principalId" as principal_id

• ID が属する Alibaba Cloud アカウントの ID をクエリします。

  * | SELECT "event.userIdentity.accountId" as account_id

統計をクエリする

イベントが生成された回数をクエリし、指定されたしきい値を超えたときにアラートを生成するカスタムアラート ルールを作成できます。

• このアラートは、ECS インスタンスが過剰な回数 (たとえば 2 回以上) 再起動した場合にトリガーされます。

  event.serviceName: Ecs and (event.eventName: RebootInstances or event.eventName: RebootInstance) | SELECT account_id, resourceArray[num] as instance_id, count(*) as cnt FROM ( SELECT "event.userIdentity.accountId" as account_id, split("event.resourceName", ';') as resourceArray, array_position(split("event.resourceType", ';'), 'ACS::ECS::Instance') as num FROM log) where num > 0 group by account_id, instance_id

• ログインエラーの数が指定されたしきい値 (たとえば 2) を超えた場合にアラートを生成します。

  event.eventName: ConsoleSignin and event.userIdentity.type: ram-user and not event.errorMessage: success | select "event.userIdentity.principalId" as user_id, "event.userIdentity.userName" as user_name, count(1) as cnt group by user_id, user_name