Wie erhalte ich weitere Informationen zu einem CloudTrailAuthorizationFailures-Alarm?

Question

Ich erhalte mehrere dieser Alarme und habe mich daher entschlossen, mir den Ereignisverlauf in CloudTrail anzusehen. Allerdings sind keine Ereignisse mit Fehlercodes zu sehen. Ich hätte gedacht, dass die Ereignisse, die den Alarm auslösen, hier aufgeführt sind.

Frage:Wie erhalte ich also weitere Informationen zu dem Ereignis, das den CloudWatch-Alarm ausgelöst hat? Insbesondere möchte ich Dinge wie Quell-IP, IAM-Benutzer (falls vorhanden), verwendeten Zugriffsschlüssel (falls vorhanden) usw. wissen.

Answer 1

Kurze Antwort:
Sie müssen die CloudWatch-Protokollgruppe mit einem Metrikfiltersatz finden, der dem Alarmnamen entspricht.

Lange Antwort
Die Abfolge der Beobachtungen und Schritte, die mich zu den benötigten Informationen führten, war wie folgt:

1. Die E-Mail enthält keine Ereignis-IDs.
2. Wenn man CloudTrail mit der AWS-Konsole betrachtet, gibt es keine Möglichkeit, anhand von Fehlercodes nachzuschlagen. Und beim Navigieren durch die Seiten scheinen keine Fehlercodes aufzutreten, die auf einen unbefugten Zugriff hindeuten.
3. CloudTrail Insights mit Zeiten, die mit den per E-Mail empfangenen Zeiten korrelieren, kann nicht gefunden werden.
4. Die E-Mail enthält einen Link zum Alarm. Keine Ahnung, woher die benutzerdefinierte CloudWatch-Metrik „AuthorizationFailureCount“ stammt, und nichts Anklickbares, um zu überprüfen, welchem ​​AWS-Dienst sie zugeordnet ist.
5. Unter CloudWatch wurde eine Protokollgruppe mit Metrikfiltern gefunden. Wenn Sie auf den AuthorizationFailuresMetricFilterFilter klicken, werden einige Informationen angezeigt, darunter auch, wie die Metrik in Nr. 4 möglicherweise erstellt wurde.
6. Das Ausführen von „Testmuster“ in der Konsole erzeugt für einige Protokollströme keine Ergebnisse, für andere jedoch. Die Ergebnisse umfassen Ereignis-JSONs mit eventIdund sharedEventIDEigenschaften.
7. Unter CloudTrail können keine Ereignisse mit IDs (oder gemeinsam genutzten IDs) gefunden werden, die mit denen in den oben aufgeführten Ereignissen übereinstimmen.

Daher gehe ich zum jetzigen Zeitpunkt davon aus, dass es sich bei den in dieser Protokollgruppe gefundenen Ereignissen um die vollständige Liste der Ereignisse handelt, die mit der Metrik verknüpft sind, die den Alarm auslöst.

Der gesamte Vorgang wäre viel einfacher gewesen, wenn es in der Alarmansicht etwas gegeben hätte, das ihn mit relevanten Protokollgruppen verknüpft, aber das ist nicht der Fall. Auf Schritt Nr. 5 bin ich zufällig gestoßen und es besteht keine logische Verbindung zu Schritt Nr. 4.