Como posso obter mais informações sobre um alarme CloudTrailAuthorizationFailures

Question

Estou recebendo vários desses alarmes, então decidi analisar o histórico de eventos no CloudTrail. No entanto, não há eventos que eu possa ver com códigos de erro. Eu teria pensado que os eventos que causaram o alarme estariam aqui.

Pergunta:Então, como posso obter mais informações sobre o evento que teria causado o alarme do CloudWatch? Especificamente, gostaria de saber coisas como IP de origem, usuário IAM (se houver), chave de acesso usada (se houver), etc.

Answer 1

Resposta curta:
É necessário encontrar o grupo de logs do CloudWatch com um conjunto de filtros de métrica que corresponda ao nome do alarme.

Resposta longa
A sequência de observações e etapas que me levaram às informações necessárias foram as seguintes:

1. O e-mail não contém IDs de evento.
2. Observando o CloudTrail com o console AWS, não há como pesquisar com base em códigos de erro. E ao navegar pelas páginas, não parece haver nenhum código de erro que sugira acesso não autorizado.
3. Não é possível encontrar o CloudTrail Insights com horários correlacionados aos recebidos por email.
4. O e-mail contém um link para o alarme. Não tenho ideia de onde veio a métrica personalizada "AuthorizationFailureCount" do CloudWatch e nada clicável para verificar para qual serviço da AWS ela está mapeada.
5. Encontrou um grupo de logs no CloudWatch com filtros de métrica. Clicar no AuthorizationFailuresMetricFilterfiltro traz algumas informações, incluindo como a métrica do item 4 pode ter sido criada.
6. A execução do 'Padrão de teste' no console não gera resultados para alguns fluxos de log, mas fornece resultados para outros. Os resultados incluem JSONs de eventos com propriedades eventIde sharedEventID.
7. Não é possível encontrar eventos no CloudTrail com IDs (ou IDs compartilhados) correspondentes aos eventos acima.

Portanto, meu palpite neste estágio é que os eventos encontrados neste grupo de logs são a lista exaustiva de eventos vinculados à métrica que dispara o alarme.

Todo esse processo teria sido muito mais simples se houvesse algo na visualização do alarme vinculando-o a qualquer grupo de log relevante, mas não há. A etapa 5 foi encontrada por acaso, sem nenhuma conexão lógica com a etapa 4.