Proses catatan log alur di CloudWatch Log

Anda dapat memproses catatan log alur seperti yang Anda lakukan dengan peristiwa log lainnya yang dikumpulkan oleh CloudWatch Log. Untuk informasi selengkapnya tentang memantau data log dan filter metrik, lihat Mencari dan Memfilter Data Log di Panduan CloudWatch Pengguna Amazon.

Contoh: Membuat filter CloudWatch metrik dan alarm untuk log aliran

Dalam contoh ini, Anda memiliki log alur untuk eni-1a2b3c4d. Anda ingin membuat alarm yang memberi tahu Anda jika ada 10 atau lebih upaya yang ditolak untuk terhubung ke instans Anda melalui TCP port 22 (SSH) dalam jangka waktu 1 jam. Pertama, Anda harus membuat filter metrik yang sesuai dengan pola lalu lintas yang untuknya harus membuat alarm. Setelah itu, Anda dapat membuat alarm untuk filter metrik.

Untuk membuat filter metrik untuk SSH lalu lintas yang ditolak dan membuat alarm untuk filter

1. Buka CloudWatch konsol di https://console.aws.amazon.com/cloudwatch/.

2. Di panel navigasi, pilih Log, Grup log.

3. Pilih kotak centang untuk grup log, lalu pilih Tindakan, Buat filter metrik.

4. Untuk pola Filter, masukkan string berikut.

   [version, account, eni, source, destination, srcport, destport="22", protocol="6", packets, bytes, windowstart, windowend, action="REJECT", flowlogstatus]

5. Untuk Pilih data log yang akan diuji, pilih aliran log untuk antarmuka jaringan Anda. (Opsional) Untuk melihat baris data log yang cocok dengan pola filter, pilih Pola uji.

6. Saat Anda siap, pilih Berikutnya.

7. Masukkan nama filter, namespace metrik, dan nama metrik. Tetapkan nilai metrik ke 1. Setelah selesai, pilih Berikutnya dan kemudian pilih Buat filter metrik.

8. Pada panel navigasi, pilih Alarm, Semua alarm.

9. Pilih Buat alarm.

10. Pilih nama metrik yang Anda buat lalu pilih Pilih metrik.

11. Konfigurasikan alarm sebagai berikut, lalu pilih Next (Selanjutnya):

    • Untuk Statistik pilih Jumlah. Ini memastikan bahwa Anda menangkap jumlah total titik data untuk periode waktu yang ditentukan.

    • Untuk Periode, pilih 1 jam.

    • Untuk Kapan TimeSinceLastActive pun... , pilih Greater/Equal dan masukkan 10 untuk ambang batas.

    • Untuk konfigurasi Tambahan, Datapoint ke alarm, biarkan default 1.

12. Pilih Berikutnya.

13. Untuk Pemberitahuan, pilih SNS topik yang ada atau pilih Buat topik baru untuk membuat topik baru. Pilih Berikutnya.

14. Masukkan nama dan deskripsi untuk alarm dan pilih Berikutnya.

15. Setelah selesai melihat pratinjau alarm, pilih Buat alarm.