Menggunakan CloudWatch Wawasan dengan Amazon WorkMail

Jika mengaktifkan pencatatan peristiwa email di WorkMail konsol Amazon atau mengaktifkan pengiriman log audit ke CloudWatch Log, Anda dapat menggunakan Amazon CloudWatch Logs Insights untuk menanyakan log peristiwa. Untuk informasi selengkapnya tentang mengaktifkan pencatatan peristiwa email, lihat Mengaktifkan pencatatan peristiwa email. Untuk informasi selengkapnya tentang Wawasan CloudWatch Log, lihat Menganalisis data CloudWatch log dengan Wawasan Log di Panduan Pengguna CloudWatch Log Amazon.

Contoh berikut menunjukkan cara kueri CloudWatch Log untuk acara email umum. Anda menjalankan kueri ini di CloudWatch konsol. Untuk petunjuk tentang cara menjalankan kueri ini, lihat Tutorial: Menjalankan dan memodifikasi contoh kueri di Panduan Pengguna Amazon CloudWatch Logs.

contoh Lihat mengapa Pengguna B tidak menerima email yang dikirim oleh Pengguna A.

Contoh kode berikut menunjukkan bagaimana untuk meminta email keluar yang dikirim oleh Pengguna A ke Pengguna B, diurutkan berdasarkan timestamp.

fields @timestamp, traceId

| sort @timestamp asc
| filter (event.from like /(?i)[e-mail]/
and event.eventName = "OUTGOING_EMAIL_SUBMITTED"
and event.recipients.0 like /(?i)[e-mail]/)

Ini mengembalikan pesan yang dikirim dan ID jejak. Gunakan ID jejak dalam contoh kode berikut untuk meminta pencatatan peristiwa untuk pesan terkirim.

fields @timestamp, event.eventName
| sort @timestamp asc
| filter traceId = "$TRACEID"

Ini mengembalikan ID pesan email dan peristiwa email. OUTGOING_EMAIL_SENT menunjukkan bahwa email telah dikirim. OUTGOING_EMAIL_BOUNCED menunjukkan bahwa email terpental. Untuk melihat apakah email diterima, kueri menggunakan ID pesan dalam contoh kode berikut.

fields @timestamp, event.eventName
| sort @timestamp asc
| filter event.messageId like "$MESSAGEID"

Ini juga seharusnya mengembalikan pesan yang diterima, karena memiliki ID pesan yang sama. Gunakan ID jejak dalam contoh kode berikut untuk kueri untuk pengiriman.

fields @timestamp, event.eventName
| sort @timestamp asc
| filter traceId = "$TRACEID"

Ini mengembalikan tindakan pengiriman dan tindakan aturan yang berlaku.

 

contoh Melihat semua email yang diterima dari pengguna atau domain

Contoh kode berikut mendemonstrasikan cara meminta semua surat yang diterima dari pengguna tertentu.

fields @timestamp, event.eventName
| sort @timestamp asc
| filter (event.from like /(?i)[e-mail]/ and event.eventName = "ORGANIZATION_EMAIL_RECEIVED")

Contoh kode berikut mendemonstrasikan cara meminta semua surat yang diterima dari domain tertentu.

fields @timestamp, event.eventName
| sort @timestamp asc
| filter (event.from like "example.com" and event.eventName = "ORGANIZATION_EMAIL_RECEIVED")  

contoh Lihat siapa yang mengirim email yang memantul

Contoh kode berikut menunjukkan bagaimana meminta email keluar yang terpental, dan juga mengembalikan alasan untuk pementalan.

fields @timestamp, event.destination, event.reason
| sort @timestamp desc
| filter event.eventName = "OUTGOING_EMAIL_BOUNCED"

Contoh kode berikut menunjukkan bagaimana untuk query untuk email masuk yang memantul. Ini juga mengembalikan alamat email penerima yang terpental dan alasan memantul.

fields @timestamp, event.bouncedRecipient.emailAddress, event.bouncedRecipient.reason, event.bouncedRecipient.status
| sort @timestamp desc
| filter event.eventName = "INCOMING_EMAIL_BOUNCED"

contoh Lihat domain mana yang mengirim spam

Contoh kode berikut mendemonstrasikan cara meminta penerima di organisasi Anda yang menerima spam.

stats count(*) as c by event.recipients.0
| filter (event.eventName = "ORGANIZATION_EMAIL_RECEIVED" and event.spamVerdict = "FAIL")
| sort c desc

Contoh kode berikut mendemonstrasikan cara meminta pengirim email spam.

fields @timestamp, event.recipients.0, event.sender, event.from
| sort @timestamp asc
| filter (event.spamVerdict = "FAIL")

contoh Lihat mengapa email dikirim ke folder spam penerima

Contoh kode berikut mendemonstrasikan cara meminta email yang diidentifikasi sebagai spam, disaring berdasarkan subjek.

fields @timestamp, event.recipients.0, event.spamVerdict, event.spfVerdict, event.dkimVerdict, event.dmarcVerdict
| sort @timestamp asc
| filter event.subject like /(?i)$SUBJECT/ and event.eventName = "ORGANIZATION_EMAIL_RECEIVED"

Anda juga dapat meminta berdasarkan ID jejak email untuk melihat semua peristiwa untuk email.

 

contoh Lihat email yang cocok dengan aturan alur email

Contoh kode berikut mendemonstrasikan cara meminta email yang cocok dengan aturan aliran email keluar.

fields @timestamp, event.ruleName, event.ruleActions.0.action
| sort @timestamp desc
| filter event.ruleType = "OUTBOUND_RULE"

Contoh kode berikut mendemonstrasikan cara meminta email yang cocok dengan aturan aliran email masuk.

fields @timestamp, event.ruleName, event.ruleActions.0.action, event.ruleActions.0.recipients.0
| sort @timestamp desc
| filter event.ruleType = "INBOUND_RULE"

contoh Lihat berapa banyak email yang diterima atau dikirim oleh organisasi Anda

Contoh kode berikut mendemonstrasikan cara meminta jumlah email yang diterima oleh setiap penerima di organisasi Anda.

stats count(*) as c by event.recipient
| filter event.eventName = "MAILBOX_EMAIL_DELIVERED"
| sort c desc

Contoh kode berikut mendemonstrasikan cara meminta jumlah email yang dikirim oleh masing-masing pengirim di organisasi Anda.

stats count(*) as c by event.from
| filter event.eventName = "OUTGOING_EMAIL_SUBMITTED"
| sort c desc