Analisi degli eventi di Amazon CloudTrail Cognito con Amazon CloudWatch Logs Insights

Puoi cercare e analizzare i tuoi CloudTrail eventi di Amazon Cognito con Amazon CloudWatch Logs Insights. Quando configuri il percorso per inviare eventi a CloudWatch Logs, CloudTrail invia solo gli eventi che corrispondono alle impostazioni del percorso.

Per interrogare o ricercare CloudTrail gli eventi di Amazon Cognito, nella CloudTrail console, assicurati di selezionare l'opzione Management events nelle impostazioni del trail in modo da poter monitorare le operazioni di gestione eseguite sulle tue AWS risorse. Se lo desideri, puoi selezionare l'opzione Eventi Insights nelle impostazioni del percorso per identificare errori, attività insolite o comportamenti insoliti dell'utente nell'account.

Query di Amazon Cognito di esempio

Puoi utilizzare le seguenti query nella CloudWatch console Amazon.

Query generali

Trova i 25 log eventi aggiunti più di recente.

fields @timestamp, @message | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com"

Ottieni un elenco dei 25 eventi di log aggiunti più di recente che includono eccezioni.

fields @timestamp, @message | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com" and @message like /Exception/

Query di eccezioni ed errori

Trova i 25 eventi di log aggiunti più di recente con codice di errore NotAuthorizedException insieme al bacino d'utenza di Amazon Cognito sub.

fields @timestamp, additionalEventData.sub as user | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com" and errorCode= "NotAuthorizedException"

Trova il numero di record con sourceIPAddress e eventName corrispondente.

filter eventSource = "cognito-idp.amazonaws.com"
| stats count(*) by sourceIPAddress, eventName

Trova i primi 25 indirizzi IP che hanno attivato un errore NotAuthorizedException.

filter eventSource = "cognito-idp.amazonaws.com" and errorCode= "NotAuthorizedException"
| stats count(*) as count by sourceIPAddress, eventName
| sort count desc | limit 25

Trova i primi 25 indirizzi IP che hanno chiamato il ForgotPasswordAPI.

filter eventSource = "cognito-idp.amazonaws.com" and eventName = 'ForgotPassword'
| stats count(*) as count by sourceIPAddress
| sort count desc | limit 25