クエリを使用したログエントリのフィルタリング

CloudWatch クエリを使用して、Transfer Family のログエントリをフィルタリングおよび識別できます。このセクションでは、いくつかの例を示します。

1. にサインイン AWS Management Console し、https://console.aws.amazon.com/cloudwatch/ で CloudWatch コンソールを開きます。

2. クエリまたはルールを作成できます。

   • Logs Insights クエリを作成するには、左側のナビゲーションパネルから Logs Insights を選択し、クエリの詳細を入力します。

   • Contributor Insights ルールを作成するには、左側のナビゲーションパネルから Insights > Contributor Insights を選択し、ルールの詳細を入力します。

3. 作成したクエリまたはルールを実行します。

認証失敗の上位の寄稿者を表示する

構造化ログでは、認証失敗ログエントリは次のようになります。

{
  "method":"password",
  "activity-type":"AUTH_FAILURE",
  "source-ip":"999.999.999.999",
  "resource-arn":"arn:aws:transfer:us-east-1:999999999999:server/s-0123456789abcdef",
  "message":"Invalid user name or password",
  "user":"exampleUser"
}

次のクエリを実行して、認証失敗の上位要因を表示します。

filter @logStream = 'ERRORS'
| filter `activity-type` = 'AUTH_FAILURE'
| stats count() as AuthFailures by user, method
| sort by AuthFailures desc
| limit 10

CloudWatch Logs Insights を使用する代わりに、CloudWatch Contributors Insights ルールを作成して認証の失敗を表示できます。次のようなルールを作成します。

{
    "AggregateOn": "Count",
    "Contribution": {
        "Filters": [
            {
                "Match": "$.activity-type",
                "In": [
                    "AUTH_FAILURE"
                ]
            }
        ],
        "Keys": [
            "$.user"
        ]
    },
    "LogFormat": "JSON",
    "Schema": {
        "Name": "CloudWatchLogRule",
        "Version": 1
    },
    "LogGroupARNs": [
        "arn:aws:logs:us-east-1:999999999999:log-group:/customer/structured_logs"
    ]
}

ファイルが開かれたログエントリを表示する

構造化ログでは、ファイルの読み取りログエントリは次のようになります。

{
  "mode":"READ",
  "path":"/fs-0df669c89d9bf7f45/avtester/example",
  "activity-type":"OPEN",
  "resource-arn":"arn:aws:transfer:us-east-1:999999999999:server/s-0123456789abcdef",
  "session-id":"0049cd844c7536c06a89"
}

次のクエリを実行して、ファイルが開かれたことを示すログエントリを表示します。

filter `activity-type` = 'OPEN'
| display @timestamp, @logStream, `session-id`, mode, path