Análise de CloudTrail eventos do Amazon Cognito com o Amazon Logs Insights CloudWatch

Você pode pesquisar e analisar seus CloudTrail eventos do Amazon Cognito com o Amazon CloudWatch Logs Insights. Quando você configura sua trilha para enviar eventos para o CloudWatch Logs, CloudTrail envia somente os eventos que correspondem às suas configurações de trilha.

Para consultar ou pesquisar seus CloudTrail eventos do Amazon Cognito, no CloudTrail console, certifique-se de selecionar a opção Gerenciamento de eventos nas configurações da trilha para poder monitorar as operações de gerenciamento realizadas em seus AWS recursos. Você pode selecionar a opção Eventos do Insights nas configurações de trilha quando quiser identificar erros, atividades ou comportamento incomuns do usuário em sua conta.

Exemplos de consultas do Amazon Cognito

Você pode usar as seguintes consultas no CloudWatch console da Amazon.

Consultas gerais

Encontre os 25 eventos de log adicionados mais recentemente.

fields @timestamp, @message | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com"

Obtenha uma lista dos 25 eventos de log adicionados mais recentemente que incluem exceções.

fields @timestamp, @message | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com" and @message like /Exception/

Consultas de exceção e erro

Encontre os 25 eventos de log adicionados mais recentemente com código de erro NotAuthorizedException junto com o grupo de usuários do Amazon Cognito sub.

fields @timestamp, additionalEventData.sub as user | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com" and errorCode= "NotAuthorizedException"

Encontre o número de registros com sourceIPAddress e o correspondente eventName.

filter eventSource = "cognito-idp.amazonaws.com"
| stats count(*) by sourceIPAddress, eventName

Encontre os 25 principais endereços IP que acionaram um erro de NotAuthorizedException.

filter eventSource = "cognito-idp.amazonaws.com" and errorCode= "NotAuthorizedException"
| stats count(*) as count by sourceIPAddress, eventName
| sort count desc | limit 25

Encontre os 25 principais endereços IP que chamaram a API ForgotPassword.

filter eventSource = "cognito-idp.amazonaws.com" and eventName = 'ForgotPassword'
| stats count(*) as count by sourceIPAddress
| sort count desc | limit 25