CloudTrail 为事件数据存储记录 Insights 事件的内容 - AWS CloudTrail

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

CloudTrail 为事件数据存储记录 Insights 事件的内容

AWS CloudTrail 事件数据存储的 Insights 事件记录包括与 JSON 结构中其他CloudTrail 事件不同的字段，有时称为负载。事件数据存储的 CloudTrail Insights 事件记录包括以下字段：

注意

insightContext 的 attributions 字段中的 insightValue、insightAverage、baselineValue 和 baselineAverage 字段将于 2025 年 6 月 23 日开始弃用。

  • eventVersion：日志事件格式的版本。

    可选：False

  • eventCategory：事件的类别。对于 Insights 事件，值始终为 Insight。

    可选：False

  • eventType：事件类型。对于 Insights 事件，值始终为 AwsCloudTrailInsight。

    可选：False

  • eventID— 由生成的 GUID CloudTrail ，用于唯一标识每个事件。您可以使用此值来标识单个事件。例如，您可以将此 ID 用作主键来从可搜索的数据库中检索日志数据。

    可选：False

  • eventTime：Insights 事件开始或停止的时间，以协调世界时（UTC）表示。

    可选：False

  • awsRegion— Insights 事件发生 AWS 区域 的地点，例如us-east-2。

    可选：False

  • recipientAccountId：表示已收到此事件的账户 ID。

    可选：True

  • sharedEventID— 由 CloudTrail Insights 生成的 GUID，用于唯一标识 Insights 事件。 sharedEventID在 Insights 事件开始和结束 Insights 事件之间很常见，它有助于将两个事件联系起来，以唯一的方式识别异常活动。您可以将 sharedEventID 视为整体 Insights 事件 ID。

    可选：False

  • addendum：如果事件传递延迟，或者在记录事件后获得了有关现有事件的其他信息，则附录字段将显示有关事件延迟原因的信息。如果现有事件中缺少信息，则附录字段将包含缺失的信息以及缺失信息的原因。另请参阅 CloudTrail 记录管理、数据和网络活动事件的内容 中的 addendum。

    可选：True

  • insightSource：用于收集所分析的管理事件的源事件数据存储。

    可选：False

  • insightState：事件是开始还是结束 Insights 事件。该值可以是 Start 或 End。

    可选：False

  • insightEventSource— AWS 服务 那是异常活动的来源，例如ec2.amazonaws.com。

    可选：False

  • insightEventName：Insights 事件的名称，通常是作为异常活动的源的 API 的名称。

    可选：False

  • insightErrorCode：异常活动的错误代码。另请参阅 CloudTrail 记录管理、数据和网络活动事件的内容 中的 errorCode。

    可选：True

  • insightType：Insights 事件的类型。该值可以是 ApiCallRateInsight 或 ApiErrorRateInsight。

    可选：False

  • insightContext：包含有关 Insights 事件底层触发器的信息，例如用户身份、用户代理、历史平均值或基准以及 Insights 持续时间和平均值。

    可选：False

    • baselineAverage：在基准持续时间内，关于该账户的 Insights 事件主题 API 的平均每分钟 API 调用或错误次数，计算 Insights 事件开始之前七天内的值。

      可选：False

    • insightAverage：对于开始 Insights 事件，此值是在异常活动开始期间的每分钟平均 API 调用或错误次数。对于结束 Insights 事件，此值是在异常活动持续期间的每分钟平均 API 调用或错误次数。

      可选：False

    • baselineDuration：基准周期的持续时间（在主题 API 中测量正常活动的时间段），以分钟为单位。baselineDuration 至少为 Insights 事件之前的七天时间（10080 分钟）。此字段同时出现在开始和结束见解事件中。baselineDuration 测量的结束时间始终是见解事件的开始。

      可选：False

    • insightDuration：Insights 事件的持续时间（在主题 API 中从异常活动开始到结束的时间段），以分钟为单位。在 Insights 事件开始和结束时都会发生 insightDuration。

      可选：False

    • attributions：包含有关与异常活动和基准活动相关的用户身份、用户代理或错误代码的信息。

      可选：True

      注意

      insightContext 的 attributions 字段中的 insightValue、insightAverage、baselineValue 和 baselineAverage 字段将于 2025 年 6 月 23 日开始弃用。

      • attribute：包含属性类型。值可以是 userIdentityArn、userAgent 或 errorCode。如果存在，这些值在单个属性中只会出现一次。不同的属性值可以具有不同的 userIdentityArn、userAgent 或 errorCode 值，但是每个属性实例只会包含 userIdentityArn、userAgent 或 errorCode 的一个值。

        可选：False

      • insightValue：异常活动期间进行的 API 调用或发生的错误的顶级属性值。

        可选：False

      • insightAverage：insightValue字段中的属性在异常活动期间每分钟的 API 调用或错误数。

        可选：False

      • baselineValue：对正常活动期间记录的 API 调用或错误有贡献的顶级属性值。

        可选：False

      • baselineAverage：在 Insights 活动开始时间之前的七天内，baselineValue 字段中的属性的每分钟 API 调用或错误的历史平均值。

        可选：False

      • insight：对异常活动期间进行的 API 调用或错误有贡献的前五个属性值。它还显示异常活动期间属性进行的 API 调用或发生的错误的平均数量。

        可选：False

        • value：对异常活动期间进行的 API 调用或错误有贡献的属性。

          可选：False

        • average：value字段中的属性在异常活动期间每分钟 API 调用或错误的平均数量。

          可选：False

      • baseline：对正常活动期间的 API 调用或错误最有贡献的前五个属性值。它还显示属性值在正常活动期间记录的 API 调用或错误的平均数量。

        可选：False

        • value：对正常活动期间的 API 调用或错误有贡献的属性。

          可选：False

        • average：在 Insights 活动开始时间之前的七天内，value 字段中的属性的每分钟 API 调用或错误的历史平均值。

          可选：False