フィルターの一覧を確認するためには、「ログ」「ロググループ」を選択します。

アラームの一覧を確認するためには、「アラーム」「すべてのアラーム」を選択します。

※アラームの作成は、ロググループで、アラームを飛ばしたいものを選択した状態で、「アラームの作成」を選択する方法がわかりやすいです。

• 特定の文字列が含まれているログを集計するもの
• 通知の内容にログ本文を入れることはできません。
• メトリクスフィルターは１つのロググループに対していくつでも設定することができます

• フィルタで検知したログの内容をLambdaやKinesisを始めとしたサービスに送る
• Lambdaを作れば、通知内容にサブスクリプションフィルターで検出したログの内容を含めることができる
• サブスクリプションフィルターは１つのロググループに２つまでしか設定することができません。

• フィルタには正規表現は使用できず、単純な文字列の指定しか行なうことができません。
• ERRORやerrorは区別されます。

• フィルタには正規表現は使用できず、単純な文字列の指定しか行なうことができません。
• ERRORやerrorは区別されます。

=   EQUAL
!=   NOT EQUAL
&&   AND
||   OR

<    SMALL THAN
>    GRATER THAN
<=    SMALL OR EQUAL
>=    GRATER OR EQUAL

{ $.eventSource = "signin.amazonaws.com" && $.responseElements.ConsoleLogin = "Failure" }

{ ($.sourceIPAddress != "52.123.123.5") && ($.sourceIPAddress != "33.123.123.*") && ($.sourceIPAddress != "*.amazonaws.com") }

{ $.eventSource="signin.amazonaws.com

AWS管理コンソールで、緊急時以外はルートアカウントを利用しないようにしていますが、
ルートアカウントが使われた場合にアラートを飛ばす設定をしましょう。

• CloudTrail側で、証跡を作成し、S3バケットに保存するようにする。
• 証跡をCloudWatch Logsと連携する設定をする。

設定方法は、AWS CloudTrailで、イベントを保管

CloudWatchの「ロググループ」で、事前に設定した「cloudtrail-log-group」をチェックして、「メトリックスフィルターの作成」をクリックします。

{ $.userIdentity.type = "Root" && $.eventName = "ConsoleLogin" }

• 「ロググループ」でアラートを飛ばしたいメトリックスをクリックします。
• メトリックスの「メトリックスフィルター」タブを選択します。
• アラートを飛ばしたいメトリックスフィルターの右上のチェックを入れて、「アラームの作成」をクリックします
• メトリックスの選択で、先ほど作成しメトリックスを指定します。
  LogMetrics / RootConsoleLogin

既存のものか新規作成しましょう。

トッピックス名：CloudWatch_Alerms_RootConsoleLogin_mymailaddress

SNSは、Amazon SNS (Simple Notification Service) を参照

• メールの件名に表示されるので、どのAWSアカウントかがわかるようにしましょう。
• アラーム名は後から変更できないです。

AWS管理コンソールのIP制限は、ログインできないようにはできなく、
ログインしても機能を見せないだけしかできないため、
想定外のIPからログインされてしまったら、検知するための設定をしましょう。

CloudTrail側で、CloudWatch Logsと連携する設定をしておきます。


設定は、AWS CloudTrailで、イベントを保管

CloudWatchの「ロググループ」をチェックして、「メトリックスフィルターの作成」をクリックします。

{ $.responseElements.ConsoleLogin = "Success" && $.sourceIPAddress !="11.11.11.*" }

IPアドレスは/24でレンジ指定したい場合は*でワイルドカード

複数IPアドレスの場合：

{ $.responseElements.ConsoleLogin = "Success" && ($.sourceIPAddress !="1.1.1.*" && $.sourceIPAddress !="2.2.2.*") }

書き方注意：
CloudWatch Logsのフィルターで複雑な検索条件を指定して欲しいイベントだけ取得する - Qiita

スペース区切りフィルターにて括弧に対する除外が出来ない。（構文エラーとなる）
エラー例：[A && !(B || C)]
※ただし、以下を用いて対応可能です。
改善例：[A && (!B && !C)]

ORで複数除外条件を記載したい場合
!(P || Q) = !P && !Q
ANDで複数除外条件を記載したい場合
!(P && Q) = !P || !Q
ド・モルガンの法則より

AD連携している場合：
sourceIPaddressが、「ds.amazonaws.com」になる。。

{ $.responseElements.ConsoleLogin = "Success" && ($.sourceIPAddress !="1.1.1.*" && $.sourceIPAddress !="2.2.2.*" && $.sourceIPAddress !="ds.amazonaws.com") }

• 「アラームの作成」をクリック
• メトリックスの選択で、先ほど作成しメトリックスを指定します。
  LogMetrics / RootConsoleLogin

既存のものか新規作成しましょう。

SNSは、Amazon SNS (Simple Notification Service) を参照

• メールの件名に表示されるので、どのAWSアカウントかがわかるようにしましょう。
• アラーム名は後から変更できないです。