AWS Security > IAM > Directory Service > Lab 5 - Create a CloudWatch Alarm Based on Windows Event logs

Lab 5 - Create a CloudWatch Alarm Based on Windows Event logs

title: 实验 5 - 基于 Windows 事件日志创建 CloudWatch 警报 weight: 5

摘要

在实验 2：Windows 事件日志转发的基础上，AWS Directory Service for Microsoft Active Directory 可以将我们的 AWS Managed Microsoft AD 域控制器上的安全 Windows 事件日志转发到我们选择的 Amazon Web Services (AWS) 帐户中的 Amazon CloudWatch Logs。在本实验中，我们将进一步创建一个基于转发事件日志 ID 的 CloudWatch 指标。我们将创建一个 CloudWatch 警报，当该 CloudWatch 指标超过我们指定的阈值时触发。

完成本实验的说明后，我们将:

创建一个基于 Windows 帐户锁定事件 ID 的指标过滤器。
为该指标创建一个警报，并使该警报触发。

必须为我们的 AWS Managed Microsoft AD 目录启用事件日志转发。如果需要启用事件日志转发，请参见此处。

在实验 2：Windows 事件日志转发 结束时，如果我们已禁用日志转发。在开始本实验之前，请按照此处的步骤重新启用它。

确保我们已完成实验 3：细粒度密码策略 。确保该实验中的密码策略配置完全按照指定的方式。

如果这是由培训员主导的沉浸式日的一部分，请向我们的培训员询问我们将在哪个区域工作。

创建指标过滤器(PowerShell 方式)

登录 AWS Management Console，打开 AWS Systems Manager Fleet Manager - Remote Desktop 控制台。
选择添加新会话，选择名为MAD-MGMT01的节点，然后选择添加。
选择用户凭证，输入以下内容，然后选择连接。

a. 用户名: corp\Admin。

b. 密码: 在 MadAdminSecret 密钥中。

我们可以在此处获取密码密钥检索说明。

右键单击开始并选择Windows PowerShell (管理员)。在提升的 Windows PowerShell 窗口中运行:

在下面的 PowerShell 代码中，将 us-west-2 更改为我们的培训员指定的区域。

PowerShell 代码期望我们的帐户中有多个 AWS Managed Microsoft AD。如果只有一个，请删除第二个 PowerShell 命令中输入的 [0]。

# 获取 AWS Managed AD 目录 ID
$DirectoryID = Get-DSDirectory -Region 'us-west-2' | Select-Object -ExpandProperty 'DirectoryId'

# 从 CloudWatch 检索日志
If ($DirectoryID.Count -gt 1) {
    $CwlStreams = Get-CWLLogStream -LogGroupIdentifier "/aws/directoryservice/$($DirectoryID[0])-corp.example.com" -region us-west-2 | Select-Object -ExpandProperty 'LogStreamName' | Where-Object { $_ -like '*-SecurityEvents' }
    Foreach ($CwlStream in $CwlStreams) {
        Get-CWLLogEvents -LogGroupName "/aws/directoryservice/$($DirectoryID[0])-corp.example.com" -LogStreamName $CwlStream -Region 'us-west-2' -Limit 5 | Select-Object -ExpandProperty 'Events'
    }
} Else {
    $CwlStreams = Get-CWLLogStream -LogGroupIdentifier "/aws/directoryservice/$($DirectoryID)-corp.example.com" -region us-west-2 | Select-Object -ExpandProperty 'LogStreamName' | Where-Object { $_ -like '*-SecurityEvents' }
    Foreach ($CwlStream in $CwlStreams) {
        Get-CWLLogEvents -LogGroupName "/aws/directoryservice/$($DirectoryID)-corp.example.com" -LogStreamName $CwlStream -Region 'us-west-2' -Limit 5 | Select-Object -ExpandProperty 'Events'
    }
}