Insights de registros en tiempo casi real

Logs Insights consulta grupos de registros de CloudWatch: no hay que crear tablas ni particiones, y los campos de registros en JSON, como los de CloudTrail, se descubren solos. A cambio, solo ve lo que está en esos grupos, que suelen conservarse pocos días o semanas, y se cobra según los datos escaneados, así que conviene acotar el periodo.

Athena, en cambio, lee archivos en S3 con SQL: sirve para periodos largos, para unir varias fuentes y para consultas que se repiten.

Nota sobre la consola de esta sala: su aviso de error genérico habla de KQL, pero la sintaxis que usas aquí es la de Logs Insights (fields, filter, stats, sort, limit).

La forma de una consulta de Logs Insights es siempre la misma: un filtro que deja pasar lo que interesa y un paso stats que cuenta o suma, a veces con by para agrupar. Los inicios de sesión de consola quedan con el evento ConsoleLogin, y el resultado va en responseElements.ConsoleLogin.

Cuenta los fallos por dirección de origen.

El total engaña: cinco fallos repartidos en un mes son ruido, y cinco fallos en cinco minutos son otra cosa. Con bin(15m) los eventos se agrupan en intervalos de quince minutos, y el intervalo con más fallos es donde conviene empezar a mirar.

Un fallo repetido no dice si el intento terminó entrando. Para saberlo se filtra todo lo del mismo origen y se ordena por hora. Ábrelo con la consulta que muestra los eventos de esa dirección y busca qué llamada vino justo después de la primera sesión exitosa.

Cuatro fallos en cinco minutos, un quinto once minutos más tarde, un acierto cinco minutos después y una llamada para listar los almacenes: eso parece una persona que probó contraseñas hasta dar con una y luego miró qué había. Pero la consulta no dice si el acceso era legítimo ni de quién era la contraseña, y no sustituye hablar con el titular de la cuenta.